Проверка подписи без промежуточного сертификата

можно ли проверить подпись, имеющую только предок или корневой сертификат в иерархии?

отказ от ответственности: я новичок в обработке сертификатов, поэтому, пожалуйста, простите наивную терминологию.

рассмотрим следующую ситуацию.

• у нас две партии (назовем их IdP для провайдера идентификации и SP для поставщика услуг) и некоторых центральных сертификации CA которому определенно доверяют как IdP, так и SP.
• CA имеет свой собственный сертификат CertCA известный как IdP, так и SP (импортируется в хранилище ключей IdP и SP под некоторым псевдонимом)
• out CA выдает один сертификат для IdP (CertIdP) и один для SP (CertSP).
• IdP имеет CertIdP в своем хранилище ключей и знает пароль для него, поэтому IdP может подписывать сообщения с CertIdP
• же для SP / CertSP
• теперь предположим, что SP не знает CertIdP, а IdP не знает CertSP. Они знают только CertCA, который использовался для подписания CertIdP и CertSP. (Как я понимаю, у нас есть иерархия сертификатов CertIdP --> CertCA
• IdP хочет отправить подписанное сообщение SP. Он создает сообщение и затем использует CertIdP подписать его.
• SP получает сообщение, подписанное IdP с помощью CertIdP. Как отмечалось выше, SP не имеет CertIdP, только Родительский сертификат Certificat.

мой вопрос: может ли SP проверить подпись сообщения, подписанного CertIdP, только имея его Родительский сертификат CertCA?

Предыстория, зачем это нужно.

мы реализуем SSO на основе SAML с PicketLink. Мы используем PicketLink это SAML2SignatureValidationHandler для проверки подписей. Для этого поставщик услуг (SP) должен иметь сертификат IdP в своем хранилище ключей. Когда подписанное утверждение SAML передается SP, этот обработчик использует сертификат IdP для проверки подписи.

процесс выше работает хорошо, но у нас есть некоторые организационные проблемы. Этот процесс предполагает, что SP имеет сертификат IdP для проверки. Если что-то изменится, сертификат IdP должен быть заменен на стороне SP. У нас может быть большое количество SPs (hundreds, когда не тысячи), поэтому это довольно сложно.

Так как CertIdP и CertSP выдаются одним и тем же органом (CA), которому определенно доверяют как IdP, так и SP, у нас была идея, что мы можем использовать сертификат CA для проверки подписи. Если это работает, это может устранить необходимость обмена сертификатами между IdP и SP. Сертификат CA также очень "долгоживущий", поэтому, если только нужно обменять один раз в вечности (вечность, в нашем случае, составляет около 10-20 лет).

однако я не уверен, что технически возможно проверить подпись подписано с CertIdP только с родительским CertCA. Возможно ли это? Или мы на неверном пути?

Если это актуально, мы находимся на платформе Java/JBoss на стороне SP, IdP-стороннее программное обеспечение.

обновление:

это подпись, которую я получаю в данный момент от IdP:

    <ds:Signature xmlns:ds="http://www.w3.org/2000/09/xmldsig#">
        <ds:SignedInfo>
            <ds:CanonicalizationMethod Algorithm="http://www.w3.org/2001/10/xml-exc-c14n#" />
            <ds:SignatureMethod Algorithm="http://www.w3.org/2000/09/xmldsig#rsa-sha1" />
            <ds:Reference URI="#_...">
                <ds:Transforms>
                    <ds:Transform
                        Algorithm="http://www.w3.org/2000/09/xmldsig#enveloped-signature" />
                    <ds:Transform Algorithm="http://www.w3.org/2001/10/xml-exc-c14n#">
                        <ec:InclusiveNamespaces xmlns:ec="http://www.w3.org/2001/10/xml-exc-c14n#"
                            PrefixList="ds saml samlp" />
                    </ds:Transform>
                </ds:Transforms>
                <ds:DigestMethod Algorithm="http://www.w3.org/2000/09/xmldsig#sha1" />
                <ds:DigestValue>r...=</ds:DigestValue>
            </ds:Reference>
        </ds:SignedInfo>
        <ds:SignatureValue>X...==</ds:SignatureValue>
    </ds:Signature>