Приветствую, коллеги. Сразу на нескольких компьютерах перестали проверяться сертификаты Казначейства. Корневые и промежуточные сертификаты совпадали с исправным АРМ, свежий CRL скачивался, но цепочка оставалась недействительной.
Проблема
Ошибка при проверке цепочки сертификатов.
Причина оказалась редкой: срок предыдущего списка отзыва уже закончился, а поле начала действия нового CRL ещё не наступило по времени рабочего места.
Как я это увидел
Экспортировал проверяемый сертификат в файл cert.cer и запустил командную строку от имени администратора:
certutil -verify -urlfetch cert.cerВ выводе посмотрел адреса точек распространения CRL, время ThisUpdate и NextUpdate. Затем сравнил их с системной датой, временем и часовым поясом.
Что я сделал
- Исправил системное время и часовой пояс, если они отличались.
- Проверил доступность адреса CRL из сертификата.
- Скачал свежий список отзыва по адресу, указанному в сертификате.
- Открыл CRL и проверил срок его действия до установки.
- Дождался наступления времени
ThisUpdate, если новый список был выпущен «из будущего» для нашего часового пояса. - Повторил
certutil -verify -urlfetch cert.cer.
После наступления времени действия нового CRL цепочки ожили без переустановки Windows и КриптоПро.
Важно: я не включаю постоянное игнорирование отзыва сертификатов. Это скрывает проблему и ослабляет проверку подписи. Правильное решение — рабочее время, доступный адрес CRL и действующий список.
Главный диагностический признак
Если одинаковая ошибка одновременно появилась на нескольких АРМ, а сертификаты вчера работали, сначала смотрю даты CRL. Массовая поломка нескольких компьютеров в один момент маловероятна.
Получилось или остались вопросы?
Поделитесь результатом, дополните инструкцию своим опытом или задайте вопрос. Я читаю комментарии и обновляю статьи по реальным случаям.