chore(test): подтвердить отказы IKE с повреждённым и истёкшим CRL

docs/ux-ui-external-acceptance.md

@@ -1,6 +1,6 @@
 # UX/UI: протокол внешней приёмки 12.5
 
-Актуальное продолжение 2026-10-11: завершён12.5.135 — real certificate-bound external CRL IKE: valid/recovered Ping3/3, missing-CDP404 + empty valid cache → AUTHENTICATION_FAILED/CRL not found/API offline.18 коллекций×2 restored, private/Docker/endpoint cleanup. Первый recovered IKE_INIT timeout сохранён; финальный повтор passed. Runtime ux-log133. Следующий136 — malformed/expired signed CRL; общая UI-регрессия137 запущена.12.5 открыт.
+Актуальное продолжение 2026-10-11: завершён12.5.136 — real IKE valid/malformed/signed expired/recovered CRL: positive Ping3/3, malformed invalid=true и expired=true → AUTHENTICATION_FAILED/API offline. Без retry;18 коллекций×2 и private/Docker/CRL settings/endpoint restored. Runtime ux-log133. Следующий137 — external revocation с existing IKE; общая UI-регрессия идёт, итог будет отдельным блоком.12.5 открыт.
 
 IPsec78: реальный PSK responder established, mode-config198.18.78.10 и online=true подтверждены API; точные собственные объекты удалены. Сертификатный/DN online, late failure и history restore остаются открытыми. [Отчёт](ux-ui/acceptance/ipsec-mode-config-2026-10-09.json), [журнал](ux-ui-progress.md).
 
@@ -696,7 +696,7 @@ flowchart LR
 
 ## 12.5.77 — основной блок IPsec (2026-10-09)
 
-Актуальное продолжение 2026-10-11: завершён12.5.135 — real certificate-bound external CRL IKE: valid/recovered Ping3/3, missing-CDP404 + empty valid cache → AUTHENTICATION_FAILED/CRL not found/API offline.18 коллекций×2 restored, private/Docker/endpoint cleanup. Первый recovered IKE_INIT timeout сохранён; финальный повтор passed. Runtime ux-log133. Следующий136 — malformed/expired signed CRL; общая UI-регрессия137 запущена.12.5 открыт.
+Актуальное продолжение 2026-10-11: завершён12.5.136 — real IKE valid/malformed/signed expired/recovered CRL: positive Ping3/3, malformed invalid=true и expired=true → AUTHENTICATION_FAILED/API offline. Без retry;18 коллекций×2 и private/Docker/CRL settings/endpoint restored. Runtime ux-log133. Следующий137 — external revocation с existing IKE; общая UI-регрессия идёт, итог будет отдельным блоком.12.5 открыт.
 
 Подробный объём, протоколы, схема и ограничения: [12.5.77 в журнале](ux-ui-progress.md).
 
@@ -1459,3 +1459,13 @@ CRL-use/download второго CHR восстановлены точным ср
 CRL settings восстановлены точным сравнением. Own endpoint/logger/CA/certificates/private exports/credentials/Linux clients/network/IPsec identity/peer/policy/group/profile/proposal/mode-config/pool/bridge/address удалены по ownership checks.18 наборов IDs на каждом CHR совпали с baseline; private files removed, Docker cleanup, порт18084 закрыт. Existing/default/public/metadata/195.195.195.195/32/flash directory и пароли сохранены. Crypto dumps в evidence не включены, сохранены только выбранные auth/CRL сообщения.
 
 Source/runtime/UI не менялись; действующий backend/frontend ux-log133. Следующий136 — повреждённый и подписанный истёкший CRL. Общая UI-регрессия после133 запущена отдельным процессом, её результат пока не заявляется. Немедленное завершение существующего IKE при отзыве, другие ОС и SLA ещё не приняты;12.5 открыт.
+
+## 12.5.136 — повреждённый и подписанный истёкший CRL в IKE (2026-10-11)
+
+В собственном external-CA tunnel проверены четыре payload на одном certificate-bound CDP: valid DER → HTTP200 malformed text → signed expired DER → original valid DER. Между фазами own cache сбрасывался после certificate/URL ownership preflight, CRL-use/download=yes. Private CA key использован только в0700/0600 временных файлах для подписания CRL, затем удалён. OpenSSL проверил подпись expired DER точным собственным CA; lastUpdate=now−2h, nextUpdate=now−1h. Часы CHR/Debian не менялись.
+
+Оба positive controls установили IKE/ESP, Ping3/3 и API online=true. Malformed payload дал invalid=true caches, AUTHENTICATION_FAILED/established0/API offline. Signed expired payload был распознан RouterOS как invalid=false/expired=true, но новое IKE тоже получило явный AUTHENTICATION_FAILED/established0/API offline. Это четыре уникальные фазы без retry в итоговом запуске; отказ не выводится из сетевого timeout. Per-phase log сохраняет выбранную auth metadata; список expired может содержать earlier malformed reason и не выдаётся за отдельный точный текст причины expiry.
+
+Own certificates/CA/exports/imports/private credentials/Linux containers/network/endpoint/loggers/tunnel config/pool/bridge/address удалены.18 наборов IDs×2 совпали с baseline, CRL settings restored exact, endpoint closed/порт18084 не слушается. Default/public/metadata/195.195.195.195/32/flash directory и пароли сохранены. [Четыре фазы, подпись и cleanup](ux-ui/acceptance/ipsec-malformed-expired-crl-2026-10-11.json); [OpenSSL CRL date options](https://docs.openssl.org/3.0/man1/openssl-ca/).
+
+Source/runtime/UI не менялись, действуют backend/frontend ux-log133. Следующий137 — external revocation при existing IKE и новый handshake. Уже запущенная общая UI-регрессия после133 продолжается; её итог будет отдельным последующим блоком, без объявления успеха заранее. Другие ОС/SLA/часовой refresh/immediate active-session revocation остаются открыты;12.5 открыт.