Windows 應用程式無法通過憑證撤銷檢查建立安全連線，該如何解決？

Question

Windows 應用程式無法通過憑證撤銷檢查建立安全連線，該如何解決？

Cheng Ying 40

您好

我在 Microsoft Windows 環境中遇到一個問題，部分應用程式因為憑證撤銷檢查失敗，無法建立安全連線。即使相關憑證仍在有效期限內，系統仍然無法完成驗證。我想確認這是否與無法存取 CRL 發佈點、OCSP 連線異常、撤銷資料過期，或 Proxy 設定限制有關。請問該如何逐步找出問題的真正原因？如果有人遇過類似情況，也希望能分享一下排查方向和解決方法，謝謝！

0 則留言

1 個回答

您的回答

Answer 1

您好程英

根据我的经验，这类 凭证撤销检查（Certificate Revocation Check）失败 的问题，通常不一定是凭证本身过期，而是 Windows 无法验证凭证目前的撤销状态。建议您先确认凭证中设定的 CRL Distribution Point （CDP） 和 OCSP URL 是否可以从受影响的电脑正常存取，因为只要其中一个端点无法连线，就有可能导致 TLS 验证失败。

接下来，可以使用 certutil -url <certificate.cer> 进一步测试 CRL 与 OCSP 回应状态，这个工具通常能快速判断究竟是连线问题、回应逾时，还是撤销资料已过期。此外，也建议检查系统时间是否正确同步，因为不正确的时间设定有时也会造成凭证验证异常。

如果您的环境需要透过 Proxy 存取互联网，请特别确认 Proxy 是否允许连线至凭证授权单位（CA）的 CRL 与 OCSP 服务器。我也看过不少案例是因为防火墙或 Proxy 政策封锁了相关 URL，导致只有部分应用程序出现连线失败的情况。除此之外，查看 Event Viewer 中与 Schannel、CAPI2 或 CertificateServicesClient 相关的事件记录，也往往能提供非常有价值的诊断信息。

整体来说，我会优先从 CRL/OCSP 可达性、撤销数据有效性、Proxy 设置以及事件记录 这四个方向着手排查，通常都能很快找到根本原因。

希望以上资讯能帮助您进一步诊断问题。如果这则回复对您有所帮助，也欢迎点选「Accept Answer」，让其他遇到类似问题的使用者能更快找到解决方向。