En ocasiones debemos configurar el acceso interno y externo a las listas de revocación de certificados con Entidades de Certificación de confianza, habitualmente autoemitidas. Si hemos comprado un certificado, estas estarán disponibles y no tendremos ente problema seguramente. En otros casos en los que obtenemos errores indicando que no es posible acceder a la lista de revocación de certificados (CRL), debemos comprobar:
- El dominio en el que se publica esta accesible dentro de la red interna y desde fuera de ella.
- Podemos navegar y acceder a la lista CRL via web
- No aparecen errores relacionados en la Autoridad de certificación
Desde cualquier equipo con Windows esta disponible en la linea de comandos «certutil» en la que debemos añadir el parámetro con la URL que queramos verificar:
certutil -URL «http://ejemplo.kds.cloud:8682/CertEnroll/CA%20nombre%20compuesto.crl»
Seleccionamos el certificado CER y recuperamos las direcciones web del CRL, en este caso vemos que pese a poder navegar y acceder no es posible acceder…
Después de comprobar todos los pasos, activamos temporalmente la visualización/listado del servidor que contine los CRL y nos encontramos por fin con el error! El nombre de la CA con la que se publican es demasiado largo y con espacios, por lo que con la seguridad predeterminada de IIS no es posible acceder.
Es posible deshabilitar en la aplicación de IIS esta verificación, pero no es una práctica de seguridad recomendada. Por lo que otra opción sencilla sería acortar el nombre desde la CA en la configuración de extensiones, por ejemplo: «http://ejemplo.kds.cloud/listado.crl»
Volvemos a emitir e instalar el certificado, en el que aparecerá la nueva CRL y volvemos a verificar con certutil, ahora sin problemas de acceso:
