Melacak kegagalan proxy pada pemeriksaan sertifikat CRL dan OCSP

Permintaan ke situs web dapat mencapai proxy-nya dan tetap gagal karena verifikasi sertifikat memerlukan permintaan jaringan lain. Pengambilan CRL atau OCSP dapat berjalan melalui komponen platform dengan akun dan kebijakan proxy yang berbeda dari klien HTTP aplikasi.

Mulailah dari kesalahan rantai yang tepat. Dicabut berarti sesuatu yang berbeda dari tidak dapat memperoleh informasi pencabutan terkini. Kedaluwarsa dan penerbit yang tidak tepercaya adalah masalah lain lagi. Hanya kegagalan pengambilan yang menuntut pelacakan rute yang hilang ke URL status.

Untuk kegagalan itu, identifikasi tiga hal sekaligus: URL yang diambil, komponen yang melakukan pengambilan, dan identitas prosesnya. Keberhasilan peramban membuka URL di bawah akun interaktif Anda tidak membuktikan bahwa suatu layanan dapat mengautentikasi ke proxy yang sama.

Jika komponen yang teridentifikasi menggunakan WinHTTP, periksa kebijakan yang berlaku padanya. Konfigurasi proxy statis dan evaluasi proxy otomatis per URL adalah mekanisme yang terpisah. Terapkan konfigurasi yang didukung untuk akun yang dimaksud; menyalin pengaturan peramban atau mengubah runtime yang tidak terkait dapat membiarkan pengambilan sebenarnya tidak tersentuh.

Di .NET, UrlRetrievalTimeout pada kebijakan rantai mengendalikan penantian verifikasi daring atau pengambilan CRL. Memperpanjang batas waktu respons HTTP biasa tidak memperpanjang timer yang sama, dan memperpanjang timer pengambilan tidak menyediakan kredensial proxy atau rute.

Proxy HTTPS dapat membuat ketergantungan ini terlihat bahkan sebelum TLS tujuan: kepercayaan pada koneksi proxy itu sendiri mungkin memerlukan pengambilan informasi pencabutan. Pulihkan akses pengambilan yang didukung dan pengaturan kepercayaan pada tahap itu. Menonaktifkan pemeriksaan pencabutan mengubah kebijakan sertifikat; itu tidak memulihkan pengambilan yang gagal.