Проверки электронной подписи ЕСИА openId

Я так понял что pkcs7 хранит в себе сертификат, и просто этим сертификатом проверяешь эту подпись(то есть себя ж), возможно я что-то я понял не так.. Вот код:

public boolean verify(byte[] data) {
    try {
        CMSSignedData cmsSignedData = new CMSSignedData(data);
        // получаем список сертификатов, которые содержатся в файле
        Store<X509CertificateHolder> certs = cmsSignedData.getCertificates();
        // p7s файл может содержать данные, которые были подписаны, то есть ваш pdf файл
        byte[] content = (byte[]) cmsSignedData.getSignedContent().getContent();
        // проходимся по списку подписей, обычно одна подпись, но стандарт поддерживает множество подписей
        for (SignerInformation si : cmsSignedData.getSignerInfos()) {
            // список всех атрибутов, подписанных вместе с файлом
            AttributeTable signedAttributes = si.getSignedAttributes();
            // атрибут с именем
            Attribute attrSurname = signedAttributes.get(new ASN1ObjectIdentifier("2.5.4.4"));
            // атрибут с именем 2
            Attribute attrGivenName = signedAttributes.get(new ASN1ObjectIdentifier("2.5.4.42"));
            // атрибут с датой подписи
            Attribute attrSigningTime = signedAttributes.get(new ASN1ObjectIdentifier("1.2.840.113549.1.9.5"));
            // выводим дату подписи
            System.out.println(attrSigningTime.getAttributeValues()[0].toString());
            // возможно некоторые атрибуты не были частью подписи, формат поддерживает и такие
            //AttributeTable unsignedAttributes = si.getUnsignedAttributes();
            // получаем идентификатор сертификата, которым подписаны данные
            SignerId signerId = si.getSID();
            // ищем сертификат в коллекции по идентификатору
            Collection certCollection = certs.getMatches(signerId);
            // выбираем первый сертификат, здесь не должно быть больше одного
            Iterator certIt = certCollection.iterator();
            X509CertificateHolder certHolder = (X509CertificateHolder) certIt.next();
            // создаем Verifier на основании сертификата, Verifier использует публичный ключ сертификата
            SignerInformationVerifier verifier = new JcaSimpleSignerInfoVerifierBuilder().build(certHolder);
            // проверяем подпись
            return si.verify(verifier);
        }
    } catch (CertificateException | OperatorCreationException | CMSException e) {
        logger.error(e);
    }
    return false;
}

Как я понял byte[] content может не содержать самих данных которые подписывает а может и содержать. Так же Attribute *** написаны чисто для проверки. И еще маркер состоит из header.payload.signature в формате base64url, поэтому signature надо декодировать примерно так:

 byte[] data = Base64.getUrlDecoder().decode(a);

И уже эту data надо отправлять в эту функцию public boolean verify(byte[] data). Возможно это решение не верное, я точно не знаю. Если это правильно/неправильно то напишите что все ок или подскажите как правильно.