Estou configurando uma CA com OCSP e estou recebendo erros de validação.
Configuração bem simples
- CA publica CRL na pasta C: padrão
- CA publica URL OCSP no campo AIA
- A configuração de revogação do OCSP está funcionando (marca de seleção verde) com o certificado OCSP (ainda válido)
- O servidor Web IIS está sendo executado com o diretório OCSP
- DNS aponta para o IP correto com diretório
Revoguei alguns certificados de teste que fiz ao longo do caminho com as seguintes etapas:
- Publicou manualmente a pasta de revogação
- definir um GPO que incluísse o certificado raiz com o URL do OCSP para verificar a validade mesmo quando o certificado original não o incluísse no campo AIA
Ao testar a validade, encontrei alguns erros.
Erro 1:
Na imagem acima, a CRL confirmou que o certificado expirou e não é válido.
No entanto, ainda o uso apenas porque ESPERO que dê um erro. Não dá. Consigo acessar o site sem problemas ou aviso de que é inválido.
Erro 2:
O GPO orientaria os dispositivos clientes a verificar a validação do OCSP em certificados que não o incluíam originalmente. Surpreendentemente, meu OCSP nem está funcionando. Eu costumava certutil -urlconfirmar e recebia o status: sem sucesso. Não consigo encontrar uma lista de possíveis status em lugar nenhum, mas presumo que deveria ver "revogado" ou "expirado", se houver.