Stesso identico problema. Anche io ho abilitato il log Schannel al massimo dettaglio.
Questi sono gli eventi Schannel loggati nell'Event Viewer quando una chiamata dal SdI fallisce con status http 500
1) EventID 36867
Creating an SSL server credential.
2) EventID 36868
The SSL server credential's private key has the following properties:
CSP name: Microsoft Enhanced Cryptographic Provider v1.0
CSP type: 1
Key name: {62F754D4-4BD7-42D8-8774-B13D45E06591}
Key Type: key exchange
Key Flags: 0x20
The attached data contains the certificate.
3) EventID 36880
An SSL server handshake completed successfully. The negotiated cryptographic parameters are as follows.
Protocol: TLS 1.0
CipherSuite: 0x2F
Exchange strength: 2048
4) EventID 36887
A fatal alert was received from the remote endpoint. The TLS protocol defined fatal alert code is 42.
Dal log 3) sembrerebbe quindi che il problema non sta nella versione TLS, ma in qualcosa dopo.
La verifica dei certificati nel mio caso non viene fatta a livello applicazione WCF ma direttamente da IIS 8.
Ho notato che tra 3) e 4) quando la chiamata dal SdI va in errore passa qualche secondo.
Quando invece la chiamata dal SdI va a buon fine al 4) c'è un record di log identico al 3).
Ho provato a estrarre il certificato in 2) e ho verificato che combiacia con il certificato di autenticazione server che ho correttamente installato sul mio IIS 8.
Ho anche disabilitato la client certificate revocation come spiegato qui https://blogs.msdn.microsoft.com/kaushal/2012/10/15/disable-client-certificate-revocation-crl-check-on-iis/ ma non ha risolto.
Quello che però non mi è ancora chiaro è se il problema sia sul certificato client presentato dal SdI o sul certificato server presentato dal mio IIS 8. Dai log il problema sembrerebbe sul certificato server presentato dal mio IIS 8, e quella frase "A
fatal alert was received from the remote endpoint" sembrerebbe indicare che il certificato server presentato dal mio IIS 8 non è piaciuto al SdI.
In tal caso però la domanda è: dal momento che il certificato server installato sul mio IIS 8 è sempre lo stesso, come mai a volte piace e a volte no?
Probabilmente, ipotesi che ho fatto, i server del SdI sono talmente carichi che non riescono a verificare sempre correttamente (con tutto il giro delle crl) i certificati di autenticazione server rilasciati da "CA Agenzia delle Entrate" e installati
sulle varie macchine sparse per il paese.
Errore Schannel irreversibile definito dal protocollo TLS: 42 nella chiamata di un servizio web
