makecertで証明書失効リスト（CRL）を作成し、pvk2pfxで.pfxにバンドルします。

Question

クライアント証明書で内部的にアプリケーションを認証するために、makecertアプリケーションを使用してルート証明書とクライアント証明書を作成しました。

すべてがうまく動作しますが、私はX509Certificate2 Verifyメソッドを使用するとき、私は次のエラーを取得する：

The revocation function was unable to check revocation for the certificate

X509Certificate2 cert = actionContext.Request.GetClientCertificate(); 
cert.Verify(); 

私はX509Chainを作成することでこれを回避して、RevocationMode = X509RevocationMode.NoCheckにX509ChainPolicyを設定することができます。

X509Certificate2 cert = actionContext.Request.GetClientCertificate(); 

if (cert == null) 
{ 
    actionContext.Response = new HttpResponseMessage(System.Net.HttpStatusCode.Unauthorized) 
    { 
     ReasonPhrase = "Client Certificate Required" 
    }; 
} 
else 
{ 
    X509Chain chain = new X509Chain(); 

    //Needed because the error "The revocation function was unable to check revocation for the certificate" will happen otherwise 
    chain.ChainPolicy = new X509ChainPolicy() 
    { 
     RevocationMode = X509RevocationMode.NoCheck, 
    }; 
    try 
    { 
     var chainBuilt = chain.Build(cert); 
     Debug.WriteLine(string.Format("Chain building status: {0}", chainBuilt)); 

     if (chainBuilt == false) 
     { 
      actionContext.Response = new HttpResponseMessage(System.Net.HttpStatusCode.Unauthorized) 
      { 
       ReasonPhrase = "Client Certificate not valid" 
      }; 
      foreach (X509ChainStatus chainStatus in chain.ChainStatus) 
      { 
       Debug.WriteLine(string.Format("Chain error: {0} {1}", chainStatus.Status, chainStatus.StatusInformation)); 
      } 
     } 
    } 
    catch (Exception e) 
    { 
     Debug.WriteLine(e.ToString()); 
    } 
} 

しかし、これは興味がありました。ある程度、Certificate Revocation List (CRL)をmakecertで作成してpvk2pfxという.pfxにバンドルすると、X509Certificate2 Verifyで受け付けられますか？

Answer 1

msdnで解決策が見つかりました。

https://msdn.microsoft.com/en-us/library/ff648732.aspx

あなたのルート証明書は、次のコマンドを実行して作成した後：

makecert -crl -n "CN=RootCATest" -r -sv RootCATest.pvk RootCATest.crl 

サーバーとクライアントの両方のマシンでCRLファイルをインストールします。 MMCを使用して、信頼されたルート証明機関ストアのクライアントコンピュータとサーバーコンピュータにRootCATes.crlをインストールします。

MMC - >ファイル - >スナップインの追加と削除] - > [証明書] - > [ユーザーアカウント

信頼されたルート証明機関] - > [証明書] - >右クリック - > [すべてのタスク] - > [インポート] - > [RootCATest。私はpvk2pfxと一緒にバンドルすることはできませんでしたが、この後、私はVerifyを実行することができました。