CSP 3.6 включает в себя Revocation Provider (RP). RP использует функции OCSP-клиента, поэтому OCSP-клиент также устанавливается вместе с RP.

OCSP-клиент - это библиотека, которую нужно встроить в приложение, чтобы пользоваться протоколом OCSP.

RP при установке регистрируется в CryptoAPI как подключаемый модуль, поэтому все проверки статусов сертификатов начинают автоматически использовать RP, и следовательно, протокол OCSP.

Если вы встраиваете OCSP-клиент самостоятельно, вы получаете максимальную гибкость. С помощью RP не получится, например, сохранить OCSP-ответ, по которому был проверен статус сертификата.

RP в вашем случае удобнее. Вы будете просто проверять цепочку штатно с помощью класса X509Chain, а оно чудесным образом проверится с помощью OCSP (если получится).

Формулировку про "100% вероятность проверки сертификата" я не очень понимаю. Попробую пояснить так.

Если вы зовёте метод X509Chain.Build() и при этом в ChainPolicy не отключена проверка статусов, то true на выходе означает, что с сертификатом всё в порядке: он не отозван и ему можно доверять (цепочка заканчивается сертификатом, имеющимся в хранилище Root).

Чтобы гарантировать, что проверка ведётся только по OCSP при установленном RP вы можете:
1. Запретить для RP использование дополнительного Revocation Provider в групповой политике.
или
2. Использовать сертификаты, в которых в расширении CDP ничего нет, при этом должна быть исключена возможность попадания подходящего к данному сертификату CRL в локальное хранилище сертификатов.

Если ни одно из этих условий не выполнено, а проверка по OCSP не удалась, то RP попробует проверить сертификат по CRL, и у него это может получиться, при этом X509Chain.Build() также вернёт true.

Отредактировано пользователем 26 июня 2009 г. 18:16:19(UTC)  | Причина: Не указана

Вообще X509Chain пользуется CryptoAPI. Если на машине не будет CSP, то цепочка в любом случае не проверится. Возможно, Шарпей даже не нужен.

Если быть точным, то при условии корректного построения цепочки этот вызов будет провоцировать проверку статусов, для чего будет позван RP с флагом online. КриптоПро Revocation Provider в этом случае в первую очередь попробует обратиться к службе OCSP.

Именно так.