问题X509RevocationMode.Online在撤销证书验证

Question

我在线模式验证证书撤销，但CRL分发点中提到的URL没有得到命中，如果CRL已被缓存在内存中。我正在使用fiddler来验证URL是否被访问。我正在执行这些步骤。

1. 运行提琴手。
2. 开始证书验证X509RevocationMode.Online
3. 验证小提琴手，CRL分发点中提到的网址没有被捕获。
4. 从内存中清除在X509RevocationMode.Online
5. 的CRL由命令certutil -urlcache CRL delete
6. 开始证书验证现在提琴手陷入CRL分发点中提到的URL。

从上面的步骤可以明显看出，只有当CRL没有被缓存时，CRL的URL才会被命中。现在我的问题是：

1. 在线模式下访问CRL分发点中的URL提及的情况是什么？
2. 如果CRL已被缓存，X509Certificate如何验证CRL是否已更新或没有点击URL？
3. 我是否错过了CRL的概念？

这里是我的代码

private void BuildCertificateChain(X509Certificate2 certificate) 
    { 
     string error = null; 
     X509Chain certificateChain = new X509Chain(); 
     certificateChain.ChainPolicy.RevocationFlag = X509RevocationFlag.EntireChain; 
     certificateChain.ChainPolicy.VerificationTime = DateTime.Now; 

     certificateChain.ChainPolicy.RevocationMode = X509RevocationMode.Online; 
     certificateChain.ChainPolicy.UrlRetrievalTimeout = new TimeSpan(0, 0, 15); 

     try 
     { 
      if (certificateChain.Build(certificate)) 
      { 
       foreach (X509ChainElement element in certificateChain.ChainElements) 
       { 
        Trace.WriteLine(string.Format("Issuer = {0}\nSubject = {1}", element.Certificate.Issuer, element.Certificate.Subject)); 
        element.Certificate.Verify(); 
       } 
      } 
      else 
      { 

       error = string.Format("File {0} digital signature seems to be not valid due to a certificate in certificate chain being revoked. Revocation reasons are:\n", filename); 
       foreach (X509ChainStatus status in certificateChain.ChainStatus) 
       { 
        error += status.StatusInformation; 
       } 
      } 
     } 
     catch (Exception ex) 
     { 
      error = string.Format("Exception building certificate chain for executing application {0}. The error is {1}", _executingAppFileName, ex.Message); 
     } 

     if (!string.IsNullOrEmpty(error)) 
     { 
      //SetError(error); 
     } 
    } 
} 

Answer 1

使用缓存的版本，而不是重新检索CRL通常是功能，而不是一个错误。

应该发生什么：

1. 的CRL发布网站应该使用正确的高速缓存指令到HTTPS客户是谁检索CRL进行验证。
2. 应该根据服务器的指示执行机器上的缓存。 （顺便说一下，磁盘通常用于高速缓存的互联网文件，而不是内存。）

但是，以上都不是。如果你想成为偏执狂，你可以刷新操作系统中的互联网文档缓存。

回复您的问题：

1. 什么是当CRL分发点URL提到在在线模式被访问的情景？ [当CRL不在高速缓存中时]
2. 如果CRL已经被缓存，X509Certificate如何验证CRL是否已更新或未找到URL？ [https的缓存控件用于假定缓存版本的CRL与远程服务器上的版本相同。]
3. 我是否缺少CRL的概念？ [也许。 CRL过程并不意味着是一个奇闻趣事的实时同步多机系统。这个想法是，大多数情况下，证书自然失效。撤销/ CRL过程不应该是一个正常的过程，应该更像是一个例外过程。您的问题意味着CRL正在逐秒更新 - 如此之快以至于正常的网页缓存技术是不可接受的。你为什么相信这个？你想要保护自己什么？人类是否决定在正常到期时间或机器之前撤销证书？]

换句话说，如果CRL一直在更新，那么它应该与缓存头集一起发送因此。在这种情况下，您应该测试您的操作系统是否正确缓存结果。如果您担心操作系统出错，那么您应该明确删除缓存。

补充：

A blog entry关于检查恶意软件的数字证书。