WCF：使用带有证书重新启动列表检查的安全消息

Question

我有一个企业颁发的证书，我想用它来保护WCF消息通道。 certutil程序告诉我CRL和delta CRL都是有效的（status =“Verified”）。我正在使用（https://www.microsoft.com/en-us/download/details.aspx?id=21459）的示例WCF程序;特别是MessageSecurity.sln测试。当我使用企业CA生成的证书替换自签名证书时，我收到错误：

X.509证书CN = localhost链构建失败。使用的证书具有无法验证的信任链。替换证书或更改certificateValidationMode。撤销功能无法检查吊销，因为吊销服务器处于脱机状态。

是否有人使用基于消息的频道处理除自签名证书以外的任何其他内容（即具有有效的CRL分发点）？任何想法接下来要尝试什么？

Answer 1

有趣的事实！客户端维护CRL的缓存。正确配置CRL分发点后，具有错误CRL位置的缓存阻止WCF样本运行。两天后，当它神奇地开始工作时，我做了一些挖掘，发现这些列表是缓存的。您可以使用以下方法手动清除列表：

certutil -urlcache crl delete

使用此命令后，我能够可预测并可靠地使用我的企业CA生成的证书来建立消息和 TransportWithMessageCredentials 频道。