Contenido

Introducción

Problema

Causa

Resolución

Introducción

Este documento describe cómo resolver los errores de revocación de certificados del navegador mientras se utiliza el filtrado de Umbrella.

Problema

Cuando se utiliza el modo de sólo permitir o la configuración de categoría restrictiva, a menudo es necesario agregar varios dominios a la lista de permitidos para que un sitio se cargue correctamente.

Un problema específico es que las listas de revocación de certificados (CRL) para sitios web HTTPS/SSL se pueden bloquear, lo que a su vez genera errores en algunos exploradores. A veces, el bloqueo de estas CRL también introduce latencia mientras el explorador intenta realizar su validación.

Causa

Las listas CRL (Listas de revocación de certificados) y el nuevo OCSP (Protocolo de estado de certificados en línea) se utilizan para preguntar a una entidad emisora de certificados si un certificado SSL se ha revocado por algún motivo.  Esto suele ocurrir de forma transparente en segundo plano cuando se conecta a un sitio web HTTPS.

La idea es que el navegador detenga al usuario que va al sitio web si el certificado ha sido revocado en el caso de que el certificado / CA se vea comprometido.  Se recomienda permitir el acceso a las CRL.

En el modo de sólo permitir, la mayoría de las CRL se bloquean a menos que las haya desbloqueado específicamente.  El impacto de esto depende del navegador web que se utilice...

- Internet Explorer 7 muestra una advertencia emergente con un error como el siguiente.
La información de revocación del certificado de seguridad de este sitio no está disponible.

- Las versiones posteriores de Internet Explorer no presentan ningún error a menos que se haya establecido un indicador de clave de registro específico.

- Google Chrome muestra una advertencia junto a la barra de direcciones.  Al hacer clic en la advertencia, se muestra este error:
No se puede comprobar si el certificado se ha revocado

- Firefox no presenta ningún error a menos que la configuración de security.OCSP.require se haya establecido en about:config

Resolución

1. Busque la CRL del certificado consultando el certificado en el explorador web (los pasos varían en función del explorador).

2. Utilice la ficha "Detalles" y busque esta información:

- Puntos de distribución CRL

- Información de acceso de autoridad

3. Anote la información de URL (ejemplo a continuación) y agréguela a la lista de permitidos del panel de Umbrella: