Ishonchli sertifikatlarga ildiz sertifikatini qo'shing. Internetga to'g'ridan-to'g'ri kirish imkoniga ega bo'lmagan Windows kompyuterlarida Ishonchli ildiz sertifikatlashtirish idoralari sertifikat do'konini avtomatik ravishda yangilang. Sertifikatlar - joriy foydalanuvchi

Elektron imzoni (ERI) tekshirishda sizning kompyuteringiz nafaqat ERIning amal qilish muddatini aniqlashi, balki Elektron imzoni kim berganligini ham tushunishi kerak. Har birida EDS sertifikati imzo qaysi sertifikatlashtirish organi (CA) tomonidan berilganligi ko'rsatilgan. Tizim EDS ishlab chiqaruvchisini "o'qigandan" so'ng, siz ushbu ishlab chiqaruvchining o'zi haqida ma'lumot olishingiz kerak. Buning uchun foydalanuvchi kompyuterida ildiz sertifikati o'rnatiladi.

Agar sertifikatlashtirish markazining asosiy sertifikati foydalanuvchi kompyuterida o'rnatilgan bo'lsa, ushbu CA tomonidan berilgan barcha sertifikatlar haqiqiy hisoblanadi (agar ularning amal qilish muddati hali tugamagan bo'lsa).

Yuqorida aytilganlarning barchasini hisobga olgan holda, biz sertifikat olish uchun degan xulosaga kelamiz elektron imzo tizim tomonidan "to'g'ri" deb qabul qilingan, siz o'rnatishingiz kerak ildiz sertifikatlari Elektron raqamli imzoni bergan sertifikatlashtirish markazi.

Keling, ildiz sertifikatini o'rnatishni boshlaylik:

Ildiz sertifikatini o'rnatishdan oldin uni elektron raqamli imzoni bergan sertifikatlashtirish organining veb-saytidan yoki bizning veb-saytimizdan quyidagi bo'limda yuklab oling.

1. Saqlangan sertifikatni ikki marta bosing yoki sichqonchaning o'ng tugmachasini bosing va rasmda ko'rsatilganidek, elementni tanlang.

2. Ko'rsatilgan oynada "Keyingi" tugmasini bosing.

3. Keyingi oynada "Barcha sertifikatlarni quyidagi do'konga joylashtirish" -ni tanlang va "Browse..." tugmasini bosing.

4. Qalqib chiquvchi oynada "Ishonchli ildiz sertifikatlash idoralari" ni tanlang va "OK" tugmasini bosing.

5. Qalqib chiquvchi oyna yopiladi va sizda rasmda ko'rsatilganidek bo'lishi kerak. Agar "Sertifikatlarni saqlash" maydonidagi ma'lumotlar paydo bo'lmasa, 3, 4-bosqichlarga qayting va ushbu amallarni yana takrorlang. Agar hamma narsa rasmda ko'rsatilganidek bo'lsa, "Keyingi" tugmasini bosing.

6. Tugatgandan so'ng, "Bajarildi" tugmasini bosing.

7. Sertifikatlarni import qilish ustasi oynasini yopgandan so'ng, tizim sertifikatlarni kompyuteringizga o'rnatish haqida ogohlantirish berishi mumkin. Bu xabar bir necha marta paydo bo'lishi mumkin. Har safar "YES" tugmasini bosing.

8. Agar oldingi xabar ko'rinmasa, rasmda ko'rsatilganidek, keyingi oynada "OK" tugmasini bosing.

Ko'nglimizni ko'taraylik! Endi Sertifikatlashtirish markazining ildiz sertifikati muvaffaqiyatli o'rnatildi!

Bir marta do'stim (antelecs.ru saytidan Seryoga) menga ildiz sertifikatlash bo'yicha ishonchli idoralar omboriga bir nechta sertifikatlarni qo'shishning odatiy jarayonini qandaydir tezlashtirish/avtomatlashtirish mumkinmi degan savol bilan murojaat qildi. Muammo men uchun qiziqarli va sayt mavzusiga tegishli bo'lib tuyuldi, shuning uchun men yechimni shu erda nashr etishga qaror qildim. Men Cybersoft'dan bepul dasturiy ta'minotni yuklab olishni taklif qilaman!

Albatta, men GPO yoki boshqa ma'muriy mehnat bilan shug'ullanishim mumkin edi, lekin negadir mening birinchi fikrim RAR arxivi ko'rinishidagi mavjud vositalar va uning o'z-o'zidan ochiladigan (SFX) arxivlarini yaratish funktsiyasidan foydalanish edi.

Sertifikatlarni avtomatik o'rnatish

Bizga Windows SDK dan certmgr.exe yordam dasturi kerak bo'ladi. Uni qanday ishlatish haqida ma'lumot ushbu sahifada.

Kontekst menyusida barcha fayllarni tanlashda "Arxivga qo'shish ..." buyrug'ini tanlang.

Arxiv parametrlarini belgilang. Bu yerda siz chiquvchi bajariladigan fayl uchun o'zboshimchalik nomini belgilashingiz mumkin, shuningdek, "SFX arxivini yaratish" katagiga belgi qo'yishingiz kerak.

"Kengaytirilgan" yorlig'ida "SFX Options..." tugmasini bosing.

"Umumiy" yorlig'ida o'rash yo'lini belgilang - joriy jildni yoki uning pastki katalogini belgilashingiz mumkin.

Eng qizig'i: "O'rnatish" yorlig'ida biz fayllarni chiqarib olgandan so'ng qaysi buyruqlar bajarilishini ko'rsatamiz. Joriy katalog fayllar ochiladigan katalog bo'ladi. Sertifikatni do'konga o'rnatish buyrug'i quyidagicha ko'rinadi:

certmgr.exe -add -c "Filename.cer" -s -l localMachine root

Bu erda localMachine kompyuter uchun o'rnatishni anglatadi va root - Ishonchli ildiz sertifikatlash idoralari do'konining nomi.

Foydalanish qulayligi uchun siz barcha dialog oynalarini yashirishingiz mumkin (aks holda ochish uchun katalogni tanlash uchun dialog oynasi ko'rsatiladi va hokazo).

Sharhlar yorlig'i o'ramni ochish paytida bajarilgan barcha harakatlarni ko'rsatadi. Printsipial jihatdan, siz bu erga matnni qo'lda kiritishingiz mumkin va xuddi shu narsa sodir bo'ladi.

Mavzu bo'yicha video

Jarayonni yaxshiroq tushunish uchun men qisqa video yozdim!

Agar veb-hisob qaydnomasiga ulanishga urinayotganda, brauzer xavfsizlik oynasi ochilsa (1-rasm), siz qo'shishingiz kerak. Moskva birjasining ildiz sertifikati moex.cer ro'yxatga ishonchli sertifikatlar.

1-rasm – brauzer xavfsizligi oynasi

Buni amalga oshirish uchun sizga kerak:

qidiruv maydoniga kiring Windows fayl nomi certmgr.msc(2-rasm). Keyin topilgan faylni sichqonchaning chap tugmasi bilan bosing. Natijada sertifikat tizimining katalogi ochiladi (3-rasm);

2-rasm – tizim sertifikati katalogini qidiring 3-rasm – sertifikatlarning tizimli katalogi
bo'limga o'ting Sertifikatlar yon menyu (4-rasm). Keyin papkani o'ng tugmasini bosing Sertifikatlar va ochilgan kontekst menyusida elementni tanlang Barcha vazifalar → Import(5-rasm).

4-rasm – ishonchli kataloglar 5-rasm – sertifikat importi
Natijada, u ochiladi Sertifikatlarni import qilish ustasi(6-rasm), unda siz tugmani bosishingiz kerak Keyingisi sertifikat faylini tanlashni davom ettirish uchun moex.cer(7-rasm);

6-rasm – sertifikat import ustasi 7-rasm – import qilingan faylni tanlash uchun dialog oynasi
tugmasini bosing Ko‘rib chiqish(7, 1-rasmga qarang) va tanlang Moskva birjasining ildiz sertifikati moex.cer. Natijada, dalada Fayl nomi Ushbu faylga yo'l ko'rsatiladi (7.2-rasmga qarang). Keyin tugmani bosishingiz kerak Keyingisi(7.3-rasmga qarang);
tugmasini bosing Keyingisi dialog oynasida Sertifikat do'koni, standart parametrlarni o'zgartirmasdan (8-rasm), keyin tugmani bosing Tayyor sertifikat importini yakunlash uchun (9-rasm).

8-rasm - sertifikat do'koni 9-rasm - import tugallandi

Import tugallangach, xavfsizlik oynasi ochiladi. Windows (10-rasm). Kalit barmoq izini tekshiring. Uning raqami rasmda ko'rsatilgan raqamga mos kelishi kerak (10,1). Agar ma'lumotlar mos kelsa, bosing Ha(10.2-rasm).

10-rasm – xavfsizlik oynasi Windows

Natijada muvaffaqiyatli import haqida bildirishnoma ochiladi. Moskva birjasi sertifikati moex.cer ishonchli sertifikatlar ro'yxatiga (11-rasm), unda tugmani bosishingiz kerak KELISHDIKMI.

11-rasm – importni yakunlash

Ishonchli ildiz sertifikatlash organlarining sertifikatlari do'koni Windows operatsion tizimida ishlaydigan maqsadli kompyuterlarda yangilanmaganligi sababli dasturiy ta'minotni to'g'ri joylashtirishning mumkin emasligi muammosi bilan (bundan keyin qisqacha aytganda, biz ushbu do'konni TrustedRootCA deb ataymiz). O'sha paytda muammo paketni joylashtirish orqali hal qilindi rootsupd.exe, maqolada mavjud KB931125, bu OS bilan bog'liq Windows XP. Endi ushbu OS Microsoft qo'llab-quvvatlashidan butunlay olib tashlangan va shuning uchun bu KB maqolasi endi Microsoft veb-saytida mavjud emas. Bularning barchasiga shuni qo'shimcha qilishimiz mumkinki, o'sha paytda ham eskirgan sertifikatlar to'plamini joylashtirish bilan bog'liq yechim eng maqbul emas edi, chunki o'sha paytda operatsion tizimli tizimlar. Windows Vista Va Windows 7, bu allaqachon TrustedRootCA sertifikat do'konini avtomatik yangilash uchun yangi mexanizmni o'z ichiga olgan. Mana, Windows Vista haqidagi eski maqolalardan biri, bunday mexanizm qanday ishlashining ba'zi jihatlarini tavsiflaydi -Sertifikatni qo'llab-quvvatlash va Windows Vista'da natijada Internet aloqasi . Yaqinda men yana bir qator Windows-ga asoslangan mijoz kompyuterlari va serverlarida TrustedRootCA sertifikatlar do'konini yangilash kerakligi haqidagi asl muammoga duch keldim. Ushbu kompyuterlarning barchasi Internetga to'g'ridan-to'g'ri kirish imkoniga ega emas va shuning uchun sertifikatni avtomatik yangilash mexanizmi o'z vazifasini xohlagancha bajarmaydi. Barcha kompyuterlarga, hatto ma'lum manzillarga ham Internetga to'g'ridan-to'g'ri kirishni ochish varianti dastlab ekstremal variant sifatida ko'rib chiqildi va yanada maqbul echimni izlash meni maqolaga olib keldi.Ishonchli ildizlar va ruxsat etilmagan sertifikatlarni sozlang(RU ), u darhol barcha savollarimga javob berdi. Umuman olganda, ushbu maqolaga asoslanib, men ushbu eslatmada qisqacha tavsif beraman aniq misol Windows Vista va undan yuqori kompyuterlarda TrustedRootCA sertifikat do'koni uchun xuddi shu avtomatik yangilash mexanizmini qanday qilib markaziy ravishda qayta sozlashingiz mumkin, shunda u yangilanish manbai sifatida mahalliy korporativ tarmoqdagi fayl resursi yoki veb-saytdan foydalanadi.

Boshlash uchun siz e'tibor berishingiz kerak bo'lgan narsa shundaki, kompyuterlarga qo'llaniladigan guruh siyosatlarida avtomatik yangilash mexanizmining ishlashini bloklaydigan parametr yoqilmasligi kerak. Bu parametr Avtomatik ildiz sertifikatlarini yangilashni o'chiring bo'limida Kompyuter konfiguratsiyasi > Ma'muriy shablonlar > Tizim > Internet aloqasini boshqarish > Internet aloqa sozlamalari. Ushbu parametr bo'lishi uchun bizga kerak bo'ladi Oʻchirilgan, yoki shunchaki Sozlanmagan.

Agar siz TrustedRootCA sertifikatlari do'koniga qarasangiz Mahalliy kompyuter, keyin Internetga to'g'ridan-to'g'ri kirish imkoniga ega bo'lmagan tizimlarda sertifikatlar to'plami, aytaylik, kichik bo'ladi:

Ushbu fayl, masalan, mavjud sertifikatlarning barcha kichik to'plamidan faqat ma'lum bir to'plamni tanlash va ularni keyingi yuklash uchun alohida SST fayliga yuklash kerak bo'lganda foydalanish uchun qulaydir, masalan, mahalliy sertifikat boshqaruv konsoli yoki Guruh siyosatini boshqarish konsoli (parametr orqali ba'zi yoki domen siyosatlariga import qilish uchun Kompyuter konfiguratsiyasi > Siyosat > Windows sozlamalari > Xavfsizlik sozlamalari > Ochiq kalit siyosati > Ishonchli ildiz sertifikatlash idoralari).

Biroq, bizni qiziqtiradigan ildiz sertifikatlarini tarqatish usuli uchun oxirgi mijoz kompyuterlarida avtomatik yangilash mexanizmining ishlashini o'zgartirish orqali bizga joriy ildiz sertifikatlari to'plamining biroz boshqacha ko'rinishi kerak bo'ladi. Siz uni xuddi shu yordamchi dastur yordamida olishingiz mumkin Sertutil, lekin boshqa kalitlar to'plami bilan.

Bizning misolimizda fayl serveridagi umumiy tarmoq papkasi mahalliy tarqatish manbai sifatida ishlatiladi. Va bu erda shuni ta'kidlash kerakki, bunday papkani tayyorlashda hech kim ildiz sertifikatlari to'plamini o'zgartirishi mumkin bo'lmasligi uchun yozishga kirishni cheklash kerak, keyinchalik ular ko'pchilik bo'ylab "tarqaladi". kompyuterlar.

Sertutil-syncWithWU -f -f \\FILE-SERVER\SHARE\RootCAupd\GPO-Deployment\

Kalitlar -f -f belgilangan katalogdagi barcha fayllarni yangilashni majburlash uchun ishlatiladi.

Buyruqni bajarish natijasida biz ko'rsatgan tarmoq papkasida umumiy hajmi taxminan yarim megabayt bo'lgan ko'plab fayllar paydo bo'ladi:

Yuqorida aytib o'tilganlarga ko'ra maqolalar , fayllarning maqsadi quyidagicha:

Fayl authrootstl.cab uchinchi tomon sertifikatlarining ishonchli ro'yxatlarini o'z ichiga oladi;
Fayl disallowedcertstl.cab ishonchsiz sertifikatlar bilan sertifikat ishonchli ro'yxatini o'z ichiga oladi;
Fayl disallowedcert.sst seriyali sertifikatlar, shu jumladan ishonchsiz sertifikatlar do'konini o'z ichiga oladi;
kabi nomli fayllar thumbprint.crt uchinchi tomon ildiz sertifikatlarini o'z ichiga oladi.

Shunday qilib, avtomatik yangilash mexanizmining ishlashi uchun zarur bo'lgan fayllar olindi va biz hozir aynan shu mexanizmning ishlash sxemasiga o'zgartirishlar kiritishga o'tmoqdamiz. Buning uchun, har doimgidek, domen guruhlari siyosati yordamimizga keladi. Active Directory (GPO), boshqa markazlashtirilgan boshqaruv vositalaridan foydalanishingiz mumkin bo'lsa-da, barcha kompyuterlarda faqat bitta ro'yxatga olish kitobi parametrini o'zgartirish yoki qo'shish kerak. RootDirURL ip ichida HKLM\Software\Microsoft\System Certificates\AuthRoot\AutoUpdate, bu biz ilgari ildiz sertifikat fayllari to'plamini joylashtirgan tarmoq katalogimizga yo'lni aniqlaydi.

GPO ni o'rnatish haqida gapirganda, vazifani bajarish uchun yana turli xil variantlardan foydalanishingiz mumkin. Masalan, o'zingizning guruh siyosati shablonini yaratishda "eski maktab" varianti mavjud, chunki bu allaqachon tanish bo'lgan maqolada tasvirlangan. maqola . Buning uchun GPO ma'muriy shablon formatida fayl yarating ( A.D.M.), masalan, RootCAUpdateLocalPath.adm nomi va mazmuni bilan:

SINF MOSHINA CATEGORIASI !!Tizim sertifikatlari KEYNAME " Software\Microsoft\SystemCertificates\AuthRoot\AutoUpdate" SIYoSAT !!RootDirURL TUSHUNDIRING !!RootDirURL_yordam QISM !!RootDirURL EDITTEXT VALUENAME "RootDirURL" END QISM TUG'IRISH SIYoSAT TUGARI RootDirURL="Sukut bo'yicha URL manzili yoki birlamchi ctldl.windows o'rniga foydalanish uchun URL manzili ctldl.com HTTP_help URL" RootDirURL "RootDirURL" CTL fayllarini yuklab olish joyi sifatida foydalanish uchun." SystemCertificates="Windows AutoUpdate Settings".

Keling, ushbu faylni %SystemRoot%\inf katalogidagi (odatda C:\Windows\inf katalogi) domen boshqaruvchisiga ko'chiramiz. Shundan so'ng, keling, domen guruhi siyosati muharririga o'tamiz va alohida yangi siyosat yaratamiz, keyin uni tahrirlash uchun ochamiz. Bo'limda Kompyuter konfiguratsiyasi > Maʼmuriy andozalar… kontekst menyusini oching va yangi siyosat shablonini ulash variantini tanlang Shablonlarni qo'shish/o'chirish

Ochilgan oynada avval qo'shilgan faylni tanlash uchun ko'rib chiqish tugmasidan foydalaning %SystemRoot%\inf\RootCAUpdateLocalPath.adm, va shablon ro'yxatda paydo bo'lgandan keyin bosing Yopish.

Bo'limdagi harakatni tugatgandan so'ng Konfiguratsiya > Ma'muriy shablonlar > Klassik ma'muriy shablonlar (A.D.M.) guruh paydo bo'ladi Windows avtomatik yangilash sozlamalari, unda yagona parametr mavjud bo'ladi Standart ctldl.windowsupdate.com o'rniga foydalaniladigan URL manzili

Keling, ushbu parametrni ochamiz va http://server1/papka yoki file://\\server1\papka formatida avval yuklab olingan yangilanish fayllari joylashgan mahalliy resursga yo'lni kiritamiz.
Masalan file://\\FILE-SERVER\SHARE\RootCAupd\GPO-Deployment

Keling, kiritilgan o'zgarishlarni saqlaymiz va yaratilgan siyosatni maqsadli kompyuterlar joylashgan domen konteyneriga qo'llaymiz. Biroq, GPO o'rnatishning ko'rib chiqilgan usuli bir qator kamchiliklarga ega va shuning uchun men uni "eski maktab" deb atadim.

Mijoz registrini o'rnatishning yana bir, zamonaviyroq va ilg'or usuli - foydalanish Guruh siyosati sozlamalari (GPP). Ushbu parametr yordamida biz guruh siyosati bo'limida mos keladigan GPP ob'ektini yaratishimiz mumkin Kompyuter konfiguratsiyasi > Afzalliklar > Registr parametrlarni yangilash bilan ( Harakat: Yangilash) ro'yxatga olish kitobi RootDirURL(qiymat turi REG_SZ)

Agar kerak bo'lsa, biz yaratilgan GPP parametri uchun moslashuvchan nishonlash mexanizmini yoqishimiz mumkin (tab Umumiy>Variant Element darajasidagi maqsadli) guruh siyosatlarini qo'llaganimizdan so'ng biz nimaga erishamiz, dastlabki sinov uchun ma'lum bir kompyuter yoki kompyuterlar guruhida.

Albatta, siz o'zingizni bog'lab, bitta variantni tanlashingiz kerak A.D.M.-shablon yoki foydalanish GPP.

Har qanday eksperimental mijoz kompyuterida guruh siyosatlarini o'rnatganimizdan so'ng, biz buyruq bilan yangilaymiz gpupdate /force keyin qayta ishga tushirish. Tizim yuklangandan so'ng, yaratilgan kalit mavjudligi uchun ro'yxatga olish kitobini tekshiring va ildiz sertifikat do'koni yangilanganligini tekshirishga harakat qiling. Tekshirish uchun biz eslatmada tasvirlangan oddiy, ammo samarali misoldan foydalanamiz.Ishonchli ildizlar va ruxsat etilmagan sertifikatlar .

Misol uchun, kompyuter sertifikatlari do'konida buypass.no nomli saytda o'rnatilgan sertifikat berish uchun foydalanilgan ildiz sertifikati mavjudligini ko'rib chiqaylik (lekin biz hali saytning o'ziga kirmaymiz :)).

Buning eng qulay usuli - asboblar yordamida PowerShell:

Get-ChildItem sertifikati:\localmachine\root | Qayerda ($_ .friendlyname -like " *Buypass* " )

Yuqori ehtimollik darajasi bilan bizda bunday ildiz sertifikati bo'lmaydi. Agar shunday bo'lsa, biz uni ochamiz Internet Explorer va URL manziliga kiring https://buypass.no . Va agar biz avtomatik ravishda ildiz sertifikatlarini yangilash uchun sozlagan mexanizm muvaffaqiyatli ishlasa, u holda Windows voqealar jurnalida Ilova manbaga ega voqea ( Manba) CAPI2, yangi ildiz sertifikati muvaffaqiyatli yuklab olinganligini ko'rsatadi:

Jurnal nomi: Ilova

"Boshqa foydalanuvchilar" - bu nazorat qiluvchi organlarning sertifikatlari ombori;
"Ishonchli ildiz sertifikatlashtirish idoralari" va "oraliq sertifikatlashtirish idoralari" Sertifikatlashtirish markazi sertifikatlarining ombori hisoblanadi.

O'rnatish shaxsiy sertifikatlar faqat Crypto Pro dasturi yordamida amalga oshirilishi mumkin.

Konsolni ishga tushirish uchun siz quyidagilarni bajarishingiz kerak:

1. "Ishga tushirish" menyusi > "Ishga tushirish" ni tanlang (yoki bir vaqtning o'zida klaviaturadagi "Win + R" tugmachalarini bosing).

2. mmc buyrug'ini belgilang va "OK" tugmasini bosing.

3. Fayl > Qo‘shish yoki O‘chirish-ni tanlang.

4. Ro'yxatdan "Sertifikatlar" qo'shimchasini tanlang va "Qo'shish" tugmasini bosing.

5. Ochilgan oynada “Mening hisob foydalanuvchi" va "Finish" tugmasini bosing.

6. O'ng tarafdagi ro'yxatdan qo'shilgan uskunani tanlang va "OK" tugmasini bosing.

Sertifikatlarni o'rnatish

1. Kerakli omborni oching (masalan, Trusted Root Certification Authorities). Buning uchun "Sertifikatlar - joriy foydalanuvchi" > "Ishonchli ildiz sertifikatlashtirish idoralari" > "Sertifikatlar" bo'limini kengaytiring.

2. Harakatlar menyusi > Barcha vazifalar > Import-ni tanlang.

4. Keyin, “Browse” tugmasini bosing va import uchun sertifikat faylini belgilang (Sertifikatlashtirish markazining ildiz sertifikatlarini Sertifikatlashtirish markazi veb-saytidan yuklab olish mumkin, nazorat qiluvchi organlarning sertifikatlari Kontur.Extern tizimining veb-saytida joylashgan) . Sertifikatni tanlagandan so'ng, siz "Ochish" tugmasini, so'ngra "Keyingi" tugmasini bosishingiz kerak.

5. Keyingi oynada siz "Keyingi" tugmasini bosishingiz kerak (kerakli saqlash avtomatik ravishda tanlanadi).

6. Importni yakunlash uchun “Finish” tugmasini bosing.

Sertifikatlarni olib tashlash

mmc konsoli yordamida sertifikatlarni o'chirish uchun (masalan, Boshqa foydalanuvchilar do'konidan), siz quyidagilarni bajarishingiz kerak:

"Sertifikatlar - joriy foydalanuvchi" > "Boshqa foydalanuvchilar" > "Sertifikatlar" bo'limini kengaytiring. Oynaning o'ng tomonida Boshqa foydalanuvchilar do'konida o'rnatilgan barcha sertifikatlar ko'rsatiladi. Kerakli sertifikatni tanlang, ustiga o'ng tugmasini bosing va "O'chirish" -ni tanlang.