Certificat d'applet signé Java révoqué uniquement sur Mac OSX10.7 (Lion)

Question

J'ai un applet signé qui fonctionne bien sur Windows, Mac <= 10.6 et Linux. Cependant, sur OSX Lion, le certificat de signature est révoqué. Voici les informations de débogage de sécurité de la console Java :

sécurité: Chargement des certificats depuis le magasin de certificats de session de déploiement
sécurité: Certificats chargés depuis le magasin de certificats de session de déploiement
sécurité: Chargement des certificats des autorités de certification racine depuis le trousseau de clés
sécurité: Certificats des autorités de certification racine chargés depuis le trousseau de clés
sécurité: Validation de la chaîne de certificats en utilisant l'API CertPath
sécurité: Obtention de la collection de certificats dans le magasin de certificats des autorités de certification racine
sécurité: Obtention de la collection de certificats dans le magasin de certificats des autorités de certification racine
sécurité: Obtention de la collection de certificats dans le magasin de certificats des autorités de certification racine
sécurité: jpicertstore.cert.getkeystore
sécurité: Aucune information d'horodatage disponible
sécurité: Impossible de trouver le fichier de liste de juridiction
sécurité: La prise en charge des listes de révocation est activée
sécurité: Centre d'opération PC
sécurité: ObjectId: 2.5.29.31 Critique=false
Points de distribution de liste de révocation (CRL) [
  [Point de distribution:
     [NomURI: http://crl.thawte.com/ThawteCodeSigningCA.crl]
]]

sécurité: Thawte Code Signing CA
sécurité: ObjectId: 2.5.29.31 Critique=false
Points de distribution de liste de révocation (CRL) [
  [Point de distribution:
     [NomURI: http://crl.thawte.com/ThawtePremiumServerCA.crl]
]]

sécurité: Utiliser le paramètre CRL du certificat
sécurité: La prise en charge d'OCSP est activée
sécurité: Centre d'opération PC
sécurité: ObjectId: 1.3.6.1.5.5.7.1.1 Critique=false
AuthoritéInfoAccess [
  [
   méthode d'accès: 1.3.6.1.5.5.7.48.1
   emplacement d'accès: NomURI: http://ocsp.thawte.com]
]

sécurité: Ce certificat n'a pas d'extension AIA
sécurité: Utiliser le paramètre OCSP du certificat
réseau: Entrée du cache non trouvée [url: http://crl.thawte.com/ThawtePremiumServerCA.crl, version: null]
réseau: Connexion à http://crl.thawte.com/ThawtePremiumServerCA.crl avec proxy=DIRECT
réseau: Connexion à http://crl.thawte.com:80/ avec proxy=DIRECT
réseau: Téléchargement de la ressource: http://crl.thawte.com/ThawtePremiumServerCA.crl
    Longueur du contenu: 181,278
    Codage de contenu: null
réseau: URL http://crl.thawte.com/ThawtePremiumServerCA.crl écrite dans le fichier /Users/koutbo6/Library/Caches/Java/cache/6.0/38/2fb889a6-30a08967-temp
réseau: Connexion à http://ocsp.thawte.com/ avec proxy=DIRECT
réseau: Connexion à http://ocsp.thawte.com:80/ avec proxy=DIRECT
réseau: Le thread de nettoyage a utilisé 990300 us
réseau: Connexion à http://ocsp.thawte.com/ avec proxy=DIRECT
réseau: Connexion à http://ocsp.thawte.com:80/ avec proxy=DIRECT
sécurité: Ce certificat a été révoqué
Exception ignorée : sun.security.validator.ValidatorException: La validation du chemin PKIX a échoué: java.security.cert.CertPathValidatorException: Le certificat a été révoqué

Toute astuce pour faire fonctionner l'applet signé sur Lion serait appréciée.

MISE À JOUR :

Voici le numéro de série du certificat : 28 A9 29 38 64 0D FC 5D 7D 1D 05 CE 7F 1D 81 E0

J'ai remarqué que, sur Snow Leopard, si je vais dans les paramètres avancés des préférences Java et que j'active "Vérifier les certificats pour révocation en utilisant les CRL", j'obtiens le même problème que sur Lion.

J'ai vérifié les préférences Java sur Lion et l'option était désactivée, pourtant le certificat est toujours révoqué.

Sur Snow Leopard, j'ai désactivé à nouveau l'option et tout fonctionne correctement.

Answer 1

Peut-être que Java utilise les paramètres de préférence globaux dans l'application "Accès au trousseau"? Cette application se trouve sous Applications > Utilitaires > Accès au trousseau.

Les paramètres par défaut indiquent:

Protocole de statut de certificat en ligne (OCSP): Meilleure tentative
Liste de révocation de certificat (CSP): Meilleure tentative
Priorité: OCSP

Vous pourriez vérifier si l'application accepte votre certificat si vous (temporairement) désactivez OCSP et CRL.

En tout cas, vous ne devriez probablement pas utiliser un certificat révoqué... :-)

Answer 2

Avez-vous essayé sur une machine non-lion qui n'a jamais exécuté votre applet auparavant? Peut-être que les autres machines avec lesquelles vous avez testé font déjà confiance à votre applet.