powered by simpleCommunicator - 2.0.48     © 2025 Programmizd 02
Форумы / Программирование [игнор отключен] [закрыт для гостей] / Проверка цепочки сертификатов/почему медленно?
11 сообщений из 11, страница 1 из 1
Проверка цепочки сертификатов/почему медленно?
    #40048740
avhohlov
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Гость
Средствами WinCrypt (за ним стоит Crypto-Pro) проверяется отсоединенная подпись
и следующий фрагмент кода на рабочей машине выполняется примерно секунду.
На тестовой быстро. SDK старый, все поля структуры CERT_CHAIN_ENGINE_CONFIG
заполнены. dwFlags = CERT_CHAIN_CACHE_ONLY_URL_RETRIEVAL не помогает.

Код: plaintext
1.
2.
3.
4.
5.
6.
7.
8.
9.
10.
11.
12.
13.
14.
15.
16.
17.
18.
19.
20.
21.
HCERTCHAINENGINE         hChainEngine;

CERT_CHAIN_ENGINE_CONFIG chainConfig;

chainConfig.cbSize                    = sizeof(CERT_CHAIN_ENGINE_CONFIG);
chainConfig.hRestrictedRoot           = NULL;
chainConfig.hRestrictedTrust          = hStore; //Хранилище сертификатов в памяти (из файла подписи)
chainConfig.hRestrictedOther          = NULL;
chainConfig.cAdditionalStore          = 0;
chainConfig.rghAdditionalStore        = NULL;
chainConfig.dwFlags                   = 0;
chainConfig.dwUrlRetrievalTimeout     = 0;
chainConfig.MaximumCachedCertificates = 0;
chainConfig.CycleDetectionModulus     = 0;

PCCERT_CHAIN_CONTEXT     pChainContext;

if (!CertCreateCertificateChainEngine(&chainConfig, &hChainEngine))
{
   ...
}



Что я делаю не так?

Спасибо.
...
Рейтинг: 0 / 0
Проверка цепочки сертификатов/почему медленно?
    #40049319
Фотография mayton
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
Измеряй точнее, сколько миллисекунд на рабочей и тестовой проходит проверка подписи.

И дай нам версии CryptoPro и всего остального. И модели процессоров.
...
Рейтинг: 0 / 0
Проверка цепочки сертификатов/почему медленно?
    #40049348
Barlone
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
avhohlov

Что я делаю не так?
файрвол режет доступ к спискам отозванных сертификатов?
...
Рейтинг: 0 / 0
Проверка цепочки сертификатов/почему медленно?
    #40049635
avhohlov
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Гость
Рабочая система Xeon Platinum 8280/VmWare/WindowsServer2012R2/доменая структура.
Крипто-Про CSP 4.0.9842/core 4.0.9014 Серверная.
Доступа в интернет нет.
Программа 32-bit.

Время выполнения CertCreateCertificateChainEngine 765 - 1187 мс.
Все прочие действия, в том числе и построение цепочки по крайней мере на порядок быстрее.

Так было не всегда, на похожей системе (WindowsServer2008R2, остальное такое же) сохранился лог начала декабря 2020, время выполнения CertCreateCertificateChainEngine неизвестно, но вся проверка подписи занимала 0 - 15 мс, сейчас и на ней тоже медленно.

Тестовая система VmWarePlayer/Win7x64/Core i5-7600/доступ с интернет есть,
время прямо сейчас сказать не могу, но оно мало.
...
Рейтинг: 0 / 0
Проверка цепочки сертификатов/почему медленно?
    #40049649
Basil A. Sidorov
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
avhohlov
Доступа в интернет нет.
Регулярно скачивайте списки отзыва сертификатов (СОС/CRL) на компьютере, имеющем доступ к интернету и устанавливайте их локально.
...
Рейтинг: 0 / 0
Проверка цепочки сертификатов/почему медленно?
    #40049662
avhohlov
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Гость
Basil A. Sidorov,
Скачал и установил (неважно, в хранилище текущего пользователя или компьютера) два CRL - корневого УЦ и УЦ, выдавшего сертификат ключа подписи.
Ничего не изменилось..
...
Рейтинг: 0 / 0
Проверка цепочки сертификатов/почему медленно?
    #40049741
Basil A. Sidorov
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
Во-первых - важно, а во-вторых: в какое именно из нескольких хранилищ устанавливали?
OCSP/TSP используются? А сертификаты и списки отзыва их УЦ установлены? А в правильные хранилища?
...
Рейтинг: 0 / 0
Проверка цепочки сертификатов/почему медленно?
    #40049939
avhohlov
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Гость
Basil A. Sidorov,

Под "неважно, в хранилище текущего пользователя или компьютера" следует понимать, что оба варианта были проверены:

1. Сертификаты - текущий пользователь/Сертификаты, к которым нет доверия/Реестр/Список отзыва сертификатов
2. Сертификаты (локальный компьютер)/Сертификаты, к которым нет доверия/Реестр/Список отзыва сертификатов

Думаю, что OCSP/TSP не используются

На собственной виртуалке все быстро и при отключенной сети.
...
Рейтинг: 0 / 0
Проверка цепочки сертификатов/почему медленно?
    #40049950
avhohlov
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Гость
И еще, сертификат УЦ есть в

Сертификаты - текущий пользователь/Промежуточные центры сертификации/Реестр/Сертификаты

Для просмотра он открывается меленно - до нескольких секунд...
...
Рейтинг: 0 / 0
Проверка цепочки сертификатов/почему медленно?
    #40049957
Basil A. Sidorov
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
Корневые сертификаты (корневой сертификат ГУЦ) ставятся в доверенные корневые.
Все подчинённые, начиная с подчинённых УЦ самого ГУЦ и акредитованных УЦ - устанавливаются в промежуточные.
Списки отзыва, внезапно, тоже устанавливаются в промежуточные.
В "которым нет доверия" - устанавливаются скомпрометированные сертификаты корневых УЦ.
...
Рейтинг: 0 / 0
Проверка цепочки сертификатов/почему медленно?
    #40052173
kealon(Ruslan)
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
avhohlov,

было что-то такое, сервера могут быть забанены нашими ведомствами
просмотри снифером каким нить куда щемится проверка, особеннно отказы соединения
...
Рейтинг: 0 / 0
11 сообщений из 11, страница 1 из 1
Форумы / Программирование [игнор отключен] [закрыт для гостей] / Проверка цепочки сертификатов/почему медленно?
Целевая тема:
Создать новую тему:
Автор:
Закрыть
Цитировать
Найденые пользователи ...
Разблокировать пользователей ...
Читали форум (0):
Пользователи онлайн (0):
x
x
Закрыть


Просмотр
0 / 0
Close
Debug Console [Select Text]