Auf gesperrte Serverzertifikate überprüfen
Diese Richtlinie bestimmt, ob Internet Explorer bei Serverzertifikaten den Sperrstatus überprüft.
seit 0.9.8.11
Zweck
Registry-Schlüssel anzeigen (2)
HKLM\Software\Policies\Microsoft\Windows\CurrentVersion\Internet Settings\CertificateRevocationHKCU\Software\Policies\Microsoft\Windows\CurrentVersion\Internet Settings\CertificateRevocation
Diese Richtlinie bestimmt, ob Internet Explorer bei Serverzertifikaten den Sperrstatus überprüft. Eine Zertifizierungsstelle kann ein Zertifikat beispielsweise sperren, wenn der zugehörige private Schlüssel kompromittiert wurde oder das Zertifikat nicht mehr verwendet werden darf.
Ist die Richtlinie aktiviert, prüft Internet Explorer, ob das vorgelegte Serverzertifikat gesperrt wurde. Windows kann hierzu eine gültige zwischengespeicherte oder während der Prüfung abgerufene OCSP-Antwort beziehungsweise Zertifikatsperrliste (CRL) verwenden. Ist die Richtlinie deaktiviert, führt Internet Explorer diese Sperrprüfung nicht durch. Microsoft dokumentiert dasselbe Verhalten für eine nicht konfigurierte Richtlinie.
Die Einstellung steht sowohl in der Computer- als auch in der Benutzerkonfiguration zur Verfügung. Der Wert unter HKLM gehört zur Computer-, der Wert unter HKCU zur Benutzerkonfiguration.
Hinweise
Sicherheit
Ohne Sperrprüfung kann Internet Explorer ein Zertifikat weiterhin als verwendbar behandeln, obwohl die ausstellende Zertifizierungsstelle es bereits gesperrt hat. Dadurch steigt insbesondere bei kompromittierten Zertifikaten das Risiko, dass Benutzer einer betrügerischen oder nicht mehr vertrauenswürdigen Gegenstelle vertrauliche Daten übermitteln.
Die Richtlinie steuert ausschließlich die Prüfung des Sperrstatus von Serverzertifikaten. Sie ersetzt weder die übrige Zertifikatskettenprüfung noch die Prüfung von Zertifikatsnamen und Gültigkeitszeiträumen. Sie erzwingt außerdem keine allgemeine Sperrprüfung für sämtliche TLS-Clients und Windows-Komponenten.
Mögliche Nebenwirkungen
Eine Online-Sperrprüfung kann zusätzliche Abrufe von OCSP- oder CRL-Endpunkten auslösen. Ist keine geeignete Antwort zwischengespeichert, kann die Zertifikatsprüfung bis zum Abschluss eines solchen Abrufs warten.
Nicht erreichbare Sperrinformationsdienste sowie ungeeignete Firewall- oder Proxykonfigurationen können dazu führen, dass der Sperrstatus nicht ermittelt werden kann. Abhängig vom betroffenen Internet-Explorer-Vorgang sind dadurch Verzögerungen, Zertifikatsfehler oder wiederholte Proxy-Anmeldeaufforderungen möglich.
Hinweise
Es handelt sich um eine ADMX-gestützte Internet-Explorer-Richtlinie aus inetres.admx. Andere Browser, WinHTTP und Anwendungen mit einer eigenen TLS- oder Zertifikatsprüfung müssen diese Einstellung nicht auswerten.
Eine geänderte Einstellung wird für Internet Explorer gegebenenfalls erst nach dem Neustart der betroffenen Browsersitzungen wirksam.
Microsoft-Dokumentation
Microsoft Learn: InternetExplorer-Richtlinien-CSP – CheckServerCertificateRevocation
Microsoft Learn: Crypt32-Zertifikatsperrlisten-Semantik