падает проверка PKCS#7

включение всех опций:
var sign_options = {detached:true, addUserCertificate:true, addSignTime:true, addEssCert: true };

ничего тоже не дало.

здесь запрещено вкладывать файлы в сообщение.
архив https://money.kz/rutoken3.zip

в архиве:
sign_NoTime_param.p7s
параметры создания var sign_options = {detached:true, addUserCertificate:true, addSignTime:false};

sign_with_Addtime_param.p7s
параметры создания var sign_options = {detached:true, addUserCertificate:true, addSignTime:true};

sign_with_all_param.p7s
параметры создания var sign_options = {detached:true, addUserCertificate:true, addSignTime:true, addEssCert: true }

все три варианта приводят к ошибке PKCS#7 signature not valid: 1.2.643.7.1.1.2.2 MessageDigest not available

sign_Jacarta.p7s - создано вебплугином джакарты, ошибки при открытии p7s не вызывает.

все подписи сделаны на один и тот же хэш данных
b8:1d:e5:d8:0c:e6:2f:92:a0:5b:60:e5:cd:3a:59:7d:20:6d:da:da:2c:6e:c6:ee:e1:ed:e1:0d:2b:f4:ea:b3

тогда эксперимент по другому:
https://money.kz/sign_gov_system.p7s - это подпись, которая формируется в облачным госприложением.
предположу, что ее структура аналогична структуре jacarta

криптоутилита  проверки подписи - казахская, так как алгоритмы в РК (Казахстан) и КР  (кыргызская республика) одни и те же - оно подхватывает только то, что знает (потому что в обоих странах криптоалгоритмы внедряла казахская фирма). Российские идентификаторы криптоалгоритмов ни там ни там не используются, поэтому криптоутилита о них ничего не должна знать - библиотеки криптографии  дает государство.

НО. проблема в том, что Рутокен продается и в РК и КР (рутокен купили в https://ubr.kg), что приводит к нас мысли, что если продажа идет в других странах - то Рутокен Плагин ДОЛЖЕН поддерживать что-то местное из коробки без танцев с бубнами.

т.е. если название/идентификатор алгоритма взять из сертификата ключа, а не из справочника Плугина - то все должно прокатить

в том то и дело, что подпись на Jacarta сфромирована стандартной библиотекой Jacarta, которая висит на их стандартном порту https://localhost:24738/JCWebClient.js

никто специально ничего не пилил - я так понимаю, что они просто изначально нужный идентификатор прописали у себя в библиотеке или берут его из сертификата ключа.

поэтому вопрос: вы можете помочь с этим?

Для вас это займет 10 минут, чтобы добавить в справочник дополнительный идентификатор хэша и вставлять его , если в сертификате используется такой идентификатор
или
15 минут, чтобы в команду опций
var sign_options = {detached:true, addUserCertificate:true, addSignTime:true};

добавить параметр типа replaceUserHashOID: '1.1.1.1.1.1.1.1,........' и заменять OID ваш на OID, указанный пользователем, и выкатить свежую версию plugin.js

первый вариант красивее, второй более кастомизированный.

если в Jacarta это работает из коробки - то они просто на эти грабли уже наступали или сделали у себя универсальный алгоритм с использованием нужного OID

я бы не писал так много, но ваша продукция продается активно в КР и надо что-то делать

Я пишу сейчас интерфейс для сайтов на Кыргызской ЭЦП, но технологически она такая же, проблема в том, что казахская утилита нормально читает поля серитфката Кыргызского серитфиката ключа, сделанное государствои или Jacarta, а вот рутокеновский PKCS не читает.

https://money.kz/rutoken3.zip в архиве файл я случайно вместо подписи вложил лог утилиты подписи при открыии файла подписи Jacarta/

вот оригинальный бинарник подписи https://money.kz/sign_Jacarta.p7s

не , там глухо, когда я спросил у них криптоПО для работы с токеном - они сказали, что они занимаются только продажей, по всем вопросам работы с токеном отправили к производителю.

я уверен, что о существовании процедуры формирования сертификатов для разных физических токенов по разным криптоалгоритмам знает только 2-3 человека в УЦ, из которых 2 технаря и третий директор, все остальные просто на кнопки жмут в стандартных программах.
они от меня в 1000 км, придется просто тянуть сразу 3 криптопровайдера одновременно для работы с разными токенами.

спасибо за помощь.

P.s. если Рутокен плагин использовать как криптопровайдер для проверки PKCS#7 - есть утилита командной строки, чтобы обратиться к плагину из php? или запустить что-то типа java -jar  crypto.jar verifysign original.file original.file.cms.p7s > result.txt?