Lista de Revogação de Certificados (CRL) de autenticação baseada em certificados Microsoft Entra

Uma Lista de Revogação de Certificados (CRL) é uma lista de certificados que foram revogados pela Autoridade de Certificação (CA) emissora antes da data de expiração agendada. As CRLs são essenciais para manter a integridade da autenticação. Quando um certificado é revogado, ele é marcado como não confiável, mesmo que não tenha expirado. A incorporação de CRLs na autenticação baseada em certificados garante que apenas certificados válidos e não revogados são aceites, e o Microsoft Entra ID bloqueia qualquer tentativa usando um certificado revogado.

As CRLs são assinadas digitalmente pela autoridade de certificação e publicadas em locais acessíveis ao público, permitindo que sejam baixadas pela internet para verificar o status de revogação dos certificados. Quando um cliente apresenta um certificado para autenticação, o sistema verifica a CRL para determinar se o certificado foi revogado.

Se o certificado for encontrado na CRL, a tentativa de autenticação será rejeitada. As CRLs geralmente são atualizadas periodicamente, e as organizações devem garantir que tenham a versão mais recente da CRL para tomar decisões precisas sobre a validade do certificado.

Na autenticação baseada em certificados (CBA) do Microsoft Entra, quando as CRLs são configuradas, o sistema deve recuperar e validar a CRL durante a autenticação. Se o Microsoft Entra ID não conseguir aceder ao endpoint CRL, a autenticação falha porque a CRL é obrigada a confirmar a validade do certificado.

Como funciona uma CRL na autenticação baseada em certificado

Uma CRL funciona fornecendo um mecanismo para verificar a validade dos certificados usados para autenticação. O processo envolve várias etapas fundamentais:

• Emissão de Certificados: Quando um certificado é emitido por uma autoridade de certificação, ele é válido até sua data de expiração, a menos que seja revogado antes. Cada certificado contém uma chave pública e é assinado pela autoridade de certificação.

• Revogação: Se um certificado precisar ser revogado (por exemplo, se a chave privada estiver comprometida ou se o certificado não for mais necessário), a autoridade de certificação o adicionará à CRL.

• Distribuição CRL: A autoridade de certificação publica a CRL em um local acessível pelos clientes, como um servidor Web ou um serviço de diretório. A CRL é normalmente assinada pela autoridade de certificação para garantir sua integridade. Se a CRL não estiver assinada pela autoridade de certificação, um AADSTS2205015 de erro de criptografia será lançado e siga as etapas em Perguntas frequentes para solucionar o problema.

• Verificação do cliente: Quando um cliente apresenta um certificado para autenticação, o sistema recupera a CRL de cada autoridade de certificação na cadeia de certificados de seus locais publicados e verifica se há CAs revogadas. Se qualquer local de CRL não estiver disponível, a autenticação falhará porque o sistema não pode verificar o status de revogação do certificado.

• Autenticação: Se o certificado for encontrado na CRL, a tentativa de autenticação será rejeitada e o acesso ao cliente será negado. Se o certificado não estiver na CRL, a autenticação prosseguirá normalmente.

• Atualizações da CRL: A CRL é atualizada periodicamente pela autoridade de certificação e os clientes devem garantir que tenham a versão mais recente para tomar decisões precisas sobre a validade do certificado. O sistema armazena em cache a CRL por um determinado período para reduzir o tráfego de rede e melhorar o desempenho, mas também verifica se há atualizações regularmente.

Compreender o processo de revogação de certificados na autenticação baseada em certificados Microsoft Entra

O processo de revogação de certificado permite que os Administradores de Política de Autenticação revoguem um certificado emitido anteriormente para que ele não possa ser usado para autenticação futura.

Os Administradores da Política de Autenticação configuram o ponto de distribuição CRL durante o processo de configuração para emissores confiáveis no inquilino Microsoft Entra. Cada emissor confiável deve ter uma CRL que você possa referenciar usando uma URL voltada para a Internet. Para obter mais informações, consulte Configurar autoridades de certificação.

O Microsoft Entra ID suporta apenas um endpoint CRL e suporta apenas HTTP ou HTTPS. Recomendamos o uso de HTTP em vez de HTTPS para distribuição de CRL. As verificações de CRL ocorrem durante a autenticação baseada em certificado, e qualquer atraso ou falha na recuperação da CRL pode bloquear a autenticação. O uso de HTTP minimiza a latência e evita possíveis dependências circulares causadas pelo HTTPS (que por si só requer validação de certificado). Para garantir a fiabilidade, hospede os CRLs em pontos de extremidade HTTP altamente disponíveis e verifique se eles estão acessíveis pela internet.

1. Quando um utilizador realiza um login interativo com um certificado, o Microsoft Entra ID descarrega e armazena em cache a lista de revogação de certificados (CRL) do cliente da sua autoridade certificadora para verificar se os certificados são revogados durante a autenticação do utilizador. A Microsoft Entra utiliza o atributo SubjectKeyIdentifier em vez do SubjectName para construir a cadeia de certificados. Quando as CRLs estão habilitadas, as configurações de PKI devem incluir os valores SubjectKeyIdentifier e Authority Key Identifier para garantir a verificação de revogação adequada.

   SubjectKeyIdentifier fornece um identificador exclusivo e imutável para a chave pública do certificado, tornando-o mais confiável do que SubjectName, que pode ser alterado ou duplicado entre certificados. Esse atributo garante a construção precisa da cadeia e a validação consistente da CRL em ambientes PKI complexos.

   Importante

   Se um Administrador de Política de Autenticação ignorar a configuração do CRL, o Microsoft Entra ID não realiza quaisquer verificações CRL durante a autenticação baseada em certificados do utilizador. Esse comportamento pode ser útil para a solução de problemas inicial, mas não deve ser considerado para uso em produção.

   • Apenas CRL base: Se apenas a CRL base estiver configurada, o Microsoft Entra ID descarrega-a e armazena-a em cache até à marca temporal da Próxima Atualização. A autenticação falha se a CRL estiver expirada e não puder ser atualizada por problemas de conectividade ou se o ponto de extremidade da CRL não fornecer uma versão atualizada. A Microsoft Entra aplica rigorosamente a versão CRL: quando uma nova CRL é publicada, o seu Número de CRL deve ser superior à versão anterior.

     O número de CRL garante um versionamento monotônico, evitando ataques de repetição em que uma CRL mais antiga poderia ser reintroduzida para ignorar as verificações de revogação. Ao exigir que cada nova CRL tenha um número de versão superior, o Microsoft Entra ID garante que os dados de revogação mais recentes são sempre utilizados.

   • Base + CRL Delta: Quando ambos estão configurados, ambos devem ser válidos e acessíveis. Se um deles estiver ausente ou expirado, a validação do certificado falhará de acordo com os padrões RFC 5280.

2. A autenticação baseada em certificado de utilizador falha se um CRL for configurado para o emissor de confiança e o Microsoft Entra ID não puder descarregar o CRL, devido a restrições de disponibilidade, tamanho ou latência. Esta limitação faz do endpoint CRL um ponto único crítico de falha, reduzindo a resiliência da autenticação baseada em certificados do Microsoft Entra ID. Para reduzir esse risco, recomendamos o uso de soluções altamente disponíveis que garantam um tempo de atividade contínuo para os endpoints de CRL.

3. Se a CRL exceder o limite interativo para uma nuvem, a entrada inicial do usuário falhará com o seguinte erro:

   The Certificate Revocation List (CRL) downloaded from {uri} has exceeded the maximum allowed size ({size} bytes) for CRLs in Microsoft Entra ID. Try again in few minutes. If the issue persists, contact your tenant administrators.

4. O Microsoft Entra ID tenta descarregar a CRL sujeita aos limites do lado do serviço (65 MB no Microsoft Entra ID público e 150 MB no Azure para o Governo dos Estados Unidos).

5. Os usuários podem repetir a autenticação após alguns minutos. Se o certificado do usuário for revogado e aparecer na CRL, a autenticação falhará.

   Importante

   A revogação de token para um certificado revogado não é imediata devido ao armazenamento em cache da CRL. Se uma CRL já estiver armazenada em cache, os certificados recém-revogados não serão detetados até que o cache seja atualizado com uma CRL atualizada. As CRLs delta normalmente incluem essas atualizações, portanto, a revogação entra em vigor assim que a CRL delta é carregada. Se as CRLs delta não forem usadas, a revogação dependerá do período de validade da CRL base. Os administradores devem revogar manualmente os tokens somente quando a revogação imediata for crítica, como em cenários de alta segurança. Para obter mais informações, consulte Configurar revogação.

6. Não suportamos o Protocolo de Estado de Certificado Online (OCSP) devido a razões de desempenho e fiabilidade. Em vez de descarregar o CRL em todas as ligações pelo navegador cliente do OCSP, o Microsoft Entra ID descarrega-o uma vez no primeiro login e armazena-o em cache. Essa ação melhora o desempenho e a confiabilidade da verificação de CRL. Também indexamos o cache para que a pesquisa seja sempre muito mais rápida.

7. Se a Microsoft Entra descarregar com sucesso o CRL, ele armazena em cache e reutiliza o CRL para qualquer uso subsequente. Respeita a data de atualização seguinte e, se disponível, a data de publicação do seguinte CRL (usada por Windows Server CAs) no documento CRL.

8. Se o certificado do usuário estiver listado como revogado na CRL, a autenticação do usuário falhará.

   

   Importante

   Devido à natureza do cache CRL e dos ciclos de publicação, é altamente recomendado que, se houver uma revogação de certificado, também revogue todas as sessões do utilizador afetado no Microsoft Entra ID.

9. O Microsoft Entra ID tenta pré-buscar um novo CRL a partir do ponto de distribuição se o documento CRL em cache estiver expirado. Se o CRL tiver uma "Próxima Data de Publicação", a Microsoft Entra faz um pré-carregamento de CRL mesmo que o CRL na cache não esteja expirado. A partir de agora, não há como forçar ou reativar manualmente o download da CRL.

   Observação

   O Microsoft Entra ID verifica a CRL da CA emissora e de outras CAs na cadeia de confiança PKI até à CA raiz. Temos um limite de até 10 CAs do certificado de cliente folha para validação de CRL na cadeia PKI. A limitação é garantir que um agente mal-intencionado não derrube o serviço ao carregar uma cadeia PKI com um grande número de CAs e um tamanho de CRL maior. Se a cadeia PKI do tenant tiver mais de 10 CAs, e se houver uma CA comprometida, os Administradores da Política de Autenticação devem remover o emissor confiável comprometido da configuração do tenant Microsoft Entra. Para obter mais informações, consulte Pré-busca de CRL.

Como configurar a revogação

Para revogar um certificado de cliente, o Microsoft Entra ID recolhe a lista de revogação de certificados (CRL) dos URLs carregados como parte da informação da autoridade certificadora e armazena-a em cache. O último timestamp de publicação (propriedade Data Efetiva) na CRL é utilizado para garantir que a CRL ainda seja válida. A Lista de Revogação de Certificados (CRL) é consultada regularmente para revogar os certificados que fazem parte da lista.

Revogação imediata das sessões com o Entra CBA

Há muitos cenários que podem exigir que um administrador revogue imediatamente todos os tokens de sessão para que todo o acesso de um usuário seja revogado. Tais cenários incluem:

• contas comprometidas
• rescisão de empregado
• Entra falha de serviço onde são utilizadas as credenciais armazenadas em cache sem incluir a validação da CRL
• outras ameaças internas.

Se for necessária uma revogação mais instantânea (por exemplo, se um usuário perder um dispositivo), o token de autorização do usuário pode ser invalidado. Para invalidar o token de autorização, defina o campo StsRefreshTokensValidFrom para este utilizador em particular usando Windows PowerShell. Você deve atualizar o campo StsRefreshTokensValidFrom para cada usuário para o qual deseja revogar o acesso.

Para garantir que a revogação persista, você deve definir a Data efetiva da CRL para uma data após o valor definido por StsRefreshTokensValidFrom e garantir que o certificado em questão esteja na CRL.

As etapas a seguir descrevem o processo para atualizar e invalidar o token de autorização definindo o campo StsRefreshTokensValidFrom .

# Authenticate to Microsoft Graph
Connect-MgGraph -Scopes "User.Read.All"

# Get the user
$user = Get-MgUser -UserPrincipalName "test@yourdomain.com"

# Get the StsRefreshTokensValidFrom property
$user.StsRefreshTokensValidFrom

A data que você definiu deve ser no futuro. Se a data não estiver no futuro, a propriedade StsRefreshTokensValidFrom não será definida. Se a data estiver no futuro, StsRefreshTokensValidFrom será definido para a hora atual (não a data indicada pelo comando Set-MsolUser).

Impor a validação de CRL para CAs

Quando carregas as CAs para a Microsoft Entra trust store, não precisas de incluir um CRL ou o atributo CrlDistributionPoint. Você pode carregar uma autoridade de certificação (CA) sem um endpoint de Lista de Revogação de Certificados (CRL), e a autenticação baseada em certificado não falhará se uma autoridade de certificação emissora não especificar uma Lista de Revogação de Certificados (CRL).

Para fortalecer a segurança e evitar configurações incorretas, um Administrador de Política de Autenticação pode exigir que a autenticação CBA falhe se uma autoridade de certificação que emite um certificado de usuário final não configurar uma CRL.

Ativar validação de CRL

1. Selecione Exigir validação de CRL (recomendado) para habilitar a validação de CRL.

   

   Quando você habilita essa configuração, o CBA falha se o certificado de usuário final vier de uma autoridade de certificação que não configura uma CRL.

2. Um administrador de política de autenticação pode isentar uma autoridade de certificação se sua CRL tiver problemas que precisam ser corrigidos. Selecione Adicionar isenção e escolha qualquer autoridade de certificação a ser isenta.

   

3. As autoridades de certificação na lista de isentos não precisam configurar uma CRL e os certificados de usuário final que emitem não falham na autenticação.

   Selecione CAs e selecione Adicionar. Use a caixa de texto Pesquisar para filtrar as listas de CA e selecionar CA específicas.

   

Orientações para configurar CRLs (CRL base e delta) para o Microsoft Entra ID

1. Publique CRLs acessíveis:

   • Certifique-se de que sua autoridade de certificação publique a CRL base e as CRLs delta (se aplicável) em URLs voltadas para a Internet acessíveis via HTTP.
   • O Microsoft Entra ID não pode validar certificados se os CRLs estiverem alojados em servidores apenas internos. As URLs devem ser altamente disponíveis, de alto desempenho e resilientes para evitar falhas de autenticação devido à indisponibilidade.
   • Valide a acessibilidade da CRL testando a URL da CRL em um navegador e usando certutil -url para verificações de distribuição.

2. Configure URLs de CRL em Microsoft Entra ID:

   • Carregue o certificado público da CA para o Microsoft Entra ID e configure os pontos de distribuição CRL (CDPs).
   • URL da CRL base: contém todos os certificados revogados.
   • URL da CRL Delta (opcional, mas recomendada): contém certificados revogados desde que a última CRL base foi publicada.
   • Use ferramentas como certutil para verificar a validade da CRL e solucionar problemas de certificado e CRL localmente.

3. Definir períodos de validade:

   • Defina o período de validade da CRL base longo o suficiente para equilibrar a sobrecarga operacional e a segurança (normalmente dias a semanas).
   • Defina o período de validade da CRL delta mais curto (geralmente 24 horas) para permitir o reconhecimento oportuno de certificados revogados.
   • A validade mais curta da CRL delta melhora a segurança, reduzindo a janela em que os certificados revogados permanecem válidos, mas aumenta a carga de emissão e distribuição.
   • A validade padrão recomendada de 24 horas para CRLs delta em servidores Windows é um padrão amplamente aceite de segurança e desempenho.
   • O Microsoft Entra ID foi concebido para gerir eficientemente atualizações frequentes de CRL delta sem degradação de desempenho, e melhorias contínuas ajudam a melhorar ainda mais esta situação.
   • Microsoft Entra ID aplica mecanismos de limitação para proteger contra ataques DDoS durante downloads delta CRL, que podem resultar em erros temporários como "AADSTS2205013" para um pequeno grupo de utilizadores.

4. Garanta alta disponibilidade e desempenho:

   • Hospede CRLs em servidores Web confiáveis ou redes de entrega de conteúdo (CDNs) para minimizar atrasos ou falhas durante a recuperação.
   • Monitore a publicação e a acessibilidade de CRL de forma proativa.

5. Proteja-se contra limitação e ataques distribuídos de negação de serviço (DDoS):

   • Para proteger os serviços e utilizadores do Microsoft Entra ID, é aplicada uma limitação às operações de obtenção de CRL durante cargas elevadas ou potenciais abusos.
   • Agende a publicação de CRL e os ciclos de expiração fora do horário de pico para minimizar a probabilidade de limitação afetar os usuários.

6. Gerenciamento de tamanho de CRL

   • Mantenha as cargas úteis de CRL tão pequenas quanto possível, idealmente através da emissão frequente de CRL delta e arquivamento de entradas antigas, para melhorar a velocidade de busca e reduzir a largura de banda.

7. Ativar validação de CRL

   • Aplicar a validação CRL nas políticas do Microsoft Entra ID para garantir que os certificados revogados são detetados. Para obter mais informações, consulte Habilitar validação de CRL.
   • Considere evitar temporariamente a verificação de CRL apenas como último recurso durante a resolução de problemas, compreendendo os riscos de segurança.

8. Teste e monitore

   • Realize testes regulares para verificar se as CRLs são descarregáveis e reconhecidas corretamente pelo Microsoft Entra ID.
   • Use o monitoramento para detetar e corrigir rapidamente quaisquer problemas de disponibilidade ou validação de CRL.

Referência de erro de CRL

Perguntas frequentes

As próximas seções abordam perguntas e respostas comuns relacionadas às Listas de Revogação de Certificados.

Existe um limite para o tamanho da CRL?

Aplicam-se os seguintes limites de tamanho de CRL:

• Limite de download interativo ao iniciar sessão: 20 MB (Azure Global, inclui GCC), 45 MB para o Azure Governo dos EUA (inclui GCC High, Departamento de Defesa).
• Limite de download do serviço: 65 MB (Azure Global, inclui GCC), 150 MB para Azure Governo dos EUA (inclui GCC High, Departamento de Defesa)

Quando um download de CRL falha, a seguinte mensagem aparece:

"A Lista de Revogação de Certificados (CRL) descarregada de {uri} excedeu o tamanho máximo permitido ({tamanho} bytes) para CRLs no Microsoft Entra ID. Tente novamente em poucos minutos. Se o problema persistir, entre em contato com os administradores do locatário."

O download permanece em segundo plano com limites mais altos.

Estamos revisando o impacto desses limites e temos planos para removê-los.

Vejo um conjunto válido de pontos de extremidade da Lista de Revogação de Certificados (CRL), mas por que não vejo nenhuma revogação na CRL?

• Verifique se o ponto de distribuição da CRL está definido como uma URL HTTP válida.
• Verifique se o ponto de distribuição da CRL está acessível por meio de uma URL voltada para a Internet.
• Certifique-se de que os tamanhos de CRL estão dentro dos limites.

Como faço para revogar instantaneamente um certificado?

Siga as etapas para revogar manualmente um certificado.

Como posso ativar ou desativar a verificação de revogação de certificados para uma autoridade de certificação específica?

Recomendamos não desabilitar a verificação da lista de revogação de certificados (CRL) porque você não poderá revogar certificados. No entanto, se precisares de investigar questões relacionadas com a verificação CRL, podes isentar uma CA da verificação CRL no centro de administração Microsoft Entra. Na política de métodos de autenticação CBA, selecione Configurar e, em seguida, selecione Adicionar isenção. Escolha a autoridade de certificação que deseja excluir e selecione Adicionar.

Após a configuração de um ponto de extremidade de CRL, os utilizadores finais não conseguem iniciar sessão e veem "AADSTS500173: Não é possível baixar a CRL." Código de status inválido proibido no ponto de distribuição da CRL."

Quando um problema impede a Microsoft Entra de descarregar a CRL, a causa é frequentemente restrições do firewall. Na maioria dos casos, pode resolver o problema atualizando as regras do firewall para permitir os endereços IP necessários, permitindo que o Microsoft Entra descarregue com sucesso o CRL. Para mais informações, consulte Lista de Microsoft IPAddress.

Como posso encontrar a CRL de uma AC ou como resolvo o erro "AADSTS2205015: A lista de certificados revogados (CRL) falhou na validação da assinatura"?

Baixe a CRL e compare o certificado da autoridade de certificação e as informações da CRL para validar se o crlDistributionPoint valor é válido para a autoridade de certificação que você deseja adicionar. Você pode configurar a CRL para a autoridade de certificação correspondente fazendo a correspondência entre o identificador de chave de assunto (SKI) do emissor da autoridade de certificação e o identificador de chave de autoridade (AKI) da CRL (CA Issuer SKI == CRL AKI).

A tabela e a figura a seguir mostram como mapear informações do certificado da autoridade de certificação para os atributos da CRL baixada.

• Microsoft Entra Lista de Revogação de Certificados do CBA

Próximos passos

• Visão geral do Microsoft Entra CBA
• Como configurar Microsoft Entra CBA
• Microsoft Entra CBA em dispositivos iOS
• Microsoft Entra CBA em dispositivos Android
• Início de sessão do Windows com cartão inteligente usando Microsoft Entra CBA
• IDs de utilizador do certificado
• Como migrar usuários federados
• Perguntas Frequentes
• Resolução de problemas Microsoft Entra CBA