Причины могут быть разные - от тривиальных: выключенной функции загрузки СОС (списка отзыва сертификатов); недоступности Интернета; недоступности адреса публикации СОС и т.д. до конфликтов: сбоя из-за перенаправления на другой адрес при скачивании СОС; невозможности проверить сам сертификат сервера при подключении к адресу публикации СОС по https; в некоторых случаях взаимоисключающее использование гост и зарубежных алгоритмов для https. В целом, списки отзыва считаются менее надежным способом проверки сертификата чем протокол OCSP из-за большого объема каждого списка и во многих программах (браузерах, например) просто выключена их загрузка. Напротив, отечественных УЦ с OCSP-ответчиками меньше чем хотелось бы (начиная с самого головного УЦ Минкомсвязи) и списки отзыва "наше все". В итоге загрузка сертификатов и списков отзыва отечественных УЦ обычно обеспечивается дополнительным программным обеспечением и его настройками. В Джаве, например, есть отдельные параметры которые включают/отключают подгрузку промежуточных сертификатов и СОС.

Отредактировано пользователем 29 октября 2019 г. 8:03:24(UTC)  | Причина: Не указана

Работает - это замечательно. Однако не нужно пытаться в cades делать вообще все, для некоторых вещей он просто не предназначен.Посмотрел подробнее. По сути вторая ссылка - как раз то, что нужно (что подгружает и ставит КриптоАрм) - xml файл с сертификатами и адресами списков отзыва, то есть именно его и ищете. Если его правильно "обработать" - этого должно быть достаточно. Как правильно под linux - не владею информацией.Не просто указывать, а регулярно устанавливать оттуда СОС. Можно попробовать парсить сертификаты через openssl x509, вот только получите не совсем то - об этом ниже.
Касательно получения из сертификата, тут сложная ситуация. В том плане, что у каждого сертификата (сертификаты промежуточных УЦ не исключение) указывается информация о списках отзыва вышестоящего УЦ, если такой есть. Из этого 2 следствия: 1) в корневом сертификате вообще нет данной информации, так как выше него нет УЦ; 2) чтобы получить об адресе СОС для некого сертификата УЦ Вам нужно найти сертификат клиента, выпущенный этим УЦ и подписанный этим сертификатом УЦ.

Другими словами, имея конечный или промежуточный сертификат можно легко построить цепочку вверх до корневого, но построить цепочку вниз крайне сложно по данным только сертификатов. Поэтому если цель поставить все возможные сертификаты и СОС заранее, то лучшая зацепка использовать xml по второй ссылке http://e-trust.gosuslugi...nloadTSL?schemaVersion=0 для получения всех сертификатов и всех ссылок на СОС.