Добрый день, перед внедрением УЦ проводим тестирование системы и готовимся к пилоту.
Установили УЦ выпустили пару сертификатов, все работает корректно и радует глаз, до момента отзыва сертификатов.

В консоли управления центра сертификации настроили расписание выпуска списка отозванных сертификатов и публикацию на https://center-registracii/cdp/
Так же на https://center-registracii/UI/CaCerts.aspx публикуется PKCS7 файл содержащий все те же списки отзыва.

Но когда доходит дело до их установки, то СОСы из PKCS7 вообще никуда не попадают, в консоли ОС "Сертификаты" ни в разделе "Промежуточные центры сертификации - Список отзыва сертификатов" ни в разделе "Сертификаты к которым нет доверия - Список отзыва сертификатов" ничего не появляется.
При установке CRL с https://center-registracii/cdp/ СОСы появляются только в "Промежуточные центры сертификации - Список отзыва сертификатов" в них есть информация об отозванных сертификатах, но при просмотре сертификата через файл или через адресную книгу КриптоАРМ ГОСТ сертификат не проверяется по СОСу

Единственное что реально помогло, это вручную установить отозванный сертификат в раздел "Сертификаты к которым нет доверия - Сертификаты" и тогда сертификат в адресной книге помечается как отозванный.

Сейчас это тесты на 10 человек, вскоре будет внедрен УЦ на 3к пользователей. Контролировать СОСы таким способом физически невозможно.

В документации к консоли УЦ не нашли настроек которые могут изменить формат контейнера для СОСа

З.Ы. Есть еще задача автоматически распространять СОСы, без использования OCSP, как выяснилось КриптоАРМ ГОСТ не имеет таких настроек, а КриптоАРМ 5 уже не сертифицирован (

Отредактировано пользователем 6 июля 2022 г. 9:59:05(UTC)  | Причина: Не указана

Настройку и установку УЦ делали на полный стандарт, размещение PKCS7 файла, который содержит весь комплект полностью устраивает.


На доменном АРМе под управлением Windows 10, как будто обычный пользователь.


С запросом в MS наверное будет сложнее, а в ТП Цифровых технологий писали, толку 0, общая отписка с предложением купить поддержку.


Ручками добавляли в качестве эксперимента, естественно должно работать через стандартные средства.



В ЭП есть поле [1]Точка распределения списка отзыва (CRL)
Имя точки распространения:
Полное имя:
URL=http://center-registracii/cdp/dab4a219174e448b151da006bd0350629f7c76d6.crl
Но почему-то система к нему не обращается, ни КриптоАРМ, ни встроенная оснастка винды "Сертификаты"


Я уже придумал механизм распространения/обновления CRL через доменные политики или планировщик заданий. К тому же, если в сертификате вшит путь к СОСу, то при нормальной работе он должен сам проверяться в момент подписания или проверки


В целом складывается ощущение, что проблема заключается в настройках доменной машины. Для эксперимента стандартными средствами установили Сертификат Корневого цетра, Сертификат отозванного пользователя, СОС на 2 другие машины, не в домене, с разными версиями Винды, ситуация везде одинаковая, сертификат не проверяется по загруженному СОСу
Spisok otozvannykh sertiifkatov.jpg (183kb) загружен 6 раз(а). Otozvannyjj sertifikat.jpg (182kb) загружен 6 раз(а). Otozvannyjj sertifikat po SOS.jpg (154kb) загружен 7 раз(а).

Укажите имя "по-человечески" (с доменом). Проверьте, что веб-сервер, который вы используете не перенаправляет http-запрос на https.

Перенаправлять с http на https списки отзыва, которые обеспечивают работу (в том числе) TLS - очень неудачная идея.
Даже если "тут всё ок".