archivio certificati predefinito di Windows per i certificati radice intermedio vs trusted - il mio certificato CA autofirmato di root passa a "intermedio" per impostazione predefinita?

Question

archivio certificati predefinito di Windows per i certificati radice intermedio vs trusted - il mio certificato CA autofirmato di root passa a "intermedio" per impostazione predefinita?

#1 da (3 voti)
#2 da (0 voti)

2

È possibile creare un certificato CA radice autofirmato che Windows importerà in Trusted Root per impostazione predefinita invece di Intemediate certificate store? Ovviamente, non lo farà senza la grande finestra nag gigante che chiede se ne sei veramente sicuro, ma sarebbe bello non dover fare il passo in più per specificare quale archivio di certificati debba essere inserito.

Attualmente, sia la nostra CA radice che i certificati intermedi per impostazione predefinita (se fai semplicemente clic con il tasto destro del mouse > install) entrano nell'archivio certificati intermedio. Se dico di installarlo nell'archivio di root attendibile per il certificato radice, allora tutto funziona come previsto (catena di fiducia, ecc.). Tuttavia, idealmente non dovremmo impostarlo e invece supponiamo che dovrebbe andare lì (mostrerebbe comunque la finestra di dialogo "sei sicuro"). È possibile?

Abbiamo costruito (e stiamo ancora perfezionando) una CA usando phpseclib. Ad esempio, ecco una CA radice che ho generato (con dettagli disinfettati):

Stiamo facendo qualcosa di sbagliato, impostando o non impostando un'estensione? Forse deve essere in pfx o in un altro formato invece di PEM? O Windows sarà sempre predefinito come intermedio e nulla da fare al riguardo?

windows certificates certificate-authority

posta jvaughn 13.07.2013 - 02:03

fonte

2 risposte

0

Non esiste un modo per controllare l'euristica dei certificati di Windows, ma puoi comunque eseguire un'operazione in un solo passaggio.

Puoi distribuire uno script che lo fa. Tieni presente che deve essere eseguito da un amministratore poiché l'archivio root della macchina non può essere modificato dagli utenti non privilegiati . Supponendo che i certificati siano su una condivisione di rete, è possibile utilizzare:

certutil -addstore Root \path\to\rootcertificate.cer certutil -addstore Intermediate \path\to\intermediatecertificate.cer

In alternativa, credo che un utente non amministratore possa installare il certificato solo per se stesso con l'opzione "-user" , ad esempio:

certutil -user -addstore Root \path\to\certificatefile.cer

Se disponi di un dominio, è molto più facile distribuire certificati negli archivi appropriati tramite i Criteri di gruppo . Ciò lo rende automatico al momento dell'adesione al dominio, quindi non è richiesta alcuna azione sul client.

risposta data 02.04.2018 - 18:59
fonte

Leggi altre domande sui tag windows certificates certificate-authority

Esempi per la pratica del reverse engineering / disassemblaggio di win32 .executables Come sono isolate le macchine virtuali IaaS?

score 3 · Accepted Answer

Windows applica alcune euristiche non documentate per sapere dove dovrebbe andare il certificato. Apparentemente, queste euristiche sono cambiate: quando importo il tuo certificato su un sistema Windows XP, esso si imposta automaticamente sull'archivio principale (con il big warning), ma quando provo un sistema Windows 2008R2, va all'archivio intermedio di CA.

Un modo per risolvere il problema è che le CA radice sono oggetti molto sensibili e non devono essere importate "automaticamente". Una CA radice canaglia può essere usata per infliggere danni considerevoli alla vittima e non sono sicuro che un singolo popup sia veramente sufficiente come misura di protezione. Il popup non è nemmeno rosso e dall'aspetto spaventoso; è più simile a un muro di testo noioso:

Ècomeaccordidilicenza:chilileggeveramente,onestamente?

Inquestecondizioni,nonpossodavveroincolpareMicrosoftperdirigereleimportazionidicertificatididefaultinunarchivioCAintermedio.

Oraperlatuadomandaspecifica,sedovessiazzardareun'ipotesisuciòcherendealcuneversionidiWindowsconsideranoiltuocertificatocome"probabilmente non una CA radice", indicherei la breve durata. I certificati CA root di solito durano più di un anno. Suggerisco di provare a rendere quel certificato valido per 20 anni circa. Questo può o non può risolvere il tuo problema, ma se lo fa, tanto meglio.

Nota: un certificato che è sia auto-emesso (DN soggetto e DN emittente sono uguali) e che l'autofirmato non è necessariamente una radice; come per X.509 , una CA può emettere tali cose se vuole gestire una transizione fluida quando prova a cambiare alcune caratteristiche nel suo certificato. L' algoritmo di convalida del percorso include molte disposizioni per tale CA intermedio auto emessa certificati.