离线撤销模式

Question

我的问题与这个问题类似.

我试图只使用本地CRL检查撤销列表.

我使用X509Chain.Build()与以下参数:

    var chainMachine = new X509Chain(true);
            chainMachine.ChainPolicy.RevocationFlag = X509RevocationFlag.EntireChain;
            chainMachine.ChainPolicy.UrlRetrievalTimeout = TimeSpan.FromSeconds(30);
            chainMachine.ChainPolicy.VerificationFlags = X509VerificationFlags.NoFlag;
            chainMachine.ChainPolicy.VerificationTime = DateTime.Now;
            chainMachine.ChainPolicy.RevocationMode = X509RevocationMode.Offline;

但我得到以下错误:

1. RevocationStatusUnknown =>撤销功能无法检查证书的吊销.
2. OfflineRevocation =>撤销功能无法检查证书的吊销,因为吊销服务器处于脱机状态.

奇怪的是,一旦我尝试在线检查撤销列表(因此CRL将被更新),问题就解决了.所以它看起来一旦缓存中有任何东西,问题就不能再复制了.

我认为可能错误消息不正确,实际发生的是当缓存为空时会出现一些异常导致此消息弹出.另一个选择是,可能有一些标志说明缓存是否已经更新,如果它从未更新过,它会尝试从外部服务器获取信息

任何人都可以指出这个问题的原因是什么？

Answer 1

X509RevocationMode.None：不检查 CRL 或 OCSP。

X509RevocationMode.Offline：如果 CRL 已缓存且仍然有效，则将其用于撤销。否则，如果证书应该有吊销检查（取决于 EntireChain/ExcludeRoot/EndCertificateOnly），报告 OfflineVerification|RevocationStatusUnknown。（OCSP 响应也可能被缓存，如果它们的 nextUpdate 值建议为；但我不确定它是否确实如此）。

X509RevocationMode.Online：如果证书中描述了 OCSP 端点，则执行 OCSP 检查。如果 OCSP 没有产生决定性的答案并且定义了 CRL 分发点，请检查 CRL 的缓存。如果有效，则以此作为撤销的依据；否则下载 CRL 并缓存它。如果查找吊销状态的所有尝试都失败，请设置 RevocationStatusUnknown。

由于 CRL 过期，离线模式很棘手。即使您在一小时前才完成在线请求，也不意味着离线现在可以工作。我能想到的最好的用途是让快乐之路走得更快；并且如果您遇到除 RevocationStatusUnknown 或 OfflineRevocation 以外的任何错误，则认为链失败了……但是这两种方法中的任何一种都意味着在在线模式下再次询问。

（可以通过http://referencesource.microsoft.com确定，离线对应于 CERT_CHAIN_REVOCATION_CHECK_CACHE_ONLY，在https://msdn.microsoft.com/en-us/library/windows/desktop/aa376078（ v=vs.85).aspx，但也许“仅检查缓存”部分更有启发性）