Nasaan ang mga sertipiko na nakaimbak sa mga sistema ng windows. Kung saan nakaimbak ang mga certificate sa mga windows system Pinagkakatiwalaang root storage

Mga susi -f -f ay ginagamit upang pilitin ang pag-update ng lahat ng mga file sa direktoryo ng patutunguhan.

Bilang resulta ng pagpapatupad ng utos, maraming mga file na may kabuuang dami ng halos kalahating megabyte ang lilitaw sa folder ng network na aming tinukoy:

Ayon sa naunang nabanggit mga artikulo , ang layunin ng mga file ay ang mga sumusunod:

• file authrootstl.cab naglalaman ng mga third-party na certificate trust list;
• file disallowedcertstl.cab naglalaman ng listahan ng tiwala sa sertipiko na may mga hindi pinagkakatiwalaang sertipiko;
• file disallowedcert.sst naglalaman ng tindahan ng mga serialized na certificate, kabilang ang mga hindi pinagkakatiwalaang certificate;
• Mga file na may mga pangalan ng uri thumbprint.crt naglalaman ng mga third-party na root certificate.

Kaya, ang mga file na kinakailangan para gumana ang mekanismo ng auto-update ay natanggap na, at ngayon ay nagpapatuloy kami sa pagpapatupad ng pagbabago sa pamamaraan ng pagpapatakbo ng mismong mekanismong ito. Para dito, gaya ng dati, tinutulungan kami ng mga patakaran ng pangkat ng domain. Aktibong Direktoryo (GPO), bagama't maaari kang gumamit ng iba pang mga sentralisadong tool sa pamamahala, ang kailangan lang nating gawin sa lahat ng mga computer ay baguhin, o sa halip, magdagdag, ng isang setting ng pagpapatala. RootDirURL sa isang sangay HKLM\Software\Microsoft\SystemCertificates\AuthRoot\AutoUpdate, na tutukuyin ang landas patungo sa aming direktoryo ng network, kung saan naglagay kami dati ng isang set ng mga root certificate file.

Sa pagsasalita tungkol sa pag-set up ng isang GPO, muli, maaari kang gumamit ng iba't ibang mga opsyon upang makamit ang iyong layunin. Halimbawa, mayroong opsyon na "old school" sa paggawa ng sarili mong template ng patakaran ng grupo, dahil inilalarawan ito sa pamilyar na sa amin. artikulo . Upang gawin ito, gagawa kami ng file sa format na template ng administratibo ng GPO ( ADM), halimbawa, na may pangalang RootCAUpdateLocalPath.adm at ang nilalaman:

Kopyahin natin ang file na ito sa domain controller sa %SystemRoot%\inf directory (karaniwan ay ang C:\Windows\inf directory). Pagkatapos nito, pumunta tayo sa editor ng patakaran ng pangkat ng domain at gumawa ng hiwalay bagong patakaran, pagkatapos ay buksan ito para sa pag-edit. Sa kabanata Configuration ng Computer > Mga Template ng Administratibo... buksan ang menu ng konteksto at piliin ang opsyong magkonekta ng bagong template ng patakaran Magdagdag/Mag-alis ng Mga Template

Sa window na bubukas, gamitin ang browse button upang piliin ang dati nang idinagdag na file %SystemRoot%\inf\RootCAUpdateLocalPath.adm, at pagkatapos lumitaw ang template sa listahan, pindutin ang malapit na.

Pagkatapos ng aksyon sa seksyon Configuration > Mga Template ng Administratibo > Mga Klasikong Administratibong Template (ADM) may lalabas na grupo Mga Setting ng Windows AutoUpdate, kung saan ang tanging parameter ay magiging available URL address na gagamitin sa halip na default na ctldl.windowsupdate.com

Buksan natin ang opsyong ito at ipasok ang landas patungo sa lokal na mapagkukunan kung saan namin matatagpuan ang mga file ng pag-update na na-download nang mas maaga, sa format na http://server1/folder o file://\\server1\folder ,
Halimbawa file://\\FILE-SERVER\SHARE\RootCAupd\GPO-Deployment

I-save natin ang mga pagbabago at ilapat ang ginawang patakaran sa lalagyan ng domain kung saan matatagpuan ang mga target na computer. Gayunpaman, ang tinalakay na paraan ng pag-setup ng GPO ay may ilang mga disbentaha, kaya naman tinawag ko itong "old school".

Isa pa, mas moderno at mas advanced na paraan ng pagse-set up ng client registry ay ang paggamit Mga Kagustuhan sa Patakaran ng Grupo (GPP). Gamit ang pagpipiliang ito, maaari naming gawin ang kaukulang GPP object sa seksyon ng patakaran ng grupo Configuration ng Computer > Mga Kagustuhan > Pagpapatala may pag-update ng parameter ( aksyon: update) pagpapatala RootDirURL(uri ng halaga REG_SZ)

Kung kinakailangan, maaari naming paganahin ang isang nababagong mekanismo sa pag-target para sa ginawang parameter ng GPP (Tab Karaniwan> Pagpipilian Pag-target sa antas ng item) sa isang partikular na computer o grupo ng mga computer para sa paunang pagsubok sa kung ano ang napupunta sa amin pagkatapos ilapat ang mga patakaran ng grupo.

Siyempre, kailangan mong pumili ng isang opsyon, o sa pagkonekta sa iyong sarili ADM-template, o paggamit GPP.

Pagkatapos i-configure ang mga patakaran ng pangkat sa anumang pang-eksperimentong computer ng kliyente, mag-a-update kami gamit ang command gpupdate /force sinundan ng pag-reboot. Matapos i-boot ang system, susuriin namin ang pagkakaroon ng nilikha na susi sa pagpapatala at subukang suriin ang katotohanan na ang root certificate store ay na-update. Upang suriin, gumagamit kami ng isang simple ngunit epektibong halimbawa na inilarawan sa talaMga Pinagkakatiwalaang Roots at Disallowed Certificate .

Halimbawa, tingnan natin kung ang certificate store ng computer ay naglalaman ng root certificate na ginamit sa pag-isyu ng certificate, na naka-install sa site na may pangalang buypass.no (ngunit hindi pa kami pumupunta sa mismong site :)).

Ang pinakamadaling paraan upang gawin ito ay sa Power shell:

Sa mataas na antas ng posibilidad, hindi kami magkakaroon ng ganoong root certificate. Kung gayon, pagkatapos ay buksan Internet Explorer at sumangguni sa URL https://buypass.no . At kung ang mekanismo para sa awtomatikong pag-renew ng mga root certificate na aming na-configure ay matagumpay na gumagana, pagkatapos ay sa Windows event log Aplikasyon magdudulot ito ng kaganapang may pinagmulan ( Pinagmulan) CAPI2, na nagsasaad na matagumpay na na-upload ang bagong root certificate:

Magandang hapon, mahal na mga mambabasa ng blog site, ilang beses na akong tinanong sa loob ng buwang ito e-mail kung saan ang mga sertipiko ay naka-imbak sa mga sistema ng windows, sa ibaba ay sasabihin ko sa iyo nang detalyado ang tungkol sa isyung ito, isaalang-alang ang istraktura ng tindahan, kung paano makahanap ng mga sertipiko at kung saan mo ito magagamit sa pagsasanay, ito ay magiging lalong kawili-wili para sa mga taong madalas na gumagamit. EDS (electronic digital na lagda)

Bakit alam kung saan nakaimbak ang mga sertipiko sa mga bintana

Hayaan mong ibigay ko sa iyo ang mga pangunahing dahilan kung bakit mo gustong magkaroon ng kaalamang ito:

• Kailangan mong tingnan o i-install ang root certificate
• Kailangan mong tingnan o i-install ang isang personal na sertipiko
• Pagkausyoso

Mas maaga, sinabi ko sa iyo kung ano ang mga sertipiko at kung saan mo makukuha at mailapat ang mga ito, ipinapayo ko sa iyo na basahin ang artikulong ito, dahil ang impormasyong nakapaloob dito ay pangunahing sa paksang ito.

Sa lahat mga operating system Simula sa Windows Vista at hanggang sa Windows 10 Redstone 2, ang mga certificate ay iniimbak sa isang lugar, isang uri ng lalagyan na nahahati sa dalawang bahagi, isa para sa user at ang pangalawa para sa computer.

Sa karamihan ng mga kaso, maaari mong baguhin ang ilang partikular na setting sa Windows sa pamamagitan ng mmc snap-in, at ang certificate store ay walang exception. At kaya pinindot namin ang key na kumbinasyon WIN + R at sa window na bubukas, isagawa, isulat ang mmc.

Siyempre, maaari mong ipasok ang utos ng certmgr.msc, ngunit sa ganitong paraan maaari ka lamang magbukas ng mga personal na sertipiko

Ngayon sa isang walang laman na mmc snap-in, i-click mo ang File menu at piliin ang Add or Remove Snap-in (shortcut CTRL+M)

Sa window ng Add/Remove Snap-Ins, sa Available na Snap-in field, hanapin ang Mga Certificate at i-click ang Add button.

Dito sa tagapamahala ng sertipiko, maaari kang magdagdag ng mga snap-in para sa:

• aking user account
• account ng serbisyo
• account sa computer

Karaniwan akong nagdaragdag para sa account ng gumagamit

at kompyuter

Ang computer ay may higit pang mga karagdagang setting, ito ay alinman sa isang lokal na computer o isang remote (sa network), piliin ang kasalukuyang isa at i-click ang handa.

Sa wakas, nakuha ko ang larawang ito.

Agad nating i-save ang ginawang snap-in para sa susunod na pagkakataon ay hindi na natin kailangang gawin ang mga hakbang na ito. Pumunta sa menu na File > Save As.

Itakda ang lokasyon ng pag-save at iyon na.

Tulad ng nakikita mo sa console ng tindahan ng sertipiko, sa aking halimbawa na ipinapakita ko sa iyo sa Windows 10 Redstone, tinitiyak ko sa iyo na ang interface ng window ay pareho sa lahat ng dako. Tulad ng isinulat ko kanina, mayroong dalawang lugar na Mga Sertipiko - ang kasalukuyang gumagamit at Mga Sertipiko (lokal na computer)

Mga Certificate - kasalukuyang gumagamit

Ang lugar na ito ay naglalaman ng mga sumusunod na folder:

1. Ang mga personal > personal na certificate (pampubliko o pribadong key) na iyong ini-install mula sa iba't ibang rutokens o etoken ay pumunta dito
2. Trusted Root Certification Authority > ito ay mga certificate ng certificate authority, sa pamamagitan ng pagtitiwala sa kanila awtomatiko mong pinagkakatiwalaan ang lahat ng certificate na ibinigay nila, kailangan ang mga ito para awtomatikong ma-verify ang karamihan sa mga certificate sa mundo. Ginagamit ang listahang ito kapag bumubuo ng mga ugnayan ng tiwala sa pagitan ng mga CA, ito ay ina-update sa lugar na may mga update sa Windows.
3. Pagkatiwalaan ang mga relasyon sa negosyo
4. Mga intermediate na CA
5. object ng gumagamit ng Active Directory
6. Mga Pinagkakatiwalaang Publisher
7. Mga sertipiko na hindi pinagkakatiwalaan
8. Mga Third Party na Root CA
9. Mga kumpiyansa
10. Mga provider ng sertipiko ng pagpapatunay ng kliyente
11. Mga Lokal na Hindi Matatanggal na Sertipiko
12. Mga Pinagkakatiwalaang Root Certificate ng Smart Card

Sa personal na folder, walang mga sertipiko bilang default, maliban kung na-install mo ang mga ito. Ang pag-install ay maaaring alinman sa isang token o sa pamamagitan ng paghiling o pag-import ng isang sertipiko.

• PKCS#12 (.PFX, .P12)
• Cryprograhic Message Syntax Standard - Mga Sertipiko ng PKCS #7 (.p7b).
• Serialized Certificate Store (.SST)

Sa tab na Trusted Certificate Authority, makikita mo ang isang kahanga-hangang listahan ng mga root certificate mula sa pinakamalaking mga publisher, salamat sa kung saan pinagkakatiwalaan ng iyong browser ang karamihan sa mga certificate sa mga site, dahil kung pinagkakatiwalaan mo ang root, kung gayon ang lahat kung kanino ito nagbigay nito.

Sa pamamagitan ng pag-double click makikita mo ang nilalaman ng sertipiko.

Sa mga pagkilos, maaari mo lamang i-export ang mga ito, upang maaari mong muling i-install ang mga ito sa isa pang computer.

Ang pag-export ay napupunta sa mga pinakakaraniwang format.

Ang isa pang kawili-wiling listahan ay ang listahan ng mga sertipiko na binawi na o na-leak.

• "Iba pang mga gumagamit" - imbakan ng mga sertipiko ng mga awtoridad sa regulasyon;
• "Trusted Root Certification Authority" at "Intermediate Certification Authority" - mga tindahan ng certificate ng Certification Authority.

Pag-install mga personal na sertipiko Ito ay ginawa lamang sa tulong ng programang Crypto Pro.

Upang ilunsad ang console, sundin ang mga hakbang na ito

1. Piliin ang menu na "Start" > "Run" (o sa keyboard, sabay na pindutin ang "Win + R" keys).

2. Tukuyin ang mmc command at i-click ang OK button.

3. Piliin ang File menu > Add or Remove Snap-in.

4. Piliin ang snap-in na "Mga Sertipiko" mula sa listahan at i-click ang button na "Magdagdag".

5. Sa window na bubukas, piliin ang radio button na "Aking user account" at i-click ang pindutang "Tapos na".

6. Piliin ang idinagdag na kagamitan mula sa listahan sa kanan at i-click ang OK na buton.

Pag-install ng mga sertipiko

1. Buksan ang kinakailangang tindahan (halimbawa, Trusted Root Certification Authority). Upang gawin ito, buksan ang "Mga Sertipiko - kasalukuyang gumagamit" > "Pinagkakatiwalaang Awtoridad sa Sertipikasyon ng Root" > sangay ng "Mga Sertipiko."

2. Piliin ang menu na "Action" > "All Tasks" > "Import".

4. Susunod, mag-click sa pindutang "Browse" at tukuyin ang file ng sertipiko para sa pag-import (ang mga root certificate ng Certification Authority ay maaaring ma-download mula sa website ng Certification Authority, ang mga sertipiko ng mga awtoridad sa regulasyon ay matatagpuan sa website ng Kontur.Extern system). Pagkatapos piliin ang sertipiko, dapat kang mag-click sa pindutang "Buksan", at pagkatapos ay sa pindutang "Susunod".

5. Sa susunod na window, mag-click sa pindutang "Next" (awtomatikong napili ang kinakailangang imbakan).

6. Mag-click sa pindutang "Tapos na" upang makumpleto ang pag-import.

Pag-alis ng mga Sertipiko

Upang tanggalin ang mga certificate gamit ang mmc console (halimbawa, mula sa storage ng Iba pang mga user), dapat mong gawin ang sumusunod:

Palawakin ang sangay na "Mga Sertipiko - kasalukuyang gumagamit" > "Iba pang mga user" > "Mga Sertipiko". Ang lahat ng mga certificate na naka-install sa tindahan ng Iba Pang Mga User ay ipapakita sa kanang bahagi ng window. I-highlight ang nais na sertipiko, i-right-click dito at piliin ang "Tanggalin".

Kapag pinupunan ang mga dokumento o nagrerehistro ng isang organisasyon, ang mga gumagamit ay nakakaranas ng isang error - "Hindi makabuo ng isang hanay ng mga sertipiko para sa isang pinagkakatiwalaang sentro ng ugat". Kung susubukan mong muli, lilitaw muli ang error. Ano ang gagawin sa sitwasyong ito, basahin pa sa artikulo.

Mga sanhi ng error sa chain ng certificate

Maaaring mangyari ang mga error sa iba't ibang dahilan - mga problema sa Internet sa panig ng kliyente, pagharang software Windows Defender o iba pang mga antivirus. Dagdag pa, ang kawalan ng root certificate ng Certification Authority, mga problema sa proseso ng pagpirma ng cryptographic, at iba pa.

Pag-aayos ng error kapag gumagawa ng chain ng certificate para sa pinagkakatiwalaang awtoridad sa ugat

Una sa lahat, siguraduhing wala kang problema sa iyong koneksyon sa internet. Maaaring lumitaw ang error kapag walang access. Ang network cable ay dapat na konektado sa isang computer o router.

1. I-click ang button na "Start" at i-type ang "Command Prompt" sa box para sa paghahanap.
2. Piliin ito gamit ang kanang pindutan ng mouse at i-click ang "Run as administrator".
3. Ipasok ang sumusunod na command sa window ng DOS na "ping google.ru".

Kapag nakakonekta ang Internet, dapat mong makita ang data tungkol sa mga ipinadalang packet, bilis ng paglipat at iba pang impormasyon. Kung walang Internet, makikita mo na ang mga packet ay hindi nakarating sa kanilang destinasyon.

Ngayon suriin natin ang pagkakaroon ng root certificate ng Certification Authority. Para dito:

Kung walang sertipiko, kailangan mong i-download ito. Sa karamihan ng mga kaso, ito ay matatagpuan sa mga root certificate at kailangan lamang ng user na i-install ito. Ito rin ay nagkakahalaga ng pag-alala na pinakamahusay na gamitin ang browser ng Internet Explorer upang mas kaunting mga error at pagkabigo ang nangyari sa panahon ng trabaho. Subukang hanapin ang CA sa mga sertipiko ng ugat, pagkatapos nito kailangan mo lamang i-click ang pindutang "I-install", i-restart ang iyong browser, at malulutas mo ang problema sa error - "Hindi makabuo ng isang chain ng sertipiko para sa pinagkakatiwalaang awtoridad ng ugat. "

Sinusuri ang CA Root Certificate sa isang Browser

Ang pagsusuri ay maaaring gawin sa browser.

1. Piliin ang "Serbisyo" mula sa menu.
2. Susunod, mag-click sa linya ng "Internet Options".
3. Mag-click sa tab na Nilalaman.
4. Dito kailangan mong piliin ang "Mga Sertipiko".
5. Susunod na tab " Mga Trusted Center sertipikasyon". Ang CA root certificate ay dapat na narito, kadalasan sa ibaba ng listahan.

Ngayon subukang muli upang isagawa ang mga hakbang kung saan nangyari ang error. Upang makakuha ng root certificate, dapat kang makipag-ugnayan sa naaangkop na sentro kung saan mo natanggap ang EP UPC.

Iba pang Mga Paraan para Ayusin ang Certificate Chain Error

Isaalang-alang kung paano maayos na i-download, i-install at gamitin ang CryptoPro. Upang matiyak na ang program ay hindi naka-install sa iyong PC (kung mayroong ilang mga gumagamit ng computer), kailangan mong buksan ang Start menu. Pagkatapos ay piliin ang "Mga Programa" at hanapin sa listahan ang "CryptoPro". Kung hindi ito umiiral, pagkatapos ay i-install namin ito. Maaari mong i-download ang programa mula sa link na https://www.cryptopro.ru/downloads. Dito kailangan mo" CryptoPro CSP» - piliin ang bersyon.

Sa susunod na window, dapat kang makakita ng mensahe ng pre-registration.

Pag-install ng CryptoPro

Kapag na-download na ang setup file, kailangan mo itong patakbuhin upang mai-install ito sa iyong computer. Ang system ay magpapakita ng babala na ang programa ay humihingi ng pahintulot na baguhin ang mga file sa PC, payagan itong gawin ito.

Bago i-install ang program sa iyong computer, dapat na i-extract ang lahat ng iyong mga token. Ang browser ay dapat na i-configure upang gumana, maliban sa Opera browser, lahat ng mga default na setting ay nagawa na dito. Ang tanging bagay na natitira para sa gumagamit ay upang i-activate ang isang espesyal na plug-in para sa trabaho. Sa proseso, makakakita ka ng kaukulang window kung saan nag-aalok ang Opera na i-activate ang plugin na ito.

Pagkatapos simulan ang programa, kakailanganin mong ipasok ang susi sa window.

Posibleng makahanap ng program na tatakbo sa sumusunod na landas: "Start", "All Programs", "CryptoPro", "CryptoPro CSP". Sa window na bubukas, i-click ang pindutang "Ipasok ang lisensya" at ilagay ang susi sa huling hanay. handa na. Ngayon ang programa ay kailangang i-configure nang naaayon para sa iyong mga gawain. Sa ilang mga kaso, para sa Electronic Signature gumamit ng mga karagdagang kagamitan - CryptoPro Office Signature at CryptoAKM. Maaari mong ayusin ang error - walang paraan upang bumuo ng isang chain ng sertipiko para sa isang pinagkakatiwalaang root center - sa pamamagitan lamang ng muling pag-install ng CryptoPro. Subukan ito kung ang ibang mga tip ay hindi nakatulong.

Lumilitaw pa rin ba ang error? Magsumite ng ticket ng suporta na may mga screenshot ng iyong mga hakbang at ipaliwanag nang detalyado ang iyong sitwasyon.