Проблема с CRL сертификата | Получен CRL с некорректной подписью

Дело в сертификате центра сертификации… мы создали новый CA для тестирования, и с ним всё заработало. Сначала мы изменили несколько параметров одновременно — и это сработало. Потом сузили проблему до Signature / SignatureHashAlgorithms. SHA256RSA/SHA256 работает, а SHA512RSA/SHA512 — нет.

Эта проблема была устранена в выпуске версии 7.6.

Мы выяснили, что (у нас) это вызвано использованием в нашей PKI алгоритма sha512. Начиная с версии 7.x наши VPN на основе сертификатов перестали работать, и нам пришлось хотя бы отключить проверку CRL. С версии 7.8 обход CRL тоже не работает, поэтому пришлось копать глубже. Мы создали новые CA/Intermediate/CRL для тестирования и обнаружили, что только смена с sha512 на sha256 снова заставляет CRL работать. Это довольно странно, ведь это шаг назад: мы много лет использовали sha512 на гораздо более старых версиях Mikrotik, а теперь фактически приходится «понижать» уровень безопасности, чтобы всё работало? Тикет в техподдержку по этой проблеме уже несколько недель без ответа, интересно, что с этим дальше будет и сколько ещё людей столкнулись с такой же ситуацией.

Все еще не исправлено в ROS 7.10.

Я пытался переиздать некоторые из своих CRL с использованием sha256, но получил ту же ошибку CRL, хотя CRL корректно декодируются openssl без ошибок.

Только что сам это увидел. Подтверждаю, что всё работает!