Отозвать клиентский сертификат X509

У меня есть веб-служба ASP.NET на сервере Windows 2003. У меня есть собственный центр сертификации. Я использую собственный клиентский сертификат для аутентификации в веб-сервисе. Делаю клиентский сертификат. Звоню в сервис, все ок. Затем я отзываю этот сертификат в центре сертификации. Сертификат находится в отозванном сертификате. Я вызываю веб-службу с этим сертификатом, но веб-служба подтверждает, что этот сертификат исправен, но этот сертификат отозван. Я не знаю, почему? Кто-нибудь поможет мне, пожалуйста?

Я использую этот метод для проверки сертификата.

Метод X509Certificate2.Verify

Я не получаю никаких исключений, сертификат отозван, но веб-служба проверяет этот сертификат как хороший.

Клаусбыскову: Спасибо. Итак, я пробую это:

    public void CreateUser(X509Certificate2 cert)
    {

        ServicePointManager.UseNagleAlgorithm = true;
        ServicePointManager.Expect100Continue = true;
        ServicePointManager.CheckCertificateRevocationList = true;
        ServicePointManager.DefaultConnectionLimit =    ServicePointManager.DefaultPersistentConnectionLimit;

        if (VefiryCert(cert))
        {
          //...
        }
   }

Но отозванный сертификат по-прежнему считается хорошим


x509
person Tom    schedule 12.03.2010    source источник

Ответы (3)


arrow_upward
0
arrow_downward

Попробуйте установить для свойства CheckCertificateRevocationList класса ServicePointManager значение true перед вызовом Verify().

person Klaus Byskov Pedersen    schedule 12.03.2010

arrow_upward
0
arrow_downward

Попробуйте установить его в файле конфигурации приложений:

Maybe that helps..

person Kr15    schedule 31.01.2014

arrow_upward
0
arrow_downward

Валидация основана на различных факторах.

Имеет ли сертификат расширения точки распространения списка отзыва сертификатов (CDP) и доступен ли CRL? (https://tools.ietf.org/html/rfc5280#section-4.2. 1.13)

ПРИМЕЧАНИЕ. CRL кэшируются!

Единственный способ проверить валидность практически без задержек — обратиться к самому ЦС. Но я бы не рассматривал это как вариант.

Для того, чего вы пытаетесь достичь, был введен протокол онлайн-респондента (http://www.ietf.org/rfc/rfc2560.txt).

Есть ли у сертификата расширение AIA OCSP и настроен ли у вас ответчик OCSP? Каковы триггеры/интервалы OCSP (поскольку его данные также являются CRL)?

person Daniel Fisher lennybacon    schedule 25.01.2015