CRL/OCSP недоступны: подпись не проверяется — как исправить в Windows (2025)

Для проверки подписи Windows тянет списки отзыва и OCSP по URL из сертификата. Если сеть/прокси/время мешают, верификация падает. Разберём, что проверить и как быстро восстановить.

1) Узнаём адреса CRL/OCSP из сертификата

Командная строка — выполнять по одной:

certutil -dump C:\certs\your.cer
# В выводе ищите: CRL Distribution Points, Authority Information Access (OCSP)
Нужна помощь? Подключусь удалённо, перенесу ключи/сертификаты, настрою ГОСТ TLS на IIS и решу проблемы CRL/OCSP.

2) Прокси для WinHTTP

Службы Windows используют настройки WinHTTP. Импортируйте конфигурацию из Internet Options или задайте прокси вручную.

Командная строка (Администратор) — выполнять по одной:

netsh winhttp show proxy
netsh winhttp import proxy source=ie
REM Или задать вручную:
netsh winhttp set proxy proxy-server="http=myproxy.local:3128;https=myproxy.local:3128" bypass-list="localhost;127.0.0.1;*.local"

3) Время и часовой пояс

Несовпадение времени ломает проверку цепочки и OCSP. Синхронизируйте службу времени.

Командная строка (Администратор) — выполнять по одной:

w32tm /query /status
w32tm /resync

4) Чистим кэш и тестируем загрузку CRL/OCSP

Командная строка (Администратор) — выполнять по одной:

certutil -urlfetch -verify C:\certs\your.cer
certutil -url http://example.com/path/to.crl
certutil -url http://ocsp.example.com/

В окне certutil нажмите «Retrieve» и смотрите результат. Ошибки соединения укажут на сетевую проблему, 401/403 — на ограничения доступа.

5) Фаервол и DPI

  • Разрешите выход на адреса CRL/OCSP из сертификатов Ваших УЦ.
  • Отключите расшифровку TLS на этих доменах, если DPI ломает OCSP.
  • Проверьте, что антивирус не блокирует процесс lsass.exe и службы криптографии.

6) Цепочки УЦ и автообновление корней

Если корневой/промежуточный сертификат не установлен, проверка отзыва тоже может падать.

Командная строка (Администратор) — выполнять по одной:

certutil -addstore root C:\certs\root-ca.cer
certutil -addstore CA   C:\certs\intermediate-ca.cer

Читайте также: