Solucionar problemas con el Modo de comprobación de revocación de certificados SSL

Solucione los problemas de las conexiones SSL/TLS y, si es posible, corríjalos mediante la política Modo de comprobación de revocación de certificados SSL para sus agentes de Omnissa Workspace ONE Administración de la experiencia. Este modo comprueba si un certificado que anteriormente era válido se ha revocado recientemente. Para configurar esta política en Windows, utilice la plantilla ADMX de Workspace ONE Endpoint incluida con el agente para activar la política y establecer el modo de comprobación. Para configurar esta política en macOS, establezca el modo en el archivo de configuración del agente.

Síntomas

Utilice este tema de resolución de problemas si observa que los datos de Administración de la experiencia no se envían a Omnissa Intelligence y los registros informan de errores en las conexiones SSL/TLS.

Validaciones habituales frente a comprobaciones adicionales

• Validaciones habituales: siempre que el agente de Administración de la experiencia se conecta al backend de Omnissa Intelligence mediante HTTPS, valida el certificado del servidor.
  • Comprueba que el certificado haya sido emitido por una entidad de certificación (CA) de confianza, que coincida con el nombre de host y que no haya caducado.
  • Esta validación se realiza siempre.
• Validación adicional: utilice la política Modo de comprobación de revocación de certificados SSL para añadir una comprobación opcional que determine si un certificado que se había emitido como válido se ha revocado posteriormente.
  • Por ejemplo, un certificado puede revocarse porque su clave privada se haya visto comprometida o porque se haya emitido de forma incorrecta.
  • Esta comprobación adicional requiere acceder a un punto de conexión independiente de CRL (Lista de revocación de certificados) u OCSP (Protocolo de estado de certificados en línea), que no guarda relación con el servidor de Intelligence con el que se comunica el agente en ese momento.
  • Si el agente no puede acceder al endpoint de revocación, puede decidir si ese error debe bloquear también las cargas de telemetría.
  • Algunos motivos por los que el agente podría no acceder al endpoint de revocación son que el proxy todavía no haya incluido dicho punto de conexión en su lista de permitidos o que la CA haya cambiado el punto de conexión.

Versión compatible del agente

Esta configuración está disponible a partir de la versión 26.07 de los agentes de Administración de la experiencia para macOS y Windows.

Modos disponibles

Seleccione uno de los tres modos al configurar el Modo de comprobación de revocación de certificados SSL. Esta es una comprobación adicional a la validación habitual de la cadena de certificados, que se realiza siempre, independientemente del modo que configure.

Limitaciones

Tenga en cuenta las limitaciones actuales antes de utilizar el Modo de comprobación de revocación de certificados SSL.

Limitación de WinHTTP

Los modos de fallo permisivo y fallo estricto son totalmente compatibles con el backend HTTPS predeterminado del agente de Administración de la experiencia, que utiliza libcurl. Windows utiliza Schannel (Canal seguro) y macOS utiliza el framework Security de Apple.

Si su implementación utiliza WinHTTP (un backend opcional y obsoleto de Windows que no es el predeterminado), tenga en cuenta que WinHTTP solo permite activar o desactivar la comprobación de revocación y no contempla el concepto de fallo permisivo. En este backend, los modos de fallo permisivo y fallo estricto se comportan de forma idéntica: ambos aplican la comprobación de manera estricta.

Limitaciones de los registros

Si tiene previsto supervisar o auditar específicamente los casos en los que «la comprobación de revocación no pudo acceder al servidor de respuesta, pero la conexión continuó de todos modos» en el modo de fallo permisivo, tenga en cuenta que los registros actuales no permiten distinguir este resultado.

• Windows (libcurl + Schannel, predeterminado): no existe ninguna entrada de registro específica.
  • La comprobación se realiza en el componente Schannel de Windows, que solo informa del resultado final como correcto o incorrecto.
  • No indica si la comprobación de revocación no fue concluyente o si se confirmó de forma positiva.
• macOS: se registra a nivel de depuración como «La cadena de certificados es de confianza».
  • Este mismo mensaje se utiliza cuando se confirma que el certificado no está revocado.
  • No es posible distinguir ambos resultados en el registro.

Si necesita comprobar específicamente la accesibilidad del endpoint de revocación, los propios registros del agente no pueden proporcionar actualmente esa información en ninguna plataforma.

En Windows, puede activar y auditar por separado los registros de eventos de Schannel y CAPI2. Consulte el blog de la comunidad técnica de Microsoft Cómo configurar y recopilar registros de Schannel y CAPI2.

Requisitos

Realice las tareas necesarias antes de configurar el Modo de comprobación de revocación de certificados SSL.

Probar la configuración relacionada con la seguridad

Debe revisar y probar los cambios de configuración relacionados con la seguridad en su entorno antes de implementarlos de forma generalizada.

Requisitos del modo de fallo estricto

El modo de fallo estricto requiere que el agente de Administración de la experiencia pueda acceder correctamente al endpoint de CRL u OCSP del certificado en cada conexión. Si el sistema no puede acceder, bloquea la conexión y la telemetría que se intenta cargar a través de ella. Antes de activar el modo de fallo estricto, siga los pasos indicados para Windows y macOS.

1. Incluya en la lista de permitidos los endpoints de CRL (Lista de revocación de certificados) u OCSP (Protocolo de estado de certificados en línea) correspondientes a los destinos de Intelligence de su región en cualquier proxy o firewall de salida.
   • Consulte los endpoints publicados actualmente por región en las listas de CRL u OCSP.
   • Puede encontrar las regiones de Intelligence en Inclusión de URL en listas de permitidos por región para destinos de servicios.
2. Utilice comodines en la lista de permitidos siempre que sea posible.
   • Estos nombres de host pueden cambiar periódicamente sin previo aviso por parte de la entidad de certificación, por lo que debe incluir en la lista de permitidos los dominios *.amazontrust.com y *.amznts.eu.
   • Incluir estos dominios comodín en la lista de permitidos permite adaptarse a los cambios de los nombres de host en lugar de permitir únicamente los nombres de host específicos actuales.

Si no puede garantizar el acceso, el modo de fallo permisivo proporciona la mayoría de las mismas ventajas de seguridad sin el riesgo de interrupción del servicio.

Requisito específico de Windows (recordatorio)

Si su implementación utiliza el backend WinHTTP en lugar del backend libcurl predeterminado, tenga en cuenta que WinHTTP no contempla el concepto de fallo permisivo. No es necesario configurar WinHTTP de forma diferente; se trata de una limitación que debe tener en cuenta al planificar la implementación, no de una opción de configuración.

Configuración de Windows

Utilice un objeto de política de grupo (GPO) para configurar el Modo de comprobación de revocación de certificados SSL.

1. Descargue la plantilla ADMX de telemetría de Workspace ONE Endpoint, incluida con el agente, desde la página de descargas de Customer Connect.
2. Utilice la configuración Modo de comprobación de revocación de certificados SSL que se encuentra en la estructura de políticas indicada.

Computer Configuration → Administrative Templates → Workspace ONE Endpoint Telemetry
→ Service Configuration → HTTP → SSL Certificate Revocation Check Mode

1. Establezca la política en Habilitado y seleccione Desactivado, Fallo permisivo o Fallo estricto en la lista desplegable.
   • Si deja la política como No configurada, el agente mantiene el valor predeterminado de fallo permisivo.

Registro y valores de referencia

Si dispone de su propio método para configurar esta comprobación, utilice la ruta y los valores del Registro.

• Nombre del valor: SslRevocationCheckMode (cadena)
• Valores: off, soft-fail, hard-fail (no distingue entre mayúsculas y minúsculas)
• Si el valor no existe o no se reconoce, se utiliza soft-fail.
• Si se han establecido tanto el valor de GPO como el valor local del Registro, el valor de GPO tiene prioridad.

Configuración de macOS

Establezca el modo en el archivo de configuración del agente para configurar el Modo de comprobación de revocación de certificados SSL. Utilice Terminal con permisos de administrador en el dispositivo macOS. Utilice los valores indicados. Si el valor no existe o no se reconoce, se utiliza soft-fail.

• Nombre del valor: SslRevocationCheckMode (cadena)
• Valores: off, soft-fail, hard-fail (no distingue entre mayúsculas y minúsculas)

Procedimiento

1. Busque el archivo de configuración en la ruta /etc/workspaceone/ws1etlm/config/config.ini y ábralo.
2. Busque la sección [HttpLib].
3. Agregue la línea SslRevocationCheckMode="<mode>".
   • Ejemplo: SslRevocationCheckMode="soft-fail"