Le service de répondeur en ligne ne renvoie pas une bonne déterministe pour tous les certificats non inclus dans la liste de révocation

Étape 1 : Structure de répertoire

1. Démarrez le bloc-notes, puis collez l’exemple de script suivant dans un nouveau document :
   
   

   param(    [ValidateScript({Test-Path $_})]
       [String] $Path
   )
   pushd $Path
   dir | foreach {
       remove-item $_ -force
   }
   certutil.exe -out serialnumber -restrict "Disposition = 20" -view | foreach {
       if($_ -match 'Serial Number: "([^"]+)"') {
           New-Item -type File $matches[1] | out-null
        } 
   }
   popd
   

2. Enregistrez le nouveau document en tant que Certs.ps1.

3. Créez un répertoire dans lequel les fichiers vides qui correspondent à tous les numéros de série émis doivent être stockés.

4. Exécutez le script Certs.ps1. Pour ce faire, exécutez la commande suivante dans Windows PowerShell :
   
   

   Certs.ps1 < emplacement du répertoire créé à l’étape 3 >

5. Examiner le répertoire que vous avez créé à l’étape 3 pour vous assurer que les fichiers correspondent aux numéros d’ordre émis.
   
   Remarque Si vous avez plusieurs autorités de certification hébergée dans votre environnement, assurez-vous que leurs répertoires correspondants du numéro de série sont différents. Ne pas partager le même répertoire entre les différentes autorités de certification.

6. Exécutez le script sur l’ordinateur de l’autorité de certification et télécharger le fichier enregistré en lui donnant une ACL restrictive. Le fichier ne doit pas être modifiable. Assurez-vous que tous les ordinateurs du répondeur en ligne de Microsoft peuvent accéder à cet emplacement.

Étape 2 : Registre

Avertissement Des problèmes graves peuvent survenir si vous modifiez le Registre incorrectement à l’aide de l’Éditeur du Registre ou en utilisant une autre méthode. Ces problèmes peuvent nécessiter que vous réinstalliez le système d’exploitation. Microsoft ne peut pas garantir que ces problèmes puissent être résolus. Modifiez le Registre à vos risques et périls.

1. Quittez toutes les applications Windows.

2. Cliquez sur Démarrer, sur exécuter, tapez regedit, puis cliquez sur OK.

3. Recherchez, puis sélectionnez la sous-clé de Registre suivante :
   
   

   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\OcspSvc\Responder

4. Cliquez sur l’autorité de certification (CA) pour lequel vous avez créé la structure de répertoire.

5. Cliquez droit sur le Nœud de fournisseur, pointez sur Nouveau, puis cliquez sur Valeur de chaînes multiples.

6. Tapez IssuedSerialNumbersDirectorieset appuyez sur ENTRÉE.

7. Cliquez sur IssuedSerialNumbersDirectories, puis cliquez sur Modifier.

8. Dans la zone données de la valeur , tapez le chemin d’accès vers le répertoire créé à l’étape 3 de la procédure de structure de répertoire et qui contient les numéros de série émis, puis cliquez sur OK.
   
   Le chemin d’accès du répertoire, utilisez le format suivant :
   
   
   

   \\<computername>\<directorylocation>Par exemple, utilisez un chemin d’accès semblable au suivant :
   
   
   

   \\contoso-ocspfileserver\SerialNumbers

9. Dans le menu Fichier, cliquez sur Quitter pour quitter l'Éditeur du Registre.

10. Installez le correctif logiciel qui est mentionné dans cet article.

Après avoir suivi les « Directory structure » et les étapes de « Registre », installez le correctif logiciel qui est mentionné dans cet article.

Résultats

Une fois le correctif installé, le service de répondeur en ligne doit effectuez les opérations suivantes :

• Renvoie une valeur de marchandise pour les certificats qui sont vérifiés

• Retourner une valeur révoqué pour les certificats qui sont inclus dans la liste de révocation

• Renvoie la valeur UNKNOWN pour tous les autres certificats ne peut pas être vérifiée.

Conditions préalables

Pour appliquer ce correctif, vous devez disposer des Service Pack 1 pour Windows 7 ou Windows Server 2008 R2 est installé.

Nécessite un redémarrage

Vous n’êtes pas obligé de redémarrer l’ordinateur après avoir appliqué ce correctif.

Informations de remplacement du correctif

Ce correctif ne remplace aucun correctif publié précédemment.