CRL

Guía práctica

Habilitar CRL

Estos ajustes solo deben aplicarse al App Service de SCEPman, no al Certificate Master. Por favor consulte Ajustes de SCEPman.

Para una comparación general de técnicas para controlar la validez de certificados, consulte nuestro artículo de blog.

AppConfig:CRL:RequestToken

Linux: AppConfig__CRL__RequestToken

Aplicable a la versión 2.3 y posteriores

Valor: Una cadena secreta personalizada compuesta por caracteres alfanuméricos y guiones

Descripción: Si establece este valor a cualquier cosa que no sea una cadena vacía, puede descargar una Lista de Revocación de Certificados (CRL) desde SCEPman. La URL de la CRL es https://scepman.contoso.de/crl/{RequestToken}, donde scepman.contoso.de es el dominio de su instancia de SCEPman y {RequestToken} es el token configurado aquí.

La CRL actualmente no contiene todos los certificados revocados. Por lo tanto, los atacantes que posean un certificado revocado y obtengan acceso a la CRL podrían usarla para intentar convencer a una parte de que su certificado revocado en realidad no está revocado, porque no está en la lista. Por ello, debe tratar el RequestToken como un secreto y, en general, solo habilitar esta función si la necesita. Debe usar la CRL únicamente cuando no sea posible usar el superior OCSP. Tenga en cuenta que equipos de red como proxies podrían registrar la URL de la CRL.

AppConfig:CRL:Source

Linux: AppConfig__CRL__Source

Aplicable a la versión 2.4 y posteriores

Valor: Ninguno (predeterminado) o Almacenamiento

Descripción: Si establece este valor en Ninguno, la CRL generada no contendrá ningún certificado revocado en absoluto. Si establece este valor en Almacenamiento, la CRL contendrá todos los certificados revocados manualmente que estén almacenados en Azure Storage.

Los certificados que se revocan automáticamente vía OCSP no se incluirán en la CRL. Por ejemplo, si desactiva un dispositivo, el certificado del dispositivo se revocará automáticamente mediante OCSP. Sin embargo, el certificado no se incluirá en la CRL.

AppConfig:CRL:AddCdp

Linux: AppConfig__CRL__AddCdp

Aplicable a la versión 2.10 y posteriores

Valor: false (predeterminado) o true

Descripción: Si establece este valor en true, SCEPman agrega una extensión de Punto de Distribución de CRL (CDP) a los certificados emitidos, que contiene la URL desde donde descargar la CRL actual de SCEPman.

AppConfig:CRL:ValidityDays

Linux: AppConfig__CRL__ValidityDays

Valor: Número de punto flotante

Descripción: El número de días que una CRL emitida es válida. Si no se configura nada, las CRL serán válidas por 0.1 días = 2.4 horas (SCEPman 2.4 y posteriores) o 30 días (SCEPman 2.3).