CRL と OCSP 証明書チェックにおけるプロキシ障害の追跡

Web サイトへの要求がプロキシに到達しても、証明書の検証に別のネットワーク要求が必要なために失敗することがあります。CRL や OCSP の取得は、アプリケーションの HTTP クライアントとは異なるアカウントとプロキシ ポリシーを持つプラットフォーム コンポーネントを通じて実行される場合があります。

正確なチェーン エラーから始めます。失効は現在の失効情報を取得できませんとは異なる意味です。有効期限切れと信頼されていない発行者もまた別の問題です。取得の失敗だけが、状態 URL への欠落した経路を追跡する必要があります。

その失敗については、取得されている URL、取得を実行するコンポーネント、およびそのプロセス ID の 3 つを一緒に特定します。ブラウザーが対話型アカウントで URL を正常に開けたとしても、サービスが同じプロキシに対して認証できることは証明されません。

特定されたコンポーネントが WinHTTP を使用している場合は、それに適用されるポリシーを確認します。静的プロキシ構成と URL ごとの自動プロキシ評価は別々のメカニズムです。 目的のアカウントに対してサポートされている構成を適用します。ブラウザーの設定をコピーしたり、無関係なランタイムを変更したりしても、実際の取得は影響を受けない可能性があります。

.NET では、チェーン ポリシーの UrlRetrievalTimeout がオンライン検証または CRL 取得の待機を制御します。通常の HTTP 応答タイムアウトを延長しても同じタイマーは延長されず、取得タイマーを延長してもプロキシ資格情報や経路は提供されません。

HTTPS プロキシは、宛先の TLS より前でもこの依存関係を可視化できます。プロキシ接続への信頼自体が失効情報の取得を必要とする場合があります。その段階で、サポートされている取得アクセスと信頼の取り決めを復元します。失効チェックを無効にすると証明書ポリシーが変わるだけで、失敗した取得は復元されません。