# CRL

## Anleitung

{% content-ref url="../../zertifikatverwaltung/manage-certificates/crl-aktivieren" %}
[crl-aktivieren](https://docs.scepman.com/de/zertifikatverwaltung/manage-certificates/crl-aktivieren)
{% endcontent-ref %}

{% hint style="info" %}
Diese Einstellungen sollten nur auf den SCEPman App Service angewendet werden, nicht auf den Certificate Master. Bitte verweisen Sie auf [SCEPman-Einstellungen](https://docs.scepman.com/de/scepman-konfiguration/application-settings).
{% endhint %}

Für einen allgemeinen Vergleich von Techniken zur Kontrolle der Zertifikatsgültigkeit werfen Sie einen Blick in [unseren Blogartikel](https://www.glueckkanja.com/blog/products/2023/05/certificate-revocation-en/).

## AppConfig:CRL:RequestToken

*Linux: AppConfig\_\_CRL\_\_RequestToken*

{% hint style="info" %}
Gilt für Version 2.3 und höher
{% endhint %}

**Wert:** Ein benutzerdefinierter Geheimstring bestehend aus alphanumerischen Zeichen und Bindestrichen

**Beschreibung:** Wenn Sie diesen Wert auf etwas anderes als einen leeren String setzen, können Sie eine Certificate Revocation List (CRL) von SCEPman herunterladen. Die URL der CRL ist <https://scepman.contoso.de/crl/{RequestToken}>, wobei scepman.contoso.de die Domain Ihrer SCEPman-Instanz und {RequestToken} das hier konfigurierte Token ist.

Die CRL enthält derzeit nicht alle widerrufenen Zertifikate. Daher könnten Angreifer, die ein widerrufenes Zertifikat besitzen und Zugriff auf die CRL erhalten, versuchen, eine Partei davon zu überzeugen, dass ihr widerrufenes Zertifikat tatsächlich nicht widerrufen ist, weil es nicht in der Liste steht. Behandeln Sie daher das RequestToken als Geheimnis und aktivieren Sie diese Funktion im Allgemeinen nur, wenn Sie sie benötigen. Verwenden Sie die CRL nur dort, wo die überlegene OCSP nicht möglich ist. Bedenken Sie, dass Netzwerkausrüstung wie Proxies die URL der CRL protokollieren könnte.

## AppConfig:CRL:Source

*Linux: AppConfig\_\_CRL\_\_Source*

{% hint style="info" %}
Gilt für Version 2.4 und höher
{% endhint %}

**Wert:** *Keine* (Standard) oder *Speicher*

**Beschreibung:** Wenn Sie diesen Wert auf *Keine*setzen, enthält die erzeugte CRL überhaupt keine widerrufenen Zertifikate. Wenn Sie diesen Wert auf *Speicher*setzen, enthält die CRL alle manuell in Azure Storage gespeicherten widerrufenen Zertifikate.

Zertifikate, die automatisch über OCSP widerrufen werden, werden nicht in die CRL aufgenommen. Wenn Sie beispielsweise ein Gerät deaktivieren, wird das Zertifikat des Geräts automatisch über OCSP widerrufen. Das Zertifikat wird jedoch nicht in die CRL aufgenommen.

## AppConfig:CRL:AddCdp

*Linux: AppConfig\_\_CRL\_\_AddCdp*

{% hint style="info" %}
Gilt für Version 2.10 und höher
{% endhint %}

**Wert:** *false* (Standard) oder *true*

**Beschreibung:** Wenn Sie diesen Wert auf *true* fügt SCEPman ausgestellten Zertifikaten eine CRL Distribution Point (CDP)-Erweiterung hinzu, die die URL enthält, von der die aktuelle CRL von SCEPman heruntergeladen werden kann.

## AppConfig:CRL:ValidityDays

*Linux: AppConfig\_\_CRL\_\_ValidityDays*

**Wert:** *Gleitkommazahl*

**Beschreibung:** Die Anzahl der Tage, für die eine ausgestellte CRL gültig ist. Wenn nichts konfiguriert ist, sind CRLs gültig für **0,1 Tage** = 2,4 Stunden (SCEPman 2.4 und neuer) oder **30 Tage** (SCEPman 2.3).
