Не удалось проверить список отзыва сертификатов в IE - есть ли исправления на стороне сервера? - PullRequest
Новая
       41

Не удалось проверить список отзыва сертификатов в IE - есть ли исправления на стороне сервера?

0 голосов
/ 11 декабря 2018

В Internet Explorer есть предупреждение для моего сайта: «Информация об отзыве сертификата безопасности для сайта недоступна ...».В Chrome или Firefox таких ошибок нет.Проведя небольшое исследование, я смог выяснить, что Chrome / Firefox используют OCSP для проверки отзыва сертификата или нет.Кроме того, существует альтернативное сшивание OCSP, которое я могу настроить на своем веб-сервере.

Мои вопросы:

  1. Почему Internet Explorer не выполняет процесс проверки состояния отзыва сертификата, в то время как другойкакие браузеры работают?
  2. Существует ли исправление, которое мы могли бы сделать на сервере, чтобы исправить эту проблему на стороне сервера для обозревателя Интернета без функции OCSP?
  3. Является ли это реальной уязвимостью?

Спасибо, Халим.

1 Ответ

0 голосов
/ 11 декабря 2018

Почему Internet Explorer не выполняет процесс проверки статуса отзыва сертификата, в то время как другие браузеры работают?

по умолчанию, веб-браузеры используют ошибку проверки мягкого отзыва.Если статус отзыва RevocationOffline, ошибка пропускается без уведомления.Некоторые браузеры могут быть настроены на использование жесткой проверки отзыва, как вы видите в Internet Explorer.Это результат такой конфигурации.

Есть ли исправление, которое мы могли бы сделать на сервере, чтобы исправить эту проблему на стороне сервера для Internet Explorer без функции OCSP?

Internet Explorer использует как OCSP, так и CRL.Сшивание OCSP поддерживается и в IE.

  1. Если сшивание OCSP представлено во время рукопожатия TLS, оно используется для определения статистики отзыва.

  2. Если 1 не удается и URL-адреса OCSP доступны, выполняется попытка OCSP.Если OCSP отвечает точной информацией, проверка отзыва заканчивается статусом ответа.

  3. Если 1 и 2 не пройдены, выполняется попытка CRL.Если информация о CRL доступна и свежа, она используется для определения статуса отзыва.Если произойдет сбой CRL, возникает ошибка RevocationOffline.

Проверка отзыва может быть неудачной на каждом уровне, поэтому вам может потребоваться провести более тщательное расследование.Например, сохраните сертификат SSL веб-сервера в файл .CER и выполните команду certutil: 

certutil -verify -urlfetch path\sslcert.cer

и проверьте вывод на наличие ошибок.

Является ли это реальной уязвимостью?

это зависит.Проблема в том, что вы не можете определить, аннулирован ли представленный сертификат его полномочиями или нет.Если ключ веб-сайта будет взломан и отозван, вы не заметите этого и примете сертификат.Я бы посчитал это вопросом, требующим решения.

...