Abrufen von Zertifikatsperrlisten
Der Wert `usecrlchasing` steuert, wie Outlook Zertifikatsperrlisten (Certificate Revocation Lists, CRLs) abruft, wenn es die Gültigkeit eines Zertifikats überprüft.
seit 0.9.8.11
Zweck
Registry-Schlüssel anzeigen (1)
HKCU\software\policies\microsoft\office\16.0\outlook\security\usecrlchasing
Der Wert usecrlchasing steuert, wie Outlook Zertifikatsperrlisten (Certificate Revocation Lists, CRLs) abruft, wenn es die Gültigkeit eines Zertifikats überprüft. Eine CRL enthält die Seriennummern von Zertifikaten, die von der ausstellenden Zertifizierungsstelle vor Ablauf ihrer regulären Gültigkeitsdauer gesperrt wurden.
Der Wert hat den Datentyp REG_DWORD und unterstützt folgende Wertdaten:
0: Outlook verwendet die Systemstandardeinstellung und richtet sich nach dem im Betriebssystem vorgesehenen Zeitplan für das Herunterladen von CRLs.1: Outlook ruft die CRL bei bestehender Onlineverbindung immer ab.2: Outlook versucht auch bei bestehender Onlineverbindung nicht, die CRL eines Zertifikats abzurufen.
Enthält ein von Outlook verarbeitetes Zertifikat eine Adresse für den CRL-Abruf und ist die Richtlinie nicht festgelegt, versucht Outlook laut Microsoft-Richtlinienvorlage, die CRL bei bestehender Onlineverbindung von dieser Adresse abzurufen.
Hinweise
Sicherheit
Aktuelle CRLs ermöglichen Outlook festzustellen, ob ein Zertifikat nach seiner Ausstellung gesperrt wurde, beispielsweise wegen eines kompromittierten privaten Schlüssels oder einer fehlerhaften Ausstellung.
Mit 2 unterbleibt der durch diese Einstellung gesteuerte CRL-Abruf. Outlook kann dann anhand einer nicht lokal verfügbaren oder nicht aktuellen CRL nicht erkennen, dass ein Zertifikat inzwischen gesperrt wurde. Dadurch wird die Aussagekraft der Zertifikatsprüfung geschwächt; die Einstellung macht ein Zertifikat jedoch nicht automatisch vertrauenswürdig und ersetzt keine anderen Vertrauens- oder Signaturprüfungen.
Mit 0 hängt die Aktualität der verwendeten CRLs vom Abrufverhalten des Betriebssystems ab. 1 erzwingt den erneuten Abruf, solange Outlook eine Onlineverbindung erkennt, und ist deshalb auch die Vorgabe der Microsoft-365-Apps-Sicherheitsbaseline.
Mögliche Nebenwirkungen
Bei 1 kann die Zertifikatsprüfung zusätzliche Netzwerkzugriffe auf die im Zertifikat angegebenen CRL-Verteilungspunkte auslösen. Sind diese nicht erreichbar oder reagieren sie langsam, kann sich die Prüfung verzögern oder ohne aktuelle Sperrinformation abgeschlossen werden. Das Verhalten bei einer fehlenden oder veralteten CRL wird zusätzlich von den dafür vorgesehenen Outlook-Sicherheitseinstellungen beeinflusst.
Hinweise
Die Einstellung gilt benutzerbezogen für Outlook mit der Office-Versionskennung 16.0. Diese Kennung wird nicht nur von Outlook 2016, sondern auch von unterstützten Ausgaben von Microsoft 365 Apps, Office 2019 und Office LTSC verwendet.
Die von Microsoft veröffentlichte Sicherheitsbaseline führt „Wenn online immer die CRL abrufen“ als Baselinevorgabe auf. Dies ist eine Sicherheitsbaseline und nicht mit der Option „Systemstandard verwenden“ gleichzusetzen.
Microsoft-Dokumentation
Microsoft Download Center: Administrative Vorlagendateien (ADMX/ADML) für Microsoft Office