[Microsoft CA] OCSP unauthorized na vernieuwen root CA

[winux]

Situatie:
Microsoft Windows 2019 ADCS configuratie. 1 Root CA geen sub CA.
Root CA geldig tot halverwege 2025. Om te voorkomen dat nieuwe certificaten geen jaar meer geldig kunnen zijn, hebben we het Root CA vernieuwd in de huidige ADCS server.

Hierdoor dus tijdelijk 2 Root CA's. Nieuwe certificaten worden netjes uitgegeven met het nieuwe Root CA met nieuwe einddatum ver in toekomst. Werkt allemaal prima op alle domein end devices.

Echter krijgen we nu meldingen op certificaten die nog met het oude Root CA zijn uitgegeven dat deze wel vertrouwd zijn, Root CA vertrouwd is, alleen kan de revocation check niet worden uitgevoerd.

Met Wireshark gekeken wat er fout gaat en deze geeft bij een certificaat vanuit de nieuwe Root CA een OCSP request naar de ADCS server waarop de OCSP responder role actief is. Daarna keurig een OCSP response met certstatus: good.

Echter wanneer we dit doen met een certificaat van het oude Root CA, krijgen we als response: unauthorized.

Ik snap dat dit veroorzaakt wordt doordat er een nieuw Root CA gemaakt is, echter begrijp ik niet hoe we dit kunnen oplossen.

Simpelste oplossing alle certificaten vernieuwen is niet echt een optie, aangezien deze ook verweven zitten met client authenticatie.

Wie kan mij uitleggen wat ik over het hoofd zie?

[Aanvulling]
PKIview staat alles goed, Online Responder geeft ook geen fouten.

[ Voor 3% gewijzigd door winux op 05-03-2024 10:51 ]

[Question Mark]

Wat is de procedure die je gevolgd hebt? Ik vermoed dat je nieuwe keys gegenereerd hebt, waardoor de CRL verwijzing anders geworden is, zie ook:

https://learn.microsoft.c...ication-authority-renewal

[winux]

Dat klopt, de keys zijn ook vernieuwd. De oude CRL zonder de (1) toevoeging en de nieuwe met (1) worden ook nog gewoon gepubliceerd in Systemroot\system32\CertSrv\CertEnroll\.

[winux]

Update: Probleem opgelost

Probleem werd veroorzaakt doordat de Online Responder Revocation Configuration niet meer klopte.
Doordat deze is bijgewerkt, kunnen certificaten niet gecontroleerd worden omdat het root CA van het certificaat en het root CA van het OCSP Signing Certificate niet overeen komen.

Door een Revocation Configuration toe te voegen met het oude root CA en een OCSP Signing Certificate uitgegeven door dat betreffende root CA toe te kennen aan deze configuratie is de OCSP check nu wel mogelijk.