Какая связь между утилитой certutil от "Microsoft" и СКЗИ "КриптоПро CSP" от одноимённого разработчика?

Так какая связь с сетевыми функциями?

Включите трассировку winhttp + смотрите запросы через DebugView,
у меня утилита долго отрабатывает - 10 с. для квалифицированного сертификата (+перебирает CDP) при блокировке через правило.
При этом другие приложения - сразу выдают про сетевой сбой.

traceall_x64.zip (1kb) загружен 0 раз(а).
Snimok ehkrana ot 2025-07-13 21-43-02.png (96kb) загружен 2 раз(а).


и 0.15 с. лишь, если сеть отключить)

Snimok ehkrana ot 2025-07-13 21-44-29.png (84kb) загружен 1 раз(а).

+ утилита имеет дополнительные опции:
-seconds -v

Насколько я знаю, утилита certutil при проверке сертификата пытается построить для него цепочку доверия до корневого само-подписанного сертификата и проверить на отзыв стартовый сертификат и сертификаты промежуточных УЦ. Делается эта операция через вызов соответствующей функции API СКЗИ («CertGetCertificateChain»). Если в хранилище сертификатов и СОС-ов есть «свежие СОС-ы», то обращение «во вне» (к серверам УЦ) за свежей версией СОС-ов не происходит и проверка делается быстро (менее 10 миллисекунд). Но если у СКЗИ каких-то данных не хватает (или еще по каким-то не известным мне причинам), то идет попытка скачивания нужных данных из внешнего источника. Скачивание данных «из вне» это всегда долго (особенно долго, если источник не доступен). При не удаче этой операции СКЗИ возвращает ошибку вроде «не могу установить отозван сертификат или нет».

Отключая доступ к внешним подключениям, я ожидал, что СКЗИ на этапе «скачивания необходимых данных» тормозить НЕ будет и сразу вернет ошибку «не могу установить отозван сертификат или нет». Однако этого НЕ происходит. Почему?

Пожалуйста, не обижайтесь. Но поскольку Вы не знаете «причем здесь certutil» и не понимаете, что мы не можем отключить наше ПО от сети «совсем» (входящие запросы на проверку сертификатов оно принимать должно), то позовите кого-нибудь, кто это знает и понимает. Очень прошу Вас.

Еще раз: Вы уже повторили проблему с утилитой certutil у себя локально, но продолжаете задавать странные вопросы мне. Зачем? Привлеките компетентного специалиста.

Я надеюсь, Вы не будете утверждать, что разработчики Microsoft настолько тупые, что паузы в десять секунд возникают вне вызова функции API СКЗИ «CertGetCertificateChain» из-за ошибок в их коде?

Константин Ткачук.

Вы лог трассировки свой уже посмотрели?
Заметили сколько тратилось времени и на что?
Оптимизации в СКЗИ были, дальше что?

Вы не подумали проверить RSA сертификат?
Вы не подумали удалить КриптоПРО CSP и проверить утверждения?

Представляете, а Я это всё сделал в ночь на понедельник, хотя мог отложить на рабочее время.

Результаты интересуют? Или будете ждать более компетентных специалистов?

14.4 секунд certutil от MS отрабатывал с RSA при блокировке правилом. (ой, а может это трассировка у меня столько отнимает?).

Использовал сертификат с форума.
Windows 7, без КриптоПРО CSP !

Заставлять проверять в актуальных ОС и СКЗИ уже не имеет смысла же?

Лог и сертификат в архиве.

Удачи!

Snimok ehkrana ot 2025-07-13 23-16-14.png (93kb) загружен 2 раз(а).

cryptopro.ru.zip (10kb) загружен 1 раз(а).