CRYPT_E_REVOCATION_OFFLINE – Uwe Gradenegger

Anmeldefehler mit Windows Hello for Business: "Wenden Sie sich an den Systemadministrator, und teilen Sie ihm mit, dass das KDC-Zertifikat nicht überprüft werden konnte."

Folgendes Szenario angenommen:

Das Unternehmen setzt Windows Hello for Business ein.
Benutzer erhalten bei der Anmeldung am Client folgende Fehlermeldung:

Sign-in failed. Contact your system administrator and tell them that the KDC certificate could not be validated. Additional information may be available in the system event log.

Der Onlineresponder (OCSP) meldet "The revocation function was unable to check revocation because the revocation server was offline. 0x80092013 (-2146885613 CRYPT_E_REVOCATION_OFFLINE"

Folgendes Szenario angenommen:

Es ist ein Onlineresponder (OCSP) im Netzwerk konfiguriert.
Für eine Zertifizierungsstelle ist OCSP aktiviert und eine Sperrkonfiguration eingerichtet.
Die Verwaltungskonsole für den Onlineresponder zeigt folgenden Status für die Sperrkonfiguration an:

Type: Microsoft CRL-based revocation status provider
The revocation provider failed with the current configuration. The revocation function was unable to check revocation because the revocation server was offline. 0x80092013 (-2146885613 CRYPT_E_REVOCATION_OFFLINE), 0x80092013

Details zum Ereignis mit ID 100 der Quelle Microsoft-Windows-CertificationAuthority

Ereignisquelle:	Microsoft-Windows-CertificationAuthority
Ereignis-ID:	100 (0x64)
Ereignisprotokoll:	Application
Ereignistyp:	Fehler
Symbolischer Name:	MSG_E_CA_CERT_INVALID
Ereignistext (englisch):	Active Directory Certificate Services did not start: Could not load or verify the current CA certificate. %1 %2.
Ereignistext (deutsch):	Die Active Directory-Zertifikatdienste wurden nicht gestartet: Das aktuelle Zertifizierungsstellenzertifikat konnte nicht geladen bzw. verifiziert werden. %1 %2.

Details zum Ereignis mit ID 96 der Quelle Microsoft-Windows-CertificationAuthority

Ereignisquelle:	Microsoft-Windows-CertificationAuthority
Ereignis-ID:	96 (0x60)
Ereignisprotokoll:	Application
Ereignistyp:	Fehler
Symbolischer Name:	MSG_E_CANNOT_CREATE_XCHG_CERT
Ereignistext (englisch):	Active Directory Certificate Services could not create an encryption certificate. %1. %2.
Ereignistext (deutsch):	Von Active Directory-Zertifikatdienste konnte kein Verschlüsselungszertifikat erstellt werden. %1. %2.

Details zum Ereignis mit ID 84 der Quelle Microsoft-Windows-CertificationAuthority

Ereignisquelle:	Microsoft-Windows-CertificationAuthority
Ereignis-ID:	84 (0x54)
Ereignisprotokoll:	Application
Ereignistyp:	Fehler
Symbolischer Name:	MSG_E_INVALID_KRA_CERT
Ereignistext (englisch):	Active Directory Certificate Services will not use key recovery certificate %1 because it could not be verified for use as a Key Recovery Agent. %2 %3
Ereignistext (deutsch):	Das Schlüsselwiederherstellungszertifikat %1 wird von den Active Directory-Zertifikatdiensten nicht verwendet, da es nicht für die Verwendung als Key Recovery Agent verifiziert werden konnte. %2 %3

Details zum Ereignis mit ID 48 der Quelle Microsoft-Windows-CertificationAuthority

Ereignisquelle:	Microsoft-Windows-CertificationAuthority
Ereignis-ID:	48 (0x30)
Ereignisprotokoll:	Application
Ereignistyp:	Warnung
Symbolischer Name:	MSG_E_CA_CERT_REVOCATION_OFFLINE
Ereignistext (englisch):	Revocation status for a certificate in the chain for CA certificate %3 for %1 could not be verified because a server is currently unavailable. %2.
Ereignistext (deutsch):	Der Sperrstatus eines Zertifikats in der Kette des Zertifizierungsstellenzertifikats %3 für %1 konnte nicht verifiziert werden, da der Server momentan nicht verfügbar ist. %2.

Details zum Ereignis mit ID 22 der Quelle Microsoft-Windows-CertificationAuthority

Ereignisquelle:	Microsoft-Windows-CertificationAuthority
Ereignis-ID:	22 (0x16)
Ereignisprotokoll:	Application
Ereignistyp:	Fehler
Symbolischer Name:	MSG_E_PROCESS_REQUEST_FAILED_WITH_INFO
Ereignistext (englisch):	Active Directory Certificate Services could not process request %1 due to an error: %2. The request was for %3. Additional information: %4
Ereignistext (deutsch):	Die Anforderung %1 konnte aufgrund eines Fehlers nicht ausgeführt werden: %2. Die Anforderung bezog sich auf %3. Weitere Informationen: %4

Welchen Einfluss hat der Ablauf der Sperrliste einer der übergeordneten Zertifizierungsstellen auf die Zertifizierungsstelle?

Leider kommt es in der Praxis hin und wieder vor, dass die Sperrliste einer übergeordneten Zertifizierungsstelle abläuft und eine Erneuerung ausbleibt. Auch kann dies planmäßig, etwa bei Außerbetriebnahme einer alten Hierarchie geschehen.

Welchen Einfluss haben fehlerhafte Sperrinformationen eines Zertifizierungsstellen-Zertifikats auf die Zertifizierungsstelle?

Nachfolgend werden die Auswirkungen auf den Zertifizierungsstellen-Betrieb beschrieben, wenn die Sperrinformationen für eines der Zertifizierungsstellen-Zertifikate der Zertifizierungsstelle nicht abgerufen werden können.

Dieser Fall kann auch planmäßig eintreten, beispielsweise, wenn eine frühere Zertifizierungsstellen-Hierarchie außer Betrieb genommen werden soll.

Der Zertifizierungsstellen-Dienst startet nicht und wirft die Fehlermeldung "The revocation function was unable to check revocation because the revocation server was offline. 0x80092013 (-2146885613 CRYPT_E_REVOCATION_OFFLINE)"

Folgendes Szenario angenommen:

Es ist eine Zertifizierungsstelle im Netzwerk implementiert.
Der Zertifizierungsstellen-Dienst startet nicht.
Beim Versuch, den Zertifizierungsstellen-Dienst zu starten, erhält man folgende Fehlermeldung:

The revocation function was unable to check revocation because the revocation server was offline. 0x80092013 (-2146885613 CRYPT_E_REVOCATION_OFFLINE)

Die Beantragung eines Zertifikats schlägt fehl mit Fehlermeldung "Cannot archive private key. The certification authority could not verify one or more key recovery certificates. 0x8009400b (-2146877429 CERTSRV_E_NO_VALID_KRA)"

Folgendes Szenario angenommen:

Ein Benutzer beantragt ein Zertifikat von einer Active Directory integrierten Zertifizierungsstelle (Enterprise Certification Authority).
Die Zertifikatvorlage ist für die Archivierung privater Schlüssel eingerichtet.
Die Beantragung des Zertifikats schlägt mit folgender Fehlermeldung fehl:

Cannot archive private key. The certification authority could not verify one or more key recovery certificates. 0x8009400b (-2146877429 CERTSRV_E_NO_VALID_KRA)