- Компьютер не принимает ssl сертификаты – что делать?
- Microsoft подтверждает ошибку сертификата в windows 10
- Windows имеет внутренний список неудаляемых корневых сертификатов
- Вопрос
- Как удалить сертификат встроенными средствами windows
- Как удалить сертификат с компьютера
- Ответы (6)
- Сертификаты — текущий пользователь
- Устранение ошибки с построением цепочки сертификатов
Компьютер не принимает ssl сертификаты – что делать?
Впервые столкнулся с такой проблемой – не грузятся некоторые сайты. На них написано, что подключение не защищено. Все бы ничего, но в числе незагружающихся сайтов Пикабу и Рутрекер, а так же мой собственный проект, где точно знаю, что SSL действительный.
Если говорим браузеру, что на свой страх и риск переходим на небезопасный сайт, то простые сайты типа моего работают полноценно. Например https://doit3d.ru/ или https://prom-kapital.ru/ А вот тот же Пикабу и Рутрекер прогружаются так, но без стилей.
Проблема с загрузкой некоторых сайтов, в том числе упомянутых, возникла еще позавчера. Но тогда просто выскакивала ошибка ERR_TIMED_OUT. Собственно, третий вечер уже голову ломаю. Перепробовал все варианты решения этой ошибки, предлагаемые гуглом. Пропала сама по себе и сменилась проблемой с сертификатами сайтов, где выскакивала..
Сертификат отмечается как недействительный даже у https://cps.letsencrypt.org. Во всех случаях написано, что срок действия сертификата еще не наступил или истек. Хотя фактически указанный соответствует актуальной дате. Обратил внимание, что у всех обнаруженных сайтов с якобы недействительным сертификатом, сертификат от letsencrypt.У работающих нормально сертификаты digicert и sectigo.
Проблема локальная, только на одном ПК. Были мысли, что шалит Comodo Firewall, дошло до удаления, а ничего не поменялось. Перепробовал Хром, Оперу, Лису, Тор – у всех с одними и теми же сайтами. Проверил на ноуте – та же домашняя сеть, тот же хром под моим логином – все отлично работает. Посмотрел сертификаты, сроки действия совпадают. Но на примере того же Пикабу, отличается путь сертификации. На ноуте, где работает, путь начинается с ISRG Root X1. На ПК, где не работает с DST Root CA X3. В обоих случаях далее R 3 и за ним сам сайт.
На обоих устройствах стоят “бесплатные” Win7 Ultimate.
Подскажите, куда копать, что делать? Ладно бы еще сайты прогружались нормально, по необходимости проигнорить отсутствие SSL еще можно, но работать на ресурсе с незагрузившимися стилями, то еще удовольствие.
Microsoft подтверждает ошибку сертификата в windows 10
Microsoft недавно признала новую ошибку в Windows 10, и компания заявляет, что единственное, что можно сделать, – это просто вернуться к предыдущей версии операционной системы.
В частности, софтверный гигант из Редмонда заявляет, что сертификаты могут отсутствовать после обновления до более новой версии Windows 10.
И, судя по всему, все вызвано последними кумулятивными обновлениями, выпущенными компанией. Проблему вызывают обновления от сентября 2020 года и более новые, поэтому устройства могут остаться без системных и пользовательских сертификатов, если юзеры обновят операционную систему с помощью этих накопительных обновлений.
«Системные и пользовательские сертификаты могут быть потеряны при обновлении устройства с Windows 10 версии 1809 или новее до более поздней версии Windows 10», – поясняет компания.
«Устройства будут затронуты только в том случае, если они уже установили какое-либо последнее накопительное обновление (LCU), выпущенное 16 сентября 2020 года, а затем перейдут к обновлению до более поздней версии Windows 10, для версии которой не был выпущен LCU.
В первую очередь это происходит, когда управляемые устройства обновляются с использованием устаревших пакетов с помощью инструмента управления обновлениями, такого как Windows Server Update Services (WSUS) или Microsoft Endpoint Configuration Manager.
Интересно, что затронуты были не все, и Microsoft заявляет, что устройства, которые подключаются напрямую к Центру обновления Windows, или устройства, использующие Центр обновления Windows для бизнеса, не увидят эту ошибку просто потому, что они всегда получают последнее накопительное обновление, которое также включает самые последние исправления.
Проблема затрагивает все версии Windows 10, выпущенные после обновления October 2021 Update, а именно:
• Windows 10 версии 1903• Windows 10 версии 1909• Windows 10 версии 2004• Windows 10 версии 20H2• Windows Server версии 1903• Windows Server версии 1909• Windows Server версии 2004• Windows Server версии 20H2
Интересно, что Microsoft заявляет, что уже работает над исправлением, но пока что единственный способ избежать ошибки – это просто перейти на предыдущую версию Windows 10, которую вы использовали до обновления. Очевидно, что если эта опция все еще доступна, то переход на более раннюю версию разрешен только в первые 10 или 30 дней после установки нового обновления функций, в зависимости от ваших настроек.
Microsoft заявляет, что она уже начала работу по исправлению этой ошибки, и как только патч будет доступен, компания опубликует новые кумулятивные обновления, которые позволят пользователям устанавливать новые версии Windows 10 без риска потери своих сертификатов.
Источник
Windows имеет внутренний список неудаляемых корневых сертификатов
В Windows, согласно этой информации обновление корневых сертификатов производится с помощью Certificate Trust List — CTL. Хотя из статьи следует, что это какая то примочка для кеширования списка сертификатов на локальном сервере, поиск услужливо подсказывает, что существует authrootstl.cab, подписанный Microsoft, которому Windows, начиная с 7, доверяет безоговорочно, и обновляет его каждую неделю, а в случае установки обновления KB3004394 — каждый день.
В консоли (MMC) можно добавить сертификаты, к которым нет доверия, но вот удалить корневой сертификат не так то просто.
Вдохновившись недавним скандалом с объединением WoSign и StartCom, решил удалить какой-нибудь стремный сертификат из Windows 7. Выбор пал на Izenpe.com (06 e8 46 27 2f 1f 0a 8f d1 84 5c e3 69 f6 d5), ибо баски и SHA-1. Но не тут-то было. После удаления корневого сертификата и захода на https://www.izenpe.com из Chrome 55.0.2883.87 m сертификат появился в списке сторонних корневых центров сертификации, и, соответственно, в списке доверенных корневых центров сертификации. Что, в принципе, ожидаемо.
Google Chrome attempts to use the root certificate store of the underlying operating system to determine whether an SSL certificate presented by a site is indeed trustworthy, with a few exceptions.
https://www.chromium.org/Home/chromium-security/root-ca-policy
Повторить трюк с Firefox 50.1.0 не вышло, те используют внутри браузера свое хранилище сертификатов. С Internet Explorer 11.0.9600.18163 трюк повторяется.
Казалось бы, виновники найдены. Но нет, берем https://opensource.apple.com/source/security_certificates/security_certificates-55036/roots/Izenpe-RAIZ2007.crt и открываем через Расширения оболочки шифрования, то бишь двойным щелчком.
И видим, что сертификат доверенный.
Это как вообще? Заходим в консоль и видим, что злосчастный сертификат есть в списке доверенных корневых центров сертификации.
А может Windows все неизвестные корневые сертификаты подтягивает в доверенное хранилище? Берем OpenSSL, генерируем корневой сертификат, открываем. Недоверенный.
А я уже раскатал губу, что удастся подписывать своим CA сертификаты для гитхаба. Хотя ни одна из записей реестра, описанная в статье на technet не существует по умолчанию ни в Windows 7, ни в Windows Server 2021, по всему видно, что имеется захардкоженный список доверенных сертификатов, не видимый ни в реестре, ни в групповых политиках, ни в консоли управления.
Вопрос
При попытке установить сертификат под Windows 7 x64 через Сервис-Свойства обозревателя Internet Explorer 8.0 он устанавливается, выводится сообщение «Импорт успешно завершен», но сертификат не появляется в списке сертификатов в разделе «Доверенные корневые центры сертификации».
При попытке установить этот же сертификат просто открыв его шелкнув мышью и затем выбрав «Установить сертификат» то же самое.
Если во втором варианте не выбирать «Доверенные корневые центры сертификации» а предоставить право выбора системе, сертификат устанавливается в раздел «Промежуточные центры сертификации», но естественно — не работает.
Проблема повторяется неоднократно, с разными сертификатами (первый раз столкнулся при попытке установить сертификат для электронной системы госзакупок, сейчас — при попытке установить сертификат банка для электронной подписи).
Специалисты банка решить проблему пока не смогли, на Windows XP, Vista и Windows 7 x86 она по-видимому не возникает.
Техподдержка Microsoft послала в FAQ, где ничего по этой проблеме обнаружить не удалось и на форумы, где нашел совет установить обновление 977222, установка этого обновления результата не дала.
источник
Как удалить сертификат встроенными средствами windows
Самым простым, но от этого не менее действенным является способ работы через Windows. Сделать это можно буквально за несколько минут.
Чтобы удалить просроченные сертификаты ЭЦП с персонального компьютера необходимо выполнить ряд следующих действий:
- Запустить браузер Internet Explorer 8.0 или более новую.
- В разделе «Сервис» выбрать опцию «Свойства браузера».
- Перейти во вкладку «Содержание», затем выбрать «Сертификаты».
- В открывшемся списке ЭЦП найти те, что нужно удалить, кликнуть на выбранные и подтвердить удаление.
Этот способ довольно простой и не требует никаких специальных знаний или навыков.
ВАЖНО! При таком методе ключ удостоверяющего центра всё равно останется на жестком диске и будет занимать место.
Есть ещё один несложный способ удаления ЭЦП через встроенные средства Виндоус. Для этого существует мастер по работе с сертификатами.
Алгоритм действий должен быть таков:
- Нажимаем на кнопку меню «Пуск» в панели управления.
- В строке «Выполнить» набираем команду certmgr.exe и нажимаем Enter.
- Откроется окно с полным перечнем установленных на ПК сертификатов. Необходимо вручную удалять каждый лишний из них через контекстное меню. Кликаем правой кнопкой мыши — выбираем удалить — подтверждаем.
Описанные выше способы являются безопасными и никак не повлияют на нормальную работу компьютера. Однако, на различных сайтах и форумах можно встретить ещё несколько советов и рекомендаций, как удалять просроченные ЭЦП на Windows. Например, удалить запись об установленном сертификате из реестра.
Как удалить сертификат с компьютера
В любой организации используются ЭЦП (электронные цифровые подписи) они есть даже у физических лиц. Так как с их помощью можно очень сильно облегчить себе работу и жизнь. Особенно это касается юридических лиц. Поэтому, если вы идете работать системным администратором в какую либо организацию будьте готовы к тому что вам придется устанавливать, удалять, продлят, выпускать новые, настраивать различные ресурсы и программы для работы с ЭЦП.
Сертификаты УЦ обычно выпускают на год, в некоторых случаях немного больше. Так же сертификаты выпускаются с определенными правами. И так же для различных ресурсов могут потребоваться сертификаты от определенных удостоверяющих центров. Например, для того чтобы зарегистрировать организацию на портале госуслуг нужен сертификат выпущенный аккредитованными удостоверяющими центрами. Так же сертификат может быть выпущен как на конкретное лицо так и на организацию в целом.
В итоге в организации может быть целый зоопарк из ЭЦП. Крайне не рекомендуется оставлять на рабочих местах пользователей сертификаты с истекшим сроком действия. Это сразу скажет об уровне вашего профессионализма.
Сегодня расскажу как удалять старые сертификаты выпущенные под криптопровайдера КриптоПРО. Статья предназначена для новичков поэтому написана как можно проще и понятней.
Ответы (6)
Это помогло устранить вашу проблему?
К сожалению, это не помогло.
Великолепно! Спасибо, что пометили это как ответ.
Насколько Вы удовлетворены этим ответом?
Благодарим за отзыв, он поможет улучшить наш сайт.
Насколько Вы удовлетворены этим ответом?
Это помогло устранить вашу проблему?
К сожалению, это не помогло.
Великолепно! Спасибо, что пометили это как ответ.
Насколько Вы удовлетворены этим ответом?
Благодарим за отзыв, он поможет улучшить наш сайт.
Насколько Вы удовлетворены этим ответом?
Включите компьютер, чтобы запустить Windows в обычном режиме. (При обновлении невозможно запустить компьютер с установочного носителя Windows 7 .)
После запуска Windows выполните одно из следующих действий.
При загрузке Windows 7 с веб-сайта перейдите к загруженному файлу установки и дважды щелкните его.
На странице Установить Windows щелкните Установить сейчас .
На странице Получение важных обновлений для установки рекомендуется получить последние обновления для обеспечения успешной установки и защиты компьютера от угроз безопасности. Для получения обновлений установки потребуется подключение к Интернету.
Если вы принимаете условия лицензионного соглашения на странице Ознакомьтесь с условиями лицензии , щелкните Я принимаю условия лицензии , а затем нажмите кнопку Далее .
Чтобы начать обновление, на странице Выберите тип установки щелкните Обновление . Можно просмотреть отчет о совместимости.
Следуйте инструкциям для завершения установки Windows 7 .
источник
Сертификаты — текущий пользователь
Данная область содержит вот такие папки:
- Личное > сюда попадают личные сертификаты (открытые или закрытые ключи), которые вы устанавливаете с различных рутокенов или etoken
- Доверительные корневые центры сертификации > это сертификаты центров сертификации, доверяя им вы автоматически доверяете всем выпущенным ими сертификатам, нужны для автоматической проверки большинства сертификатов в мире. Данный список используется при цепочках построения доверительных отношений между CA, обновляется он в месте с обновлениями Windows.
- Доверительные отношения в предприятии
- Промежуточные центры сертификации
- Объект пользователя Active Directory
- Доверительные издатели
- Сертификаты, к которым нет доверия
- Сторонние корневые центры сертификации
- Доверенные лица
- Поставщики сертификатов проверки подлинности клиентов
- Local NonRemovable Certificates
- Доверительные корневые сертификаты смарт-карты
В папке личное, по умолчанию сертификатов нет, если вы только их не установили. Установка может быть как с токена или путем запроса или импорта сертификата.
В мастере импортирования вы жмете далее.
далее у вас должен быть сертификат в формате:
- PKCS # 12 (.PFX, .P12)
- Стандарт Cryprograhic Message Syntax — сертификаты PKCS #7 (.p7b)
- Хранилище сериализованных сертификатов (.SST)
На вкладке доверенные центры сертификации, вы увидите внушительный список корневых сертификатов крупнейших издателей, благодаря им ваш браузер доверяет большинству сертификатов на сайтах, так как если вы доверяете корневому, значит и всем кому она выдал.
Двойным щелчком вы можете посмотреть состав сертификата.
Из действий вы их можете только экспортировать, чтобы потом переустановить на другом компьютере.
Экспорт идет в самые распространенные форматы.
Еще интересным будет список сертификатов, которые уже отозвали или они просочились.
Список пунктов у сертификатов для компьютера, слегка отличается и имеет вот такие дополнительные пункты:
- AAD Token Issue
- Windows Live >
Думаю у вас теперь не встанет вопрос, где хранятся сертификаты в windows и вы легко сможете найти и корневые сертификаты и открытые ключи.
При обмене электронной информацией на разных уровнях (открытие сайта в браузере, сообщение в Messenger, запуск программного обеспечения для подключения к другой рабочей станции, передача документов в системах подачи электронной отчетности и т.п.) разработана система цифровых сертификатов.
Эта инфраструктура проверяет подлинность источника и приемника пакета данных, являются ли они доверенными для проведения электронной транзакции.
В операционных системах семейства Microsoft Windows сертификаты сохраняются в хранилищах, которые бывают двух типов:
— Certificate store локального компьютера – содержит сертификаты, необходимые в проверке подлинности сервера для клиентских станций;
— Certificate store для пользователя – содержит сертификаты приложений, которые запускает определенный пользователь.
При открытии некоторых сайтов, удаленного подключения к персональному компьютеру или ноутбуку, приложений для обеспечения безопасного соединения (например, Cisco AnyConnect) и т.п., может открываться запрос о проверки сертификата. В зависимости от выбранного ответа (доверять, не доверять), сертификат попадает в соответствующий раздел хранилища. От этого зависит выполнение дальнейшего взаимодействия.
Сертификаты подразделяются на корневые и личные. Корневые сертификаты (CA) выдают центры сертификации для подписания SSL-сертификатов (используются для шифрования персональных данных), т.е. являются частью секретного ключа. Личные сертификаты необходимы пользователям для их идентификации при обмене электронными пакетами информации.
Чтобы ознакомиться с доверенными корневыми сертификатами, личными сертификатами и сертификатами, к которым нет доверия, нужно воспользоваться стандартной консоли управления Windows MMC.
Для ее запуска открывается окно выполнения программ с помощью сочетания клавиш Win R.
В меню «Файл» выбирается пункт «Добавить/удалить оснастку» (Add/Remove Snap-in).
Перечень возможных оснасток содержит «Сертификаты» (Certificates), которые включаются кнопкой «Добавить» (Add).
На дальнейшем шаге необходимо указать тип аккаунта, для которого будет использоваться оснастка.
Завершение операции осуществляется кнопкой «ОК».
Чтобы данные настройки отображались для последующих запусков консоли, в меню «Файл» выбираются пункты «Сохранить» (Save) или «Сохранить как» (Save as).
Если в подхранилище не хватает сертификатов, то через контекстное меню можно выполнить импорт.
Возможен импорт трех видов сертификатов:— Personal Information Exchange – PKCS #12 (.PFX, .P12)— Cryptographic Message Syntax Standard – PKCS #7 Certificates (.P7B)— Microsoft Serialized Certificate Store (.SST)
Для загрузки необходимо выбрать файл соответствующего формата.
Большинство сертификатов сохраняются только в реестре операционной системы, некоторые – в специальных директориях.
Для текущего пользователя сертификаты настроек расположены в ветке
Для сертификатов групповых политик текущего пользователя ветка другая
Отдельные пользовательские сертификаты расположены в ветке с идентификатором безопасности
На уровне компьютера используются две ветки реестра:
Для настроек служб HKEY_LOCAL_MACHINESoftwareMicrosoftCryptographyServicesServiceNameSystemCertificates
Если компьютер включен в Active Directory, то нужен раздел
Пользовательские сертификаты сохранены в форме файлов в каталогах:
Устранение ошибки с построением цепочки сертификатов
Обычно ошибку вызывает отсутствие сертификатов доверенных корневых центров. Чтобы устранить неисправность, нужно открыть список сертификатов и найти проблемный. Он будет иметь отметку о проблеме в проверке отношений:
Затем пользователь скачивает с официальной страницы сертификат Минкомсвязи РФ и сертификат удостоверяющего центра, имеющего проблемы в работе. Устанавливают их в раздел «Корневые сертификаты», а пошаговый процесс выглядит так:
В нужном сертификате нажать «Установить».
В мастере импорта сертификатов нажать «Далее» и в новом окне поставить галочку напротив «Поместить все сертификаты в следующем хранилище». Нажать «Обзор».
В открывшемся списке выбрать «Доверенные корневые центры» и нажать последовательно «ОК» и «Далее».
Нажать «Готово», а затем подтвердить установку.
Дождаться установки и перезагрузить ПК. Если после этого подписание сопровождается ошибкой, то необходимо обратиться за помощью в техническую поддержку.
Ошибки в работе носителя электронной подписи могут быть вызваны как неисправностью самого носителя, так и неисправностями в программном обеспечении. Перезагрузите ПК и переключите токен в другой порт, чтобы убедиться в его исправности. Если проблема вызвана тем, что токен поврежден, то необходимо обратиться в сервисный центр компании, выпустившей USB.