Сертификат апплета Java signed отозван только на mac OSX10. 7 (Lion)


У меня есть подписанный апплет, который отлично работает на windows, Mac

security: Loading certificates from Deployment session certificate store
security: Loaded certificates from Deployment session certificate store
security: Loading Root CA certificates from from keychain
security: Loaded Root CA certificates from from keychain
security: Validate the certificate chain using CertPath API
security: Obtain certificate collection in Root CA certificate store
security: Obtain certificate collection in Root CA certificate store
security: Obtain certificate collection in Root CA certificate store
security: jpicertstore.cert.getkeystore
security: No timestamping info available
security: Cannot find jurisdiction list file
security: The CRL support is enabled
security: PC Operating Center
security: ObjectId: 2.5.29.31 Criticality=false
CRLDistributionPoints [
  [DistributionPoint:
     [URIName: http://crl.thawte.com/ThawteCodeSigningCA.crl]
]]

security: Thawte Code Signing CA
security: ObjectId: 2.5.29.31 Criticality=false
CRLDistributionPoints [
  [DistributionPoint:
     [URIName: http://crl.thawte.com/ThawtePremiumServerCA.crl]
]]

security: Use CRL setting from certificate
security: The OCSP support is enabled
security: PC Operating Center
security: ObjectId: 1.3.6.1.5.5.7.1.1 Criticality=false
AuthorityInfoAccess [
  [
   accessMethod: 1.3.6.1.5.5.7.48.1
   accessLocation: URIName: http://ocsp.thawte.com]
]

security: This certificate does not have AIA extension
security: Use OCSP setting from certificate
network: Cache entry not found [url: http://crl.thawte.com/ThawtePremiumServerCA.crl, version: null]
network: Connecting http://crl.thawte.com/ThawtePremiumServerCA.crl with proxy=DIRECT
network: Connecting http://crl.thawte.com:80/ with proxy=DIRECT
network: Downloading resource: http://crl.thawte.com/ThawtePremiumServerCA.crl
    Content-Length: 181,278
    Content-Encoding: null
network: Wrote URL http://crl.thawte.com/ThawtePremiumServerCA.crl to File /Users/koutbo6/Library/Caches/Java/cache/6.0/38/2fb889a6-30a08967-temp
network: Connecting http://ocsp.thawte.com/ with proxy=DIRECT
network: Connecting http://ocsp.thawte.com:80/ with proxy=DIRECT
network: CleanupThread used 990300 us
network: Connecting http://ocsp.thawte.com/ with proxy=DIRECT
network: Connecting http://ocsp.thawte.com:80/ with proxy=DIRECT
security: This certificate has been revoked
Ignored exception: sun.security.validator.ValidatorException: PKIX path validation failed: java.security.cert.CertPathValidatorException: Certificate has been revoked

Были бы признательны за любые советы о том, как заставить подписанный апплет работать на Lion.

Обновление:

Вот серийный номер cert: 28 A9 29 38 64 0D FC 5D 7D 1D 05 CE 7F 1D 81 E0

Я заметил следующее, На snow leopard, если я перейду к расширенным настройкам java настройки и включить "проверить сертификаты на отзыв с помощью CRL" я получаю тот же вопрос, что и в lion.

Я проверяю настройки java lion, и опция была отключена, но сертификат все еще отозван

На snow leopard я снова отключил опцию, и все работает нормально

2 3

2 ответа:

Может быть, Java использует глобальные настройки предпочтений в приложении "Keychain Access"? Это приложение можно найти в разделе Приложения > утилиты > доступ к связке ключей.

Настройки по умолчанию указывают:

Online Certificate Status Protocol (OCSP): Best attempt
Certificate Revocation List (CSP): Best attempt
Priority: OCSP

Вы можете проверить, принимает ли приложение Ваш сертификат, если вы (временно)отключите OCSP и CRL.

В любом случае, вы, вероятно, не должны использовать отозванный сертификат... :- )

Пробовали ли вы его на машине не-lion, которая никогда раньше не запускала ваш апплет? Возможно, другие машины, которые вы тестировали, уже доверяют вашему апплету.