Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

278 Kapitel 10: Implementieren der Active Directory-Zertifikatdienste
Bei Clients, die Verbindungen zu einem Knoten herstellen, dessen Zertifizierungsstellenzertifikat
oder Zertifikatsperrliste abgelaufen oder nicht vorhanden ist, schlägt die Zertifikatsperrprüfung
fehl, was unter Umständen die Ausführung der Anwendung verhindert.
Etwa 80 Prozent der Anrufe beim Produktsupport zum Thema Zertifikatnutzung werden
durch falsch veröffentlichte Zertifizierungsstellenzertifikat- und Zertifikatsperrlisteninformationen
verursacht.
Seth Scruggs, PSS Support Engineer
Am besten können Sie Zertifikatsperrprüfungsangriffe verhindern, indem Sie sicherstellen,
dass alle Benutzer jederzeit auf Veröffentlichungspunkte für die Zertifikatsperrprüfung zugreifen
können. Das Zertifikatverkettungsmodul muss Zugriff auf die Zertifikatsperrliste
und das Zertifizierungsstellenzertifikat jeder Zertifizierungsstelle in der Zertifikatkette oder
auf den OCSP-Responder für jede Zertifizierungsstelle in der Kette haben, falls OCSP für
die Zertifikatsperrprüfung eingesetzt wird. Falls irgendeine Zertifizierungsstelle in der Zertifikatsperrliste
der Zertifikatkette, irgendein Zertifizierungsstellenzertifikat oder irgendein
OCSP-Responder nicht verfügbar ist, verhindert das Verkettungsmodul, dass dieses Zertifikat
benutzt wird (sofern die Zertifikatsperrung aktiviert ist). Sie können sicherstellen, dass
die Clients Kontakt mit dem Zertifikatsperrlisten-Verteilungspunkt oder dem OCSP-Responder
bekommen, indem Sie die URLs auf Serverclustern oder Lastverteilungsclustern mit
sehr hoher Verfügbarkeit hosten.
Abbildung 10.2 Die Reihenfolge der URLs ist sehr wichtig
für die CDP- und AIA-Erweiterungen