El servicio Respondedor en línea no devuelve un buen determinista para todos los certificados que no se incluyen en la lista CRL

Paso 1: Estructura de directorios

1. Inicie el Bloc de notas y, a continuación, pegue el siguiente script de ejemplo en un nuevo documento:
   
   

   param(    [ValidateScript({Test-Path $_})]
       [String] $Path
   )
   pushd $Path
   dir | foreach {
       remove-item $_ -force
   }
   certutil.exe -out serialnumber -restrict "Disposition = 20" -view | foreach {
       if($_ -match 'Serial Number: "([^"]+)"') {
           New-Item -type File $matches[1] | out-null
        } 
   }
   popd
   

2. Guarde el nuevo documento como Certs.ps1.

3. Cree un directorio en que deben almacenarse los archivos vacíos que corresponden a todos los números de serie emitidos.

4. Ejecute el script Certs.ps1. Para ello, ejecute el siguiente comando en Windows PowerShell:
   
   

   Certs.ps1 < ubicación del directorio creado en el paso 3 >

5. Examine el directorio que creó en el paso 3 para asegurarse de que los archivos corresponden a los números de serie emitidos.
   
   Nota: Si tiene varias entidades emisoras alojado en su entorno, asegúrese de que sus correspondientes directorios de número de serie son diferentes. No comparten el mismo directorio entre diferentes entidades emisoras.

6. Ejecute la secuencia de comandos en el equipo de CA y cargar el archivo guardado asignándole una ACL restrictiva. El archivo no debe ser modificable. Asegúrese de que todos los equipos del Respondedor en línea de Microsoft pueden tener acceso a esta ubicación.

Paso 2: registro

Advertencia: pueden producirse problemas graves si modifica incorrectamente el registro mediante el Editor del registro o mediante cualquier otro método. Estos problemas pueden requerir que reinstale el sistema operativo. Microsoft no puede garantizar que estos problemas puedan resolverse. Modifique el registro bajo su propio riesgo.

1. Cierre todas las aplicaciones de Windows.

2. Haga clic en Inicio, haga clic en Ejecutar, escriba regedit y, a continuación, haga clic en Aceptar.

3. Busque y seleccione la siguiente subclave del registro:
   
   

   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\OcspSvc\Responder

4. Haga clic en la entidad emisora de certificados (CA) para el que creó la estructura de directorios.

5. Haga clic en El nodo de proveedor, seleccione nuevoy, a continuación, haga clic en Valor de cadena múltiple.

6. Escriba IssuedSerialNumbersDirectoriesy, a continuación, presione ENTRAR.

7. Haga clic en IssuedSerialNumbersDirectoriesy, a continuación, haga clic en Modificar.

8. En el cuadro información del valor , escriba la ruta de acceso al directorio que creó en el paso 3 del procedimiento de estructura de directorio y que contiene los números de serie emitidos y, a continuación, haga clic en Aceptar.
   
   La ruta de directorio, utilice el siguiente formato:
   
   
   

   \\<computername>\<directorylocation>Por ejemplo, utilice una ruta de acceso similar al siguiente:
   
   
   

   \\contoso-ocspfileserver\SerialNumbers

9. En el menú Archivo, haga clic en Salir para salir del Editor del registro.

10. Instale el paquete de hotfix que se menciona en este artículo.

Después de seguir la "Estructura de directorio" y los pasos de "Registro", instale el paquete de hotfix que se menciona en este artículo.

Resultados

Después de instalar el hotfix, el servicio Respondedor en línea debe hacer lo siguiente:

• Devolver un valor del bien para los certificados que se comprueban

• Devolver un valor de REVOCADOS de los certificados que se incluyen en la lista CRL

• Devolver un valor desconocido para todos los otros certificados que no se puede comprobar

Requisitos previos

Para aplicar este hotfix, debe tener Service Pack 1 para Windows 7 o Windows Server 2008 R2 instalado.

Requisito de reinicio

No es necesario que reinicie el equipo después de aplicar este hotfix.

Información de reemplazo de revisión

Esta revisión no sustituye cualquier revisión lanzada anteriormente.