Windows: ฉันจะวินิจฉัยความล้มเหลวในการตรวจสอบการเพิกถอนใบรับรองได้อย่างไร เมื่อฉันทราบว่ามีการตอบกลับว่าตกลงแล้ว

TL;DR; จะค้นพบสิ่งผิดปกติกับการตอบสนองของ OCSP บน Windows ได้อย่างไร

ฉันกำลังพยายามติดตั้งใบรับรองใหม่ใน Exchange Server 2019 ภายในองค์กร แต่ Exchange รายงานเสมอว่าใบรับรองใหม่ไม่ผ่านการตรวจสอบการเพิกถอนและจะไม่ใช้งาน ใบรับรองใหม่มีห่วงโซ่ความน่าเชื่อถือจากใบรับรองใหม่ ผ่าน CA ระดับกลางไปยัง CA รูทของฉัน เมื่อฉันเปิดใบรับรองใหม่ใน certmgr.msc ฉันเห็นว่าห่วงโซ่นั้น และใบรับรองทั้งหมดถูกรายงานว่าตกลงใน certmgr ฉันได้ติดตั้ง root CA ของฉันในร้านค้า âTrusted Root Certification Authoritiesâ store ฉันได้ติดตั้ง CA ระดับกลางในร้านค้า âIntermediate Certification Authoritiesâ

ใบรับรองใหม่ การเข้าถึงข้อมูลผู้มีอำนาจ URL ระบุผู้ตอบกลับ OCSP ของฉันเอง ฉันรู้ว่านี่ไม่ใช่ปัญหาการเชื่อมต่อหรือพร็อกซี เพราะฉันเฝ้าดูบันทึก OCSP แบบเรียลไทม์ และฉันรู้ว่ามีการเชื่อมต่อแล้ว และผู้ตอบกลับ OCSP ของฉันก็ส่งใบรับรองว่า âOKâ ฉันได้ทดสอบด้วย openssl-ocsp บนโฮสต์ linux และการตรวจสอบนั้นสำเร็จเมื่อฉันใช้คำสั่ง openssl นี้:

   opensl ocsp 
      - ผู้ออก "$ca_sub_cert_file" 
      -ใบรับรอง "$exchangeCert" 
      -resp_text 
      -CApath "$CA_ROOTS_HASHES_DIR" 
      -url "http://$hostNameFull:$ocsp_port/"

โปรดทราบว่าคำสั่ง openssl ข้างต้นอ้างถึงไฟล์ ผู้ออก, และ CApathและนั่นทำให้เกิดความเชื่อถือต่อ CA ระดับกลาง บน Windows ฉันคาดว่าการติดตั้ง root-ca และ CA ระดับกลางจะเปิดใช้งานความน่าเชื่อถือสำหรับการตอบสนองของ OCSP ในทำนองเดียวกัน แต่ฉันไม่ทราบว่าจะทดสอบสิ่งนี้ได้อย่างไร

ไม่จำเป็น แต่ฉันยัง âติดตั้งâ ใบรับรองสำหรับ ocsp-responder ฉันอนุญาตให้วิซาร์ดเลือกร้านค้าโดยอัตโนมัติ และไม่พบตำแหน่งที่เก็บ ไม่ปรากฏขึ้นเมื่อฉันค้นหาใน certmgr.msc ฉันไม่ได้ติดตั้งด้วยตนเองเพราะฉันไม่รู้ว่าร้านไหนที่ฉันควรใช้

ฉันสงสัยว่าการตอบสนองจากตัวตอบกลับ openssl OCSP ของฉันนั้นผิดสำหรับ Exchange Server 2019 ทฤษฎีของฉันคือ:

• ไม่สามารถสร้าง trust chain จากใบรับรองใหม่ไปยัง root ของฉันได้ แคลิฟอร์เนีย
• ห่วงโซ่ถูกสร้างขึ้น แต่หนึ่งในใบรับรองสำหรับ ocsp-responder, intermediate-ca หรือ root-ca ไม่น่าเชื่อถือ สม่ำเสมอ แม้ว่าจะมีการติดตั้ง intermediate-ca และ root-ca
• openSSL การตอบสนองเข้ากันไม่ได้กับ Windows และหรือ Exchange Server 2019

ฉันจะทดสอบทฤษฎีข้างต้นได้อย่างไร ฉันค้นหาบันทึกเหตุการณ์ของ windows แต่ไม่มีการกล่าวถึง OCSP หรือการเพิกถอน