Fehlerbehebung mit SSL-Zertifikatswiderrufsprüfungsmodus

Fehlerbehebung und mögliche Behebung von SSL/TLS-Verbindungen mit der Richtlinie SSL Certificate Revocation Check Mode für Ihre Omnissa Workspace ONE Experience Management-Agenten. Dieser Modus überprüft, ob ein zuvor gültiges Zertifikat kürzlich widerrufen wurde. Um diese Richtlinie für Windows zu konfigurieren, verwenden Sie die im Lieferumfang des Agenten enthaltene Workspace ONE-Endpoint-ADMX-Vorlage, um die Richtlinie zu aktivieren und den Prüfmodus festzulegen. Um diese Richtlinie für macOS zu konfigurieren, legen Sie den Modus in der Konfigurationsdatei des Agenten fest.

Symptome

Verwenden Sie dieses Thema zur Fehlerbehebung, wenn Sie feststellen, dass die Experience Management-Daten nicht an Omnissa Intelligence fließen und die Protokolle fehlgeschlagene SSL-/TLS-Verbindungen melden.

Regelmäßige Validierungen im Vergleich zu zusätzlichen Prüfungen

• Regelmäßige Validierungen: Immer dann, wenn der Experience Management-Agent über HTTPS eine Verbindung mit dem Omnissa Intelligence-Backend herstellt, validiert der Agent das Zertifikat des Servers.
  • Er bestätigt, dass eine vertrauenswürdige Zertifizierungsstelle (CA) das Zertifikat ausgibt, dass es mit dem Hostnamen übereinstimmt und dass es noch nicht abgelaufen ist.
  • Diese Validierung erfolgt immer.
• Zusätzliche Validierung: Verwenden Sie die Richtlinie SSL Certificate Revocation Check Mode, um eine optionale Prüfung hinzuzufügen, um festzustellen, ob ein gültig ausgestelltes Zertifikat inzwischen widerrufen wurde.
  • Beispielsweise kann ein Zertifikat widerrufen werden, weil sein privater Schlüssel kompromittiert oder falsch ausgestellt wurde.
  • Für diese zusätzliche Prüfung muss ein separater CRL(Certificate Revocation List, Zertifikatzurückziehungsliste)- oder OCSP(Online Certificate Status Protocol, Onlinezertifikatstatusprotokoll)-Endpoint erreicht werden, der nichts mit dem Intelligence-Server zu tun hat, mit dem der Agent derzeit kommuniziert.
  • Wenn der Agent den Widerrufsendpunkt nicht erreichen kann, können Sie auswählen, ob dieser Fehler auch Telemetrie-Uploads blockieren soll.
  • Beispiele dafür, dass der Agent den Widerrufs-Endpoint nicht erreicht, ist ein Proxy, der den Endpoint noch nicht in die Positivliste aufgenommen hat, oder dass die Zertifizierungsstelle den Endpoint rotiert hat.

Unterstützte Agent-Version

Diese Einstellung ist im Experience Management-Agenten für macOS und Windows ab Version 26.07 verfügbar.

Verfügbare Modi

Wählen Sie aus drei Modi aus, wenn Sie den SSL-Zertifikatswiderrufsprüfmodus konfigurieren. Dies ist eine zusätzliche Prüfung aus der regulären Validierung der Zertifikatskette, die unabhängig vom konfigurierten Modus immer erfolgt.

Beschränkungen

Beachten Sie die aktuellen Einschränkungen, bevor Sie den SSL-Zertifikatssperrüberprüfungsmodus verwenden.

WinHTTP-Einschränkung

Soft-Fail und Hard-Fail werden im Standard-HTTPS-Backend des Experience Management-Agenten unter Verwendung von libcurl vollständig unterstützt. Windows verwendet Schannel (Secure Channel, sicherer Kanal), macOS verwendet Apples Sicherheits-Framework.

Wenn Ihre Bereitstellung WinHTTP verwendet (ein optionales, veraltetes Windows-Backend, das nicht die Standardeinstellung ist), beachten Sie, dass WinHTTP die Sperrüberprüfung nur als ein- oder ausgeschaltet unterstützt, ohne dass ein Soft-Fail-Konzept vorhanden ist. Im Backend verhalten sich Soft-Fail und Hard-Fail identisch – beide werden streng erzwungen.

Protokollierungsbeschränkungen

Wenn Sie planen, unter „Soft-Fail“ speziell auf „die Widerrufsprüfung konnte den Antwortdienst nicht erreichen, aber die Verbindung wurde trotzdem fortgesetzt“ zu überwachen, beachten Sie, dass die aktuellen Protokolle dieses Ergebnis nicht unterscheiden.

• Windows (libcurl + Schannel, Standardeinstellung): Es ist kein eindeutiger Protokolleintrag vorhanden.
  • Die Prüfung erfolgt innerhalb der Schannel-Komponente von Windows, die nur endgültig einen Erfolg oder ein Fehlschlagen meldet.
  • Sie meldet nicht, ob der Widerruf nicht eindeutig war oder positiv bestätigt wurde.
• macOS: Wird auf Debug-Ebene als „Zertifikatskette ist vertrauenswürdig“ protokolliert.
  • Diese Nachricht ist dieselbe Nachricht, die verwendet wird, wenn der Widerruf positiv als nicht widerrufen bestätigt wird.
  • Die beiden Ergebnisse sind im Protokoll nicht unterscheidbar.

Wenn Sie insbesondere Einblick in die Erreichbarkeit von Widerrufs-Endpoints benötigen: Dies können die eigenen Protokolle des Agenten derzeit auf keiner Plattform bereitstellen.

Auf Windows können Sie Schannel- und CAPI2-Ereignisprotokolle separat aktivieren und überwachen. Weitere Informationen finden Sie im Tech Community-Blog von Microsoft How to Configure and Collect Schannel and CAPI2 Logs.

Anforderungen

Führen Sie die erforderlichen Aufgaben aus, bevor Sie den SSL-Zertifikatssperrüberprüfungsmodus konfigurieren.

Testen Sie sicherheitsbezogene Einstellungen

Sie müssen Konfigurationsänderungen an den sicherheitsbezogenen Einstellungen in Ihrer Umgebung vor einer umfassenden Bereitstellung überprüfen und testen.

Anforderungen für Hard-Fail

Hard-Fail erfordert, dass der Experience Management-Agent die CRL oder den OCSP-Endpoint des Zertifikats bei jeder Verbindung erfolgreich erreicht. Wenn das System dies nicht kann, blockiert es die Verbindung und die damit hochgeladene Telemetrie. Führen Sie vor dem Aktivieren von Hard-Fail die aufgeführten Schritte für Windows und macOS aus.

1. Setzen Sie die CRL- (Certificate Revocation List) oder OCSP- (Online Certificate Status Protocol) Endpunkte für die Intelligence-Ziele Ihrer Region auf jedem ausgehenden Proxy oder jeder Firewall auf die Positivliste.
   • Beziehen Sie sich in den CRL- oder OCSP-Listen auf die aktuell veröffentlichten Endpoints nach Region.
   • Die Intelligence-Regionen finden Sie unter Hinzufügen von Dienstziel-URLs zur Positivliste nach Region.
2. Platzhalter-Positivliste, sofern möglich.
   • Diese Hostnamen können in regelmäßigen Abständen rotieren, ohne vorherige Ankündigung durch die Zertifizierungsstelle. Daher sollten die Platzhalterdomänen *.amazontrust.com und *.amznts.eu auf die Positivliste gesetzt werden.
   • Die Positivliste dieser Platzhalterdomänen hilft bei der Rotation von Hostnamen, anstatt nur die spezifischen Hostnamen von heute auf die Positivliste zu setzen.

Wenn Sie die Erreichbarkeit nicht garantieren können, bietet der Soft-Fail-Modus die meisten Sicherheitsvorteile ebenfalls, jedoch ohne das Ausfallrisiko.

Windows-spezifische Anforderung (Erinnerung)

Wenn Ihre Bereitstellung anstelle des standardmäßigen libcurl-Backends das WinHTTP-Backend verwendet, beachten Sie, dass WinHTTP kein Soft-Fail-Konzept aufweist. Es gibt nichts, das für WinHTTP anders konfiguriert werden muss. Es ist eine Einschränkung, um die herum zu planen ist, keine Einstellung.

Windows-Konfiguration

Verwenden Sie ein Gruppenrichtlinienobjekt (GPO), um den SSL-Zertifikatsperrüberprüfungsmodus festzulegen.

1. Laden Sie die ADMX-Vorlage Workspace ONE Endpoint Telemetry herunter, die im Lieferumfang des Agenten auf der Customer Connect-Downloadseite enthalten ist.
2. Verwenden Sie die Einstellung SSL-Zertifikatswiderrufsprüfungsmodus aus der aufgelisteten Richtlinienstruktur.

Computer Configuration → Administrative Templates → Workspace ONE Endpoint Telemetry
→ Service Configuration → HTTP → SSL Certificate Revocation Check Mode

1. Legen Sie die Richtlinie auf Aktiviert fest und wählen Sie aus dem Dropdown-Menü Aus, Soft-Fail oder Hard-Fail aus.
   • Wenn Sie die Richtlinie Nicht konfiguriert belassen, bleibt der Agent auf seiner Standardeinstellung „Soft-Fail“.

Registrierung und Referenzwerte

Wenn Sie über Ihre eigene Methode zum Konfigurieren dieser Prüfung verfügen, verwenden Sie den Registrierungspfad und die Werte.

• Wertname: SslRevocationCheckMode (Zeichenfolge)
• Werte: off, soft-fail, hard-fail (Groß-/Kleinschreibung wird nicht unterschieden)
• Ein fehlender oder unerkannter Wert wird auf soft-fail zurückgesetzt.
• Wenn sowohl die GPO- als auch die lokalen Registrierungswerte festgelegt sind, hat der GPO-Wert Vorrang.

macOS-Konfiguration

Legen Sie den Modus in der Konfigurationsdatei des Agenten fest, um den SSL-Zertifikatssperrüberprüfungsmodus festzulegen. Verwenden Sie auf dem macOS-Gerät das Terminal mit Administratorrechten. Verwenden Sie die aufgelisteten Werte. Ein fehlender oder unerkannter Wert wird auf soft-fail zurückgesetzt.

• Wertname: SslRevocationCheckMode (Zeichenfolge)
• Werte: off, soft-fail, hard-fail (Groß-/Kleinschreibung wird nicht unterschieden)

Verfahren

1. Suchen Sie die Konfigurationsdatei im Pfad /etc/workspaceone/ws1etlm/config/config.ini und öffnen Sie sie.
2. Suchen Sie den Abschnitt [HttpLib].
3. Fügen Sie die Zeile SslRevocationCheckMode="<mode>" hinzu.
   • Beispiel: SslRevocationCheckMode="soft-fail"