CRL

Guia prático

Habilitando CRL

Estas configurações devem ser aplicadas apenas ao Serviço de Aplicativo SCEPman, não ao Certificate Master. Por favor consulte Configurações do SCEPman.

Para uma comparação geral das técnicas para controlar a validade de certificados, consulte nosso artigo de blog.

AppConfig:CRL:RequestToken

Linux: AppConfig__CRL__RequestToken

Aplicável à versão 2.3 e superior

Valor: Uma string secreta personalizada composta por caracteres alfanuméricos e traços

Descrição: Se você definir este valor para qualquer coisa que não seja uma string vazia, poderá baixar uma Lista de Revogação de Certificados (CRL) do SCEPman. A URL da CRL é https://scepman.contoso.de/crl/{RequestToken}, onde scepman.contoso.de é o domínio da sua instância SCEPman e {RequestToken} é o token configurado aqui.

A CRL atualmente não contém todos os certificados revogados. Assim, invasores que possuam um certificado revogado e que tenham acesso à CRL podem tentar utilizá-la para convencer outra parte de que seu certificado revogado na verdade não está revogado, porque não está na lista. Portanto, você deve tratar o RequestToken como um segredo e, em geral, habilitar este recurso apenas se realmente precisar. Você deve usar a CRL somente quando não for possível usar o OCSP, que é superior. Tenha em mente que equipamentos de rede, como proxies, podem registrar a URL da CRL.

AppConfig:CRL:Source

Linux: AppConfig__CRL__Source

Aplicável à versão 2.4 e superior

Valor: Nenhum (padrão) ou Armazenamento

Descrição: Se você definir este valor para Nenhum, a CRL gerada não conterá nenhum certificado revogado. Se você definir este valor para Armazenamento, a CRL conterá todos os certificados revogados manualmente que estão armazenados no Azure Storage.

Certificados que são revogados automaticamente via OCSP não serão incluídos na CRL. Por exemplo, se você desativar um dispositivo, o certificado do dispositivo será revogado automaticamente via OCSP. No entanto, o certificado não será incluído na CRL.

AppConfig:CRL:AddCdp

Linux: AppConfig__CRL__AddCdp

Aplicável à versão 2.10 e superior

Valor: false (padrão) ou true

Descrição: Se você definir este valor para true, o SCEPman adiciona uma extensão CRL Distribution Point (CDP) aos certificados emitidos, que contém a URL de onde baixar a CRL atual do SCEPman.

AppConfig:CRL:ValidityDays

Linux: AppConfig__CRL__ValidityDays

Valor: Número de ponto flutuante

Descrição: O número de dias que uma CRL emitida é válida. Se nada estiver configurado, as CRLs serão válidas por 0,1 dias = 2,4 horas (SCEPman 2.4 e mais recentes) ou 30 dias (SCEPman 2.3).