При построении цепочки сертификатов функцией CertGetCertificateChain производится проверка списков отзыва для сертификатов цепочки (при установленном параметре CERT_CHAIN_REVOCATION_CHECK_CHAIN). При этом можно получить максимальное время жизни CRL для цепочки сертификатов (CERT_CHAIN_CONTEXT.dwRevocationFreshnessTime - Max(CurrentTime - ThisUpdate)) и для каждого элемента цепочки. Но я не нашел, где можно получить минимальный срок жизни CRL (то есть Min(NextUpdate - CurrentTime)), есть ли такая возможность, или необходимо вручную искать все CRL для цепочки во всех доступных хранилищах и вычислять это время?

Также интересует как устроено кэширование CRL и результатов проверки сертификатов на Windows и Linux (параметр CERT_CHAIN_CACHE_END_CERT). И есть ли кэширование результатов проверки цепочки сертификатов на Linux (не для конечного сертификата) так, как это реализовано в Windows? Будет ли сброшен кэш при установке более свежего CRL?