问题标签 [certificate-revocation]

给定某个 CRL，例如：

http://crl.verisign.com/pca1.crl

下载它，并要求openssl验证它并显示其内容就像一个魅力：

有没有办法找出哪个CA 证书验证了这个 CRL 的真实性？

或者是唯一的方法来遍历证书存储中的证书，并一个一个地尝试它们直到匹配？

我制作了一个由本地计算机上创建的 CA 签名的 openssl 证书。

该证书已被删除，我不再拥有它。

无法创建具有相同 commonName 的另一个证书，因为 openssl 不允许这样做并且会生成错误：

如何撤销证书以创建另一个具有相同 commonName 的证书？

我想验证 X509 证书。我想去X509Certificate2.Verify()方法。

但是，该文档没有说明它验证的所有内容。

1. 请指导我查看一些提供此方法详细信息的文档。
2. Verify() 方法是否根据吊销列表验证证书？如果是，如果在线列表不可用或网络不可用怎么办？
3. 根据吊销列表验证证书时是否会影响性能？

我在实验室的同一台机器上安装了 AD、AD CS 和 OCSP 并进行了配置。然后我使用 C# 来拥有一个 OCSP 客户端，以便它可以发送吊销检查请求并解析本地计算机上安装的特定证书的响应。C# 代码是使用 Bouncy Castle 程序集构建的 (http://www.bouncycastle.org/csharp/)

问题是，如果我在 AD CS 上颁发了证书并撤销了它，并发布了 CRL 和 Delta CRL，我的 OCSP 客户端仍然说这个证书是好的，直到我单击 AD CS 中的 Refresh Revocation Data -> OCSP ->阵列配置。

我已通过 LDAP://XXXX 将 OCSP 中的撤销配置的提供者配置为我的本地 CRL，

我还指定我的撤销提供程序每 5 分钟刷新一次 CRL。

有什么方法可以将我的 OCSP 设置为“实时”，这意味着在我撤销证书之后，我的 OCSP 客户端就会知道它已被撤销。或者，我的 OCSP 可以自动获取 CRL，而不是手动单击刷新吊销数据。

当你请求 OCSP 服务器检查证书的吊销状态时，它会自动检查整个链的吊销状态吗？

即：如果它说证书是“好”的，那么这是否意味着整个链条都是好的？

我阅读了规范：http ://www.ietf.org/rfc/rfc2560.txt

但我似乎仍然不清楚。

维基百科确实提到了链式 OCSP 请求：

http://en.wikipedia.org/wiki/Online_Certificate_Status_Protocol

我在使用 openssl 创建包含用于测试的 crl 分发点的 x509 证书时遇到问题。

我检查了文档并找到了用于此目的的配置设置 crlDistributionPoints。不幸的是，openssl 总是生成 x509 版本 1 证书，而不是带有 crl 分发点的版本 3 证书。我确定我的命令或配置有问题，但仔细阅读文档并尝试配置并没有帮助。考虑了配置文件中的其他设置，因此我确定文件本身被 openssl 使用。

我正在使用命令

我正在使用以下配置文件：

有任何想法吗？

我正在寻找一种方法来指示 .NET 运行时，它不应使用某些程序集的相应证书颁发机构在线检查代码签名证书的吊销状态。这些程序集在 IIS 下的 SharePoint 2010 网站中运行，位于安全受限的内部网络中，该内部网络无法访问 Internet，因此无法查询 CA。

我们已尝试设置 CAS 策略来强制对此代码完全信任：

此设置已部署为自定义wss_minimaltrust.config文件的一部分。但是，这对 CRL 检查机制没有影响。

解决此问题的正确方法是什么：其他/正确的 .NET 配置，可能在machine.config某些 Windows Server 2008 R2 配置中，还有什么？

如果我定期（10 次/月）吊销我的开发证书，有什么问题吗？

假设我正在使用具有1 个开发证书和 3 个配置文件的不同系统开发 3 个应用程序。我会定期将新设备添加到我们所有的临时配置文件中。

在其他 2 台机器上安装配置文件时，Xcode Organizer显示警告为“ A valid signing identity matching this profile could not be found in your keychain ”。所以我刚刚撤销了我之前的证书并从同一个机器钥匙串生成了新的证书请求。下载新证书后，一切似乎都正常。

然而，其他机器Xcode 组织者在尝试修改和下载配置文件时会显示相同的警告。所以我总是会以这种方式解决问题（撤销并重新生成新问题）。

所以我想知道，如果我定期撤销我的开发证书（如帐户禁令/封锁等），会有什么问题吗？

我正在尝试检查 x509 证书是否被吊销：

并得到这个异常：

如何将该 crl 文件转换为 DER 编码的 crl 文件？谢谢！

我正在开发一个 C# .net 3.5 应用程序。我正在尝试使用 WinVerifyTrust 验证文件签名。我还想要一个吊销检查，所以我设置了 WinTrustData 的以下参数。

一切正常，除非我将系统时间向前移动，然后该方法被卡住并且 winVerifyTrust 仅在很长一段时间后才返回答案。

您知道为什么会发生这种情况，我该如何预防？

谢谢