не удается проверить что сертификат принадлежит microsoft root

Решение, если у вас с 30.09.2021 не открываются сайты https

30 сентября 2021 истек срок действия сертификата DST Root CA X3 Let’s Encrypt. Браузеры Google Chrome, Opera и Edge теперь не могут открыть большинство сайтов https. Лишь Mozilla Firefox работает нормально.

Если у вас установлена не Windows, а иная операционная система, попробуйте обратиться за решением к следующей теме на официальном форуме Let’s Encrypt – https://community.letsencrypt.org/t/help-thread-for-dst-root-ca-x3-expiration-september-2021/149190/3

А для Windows простейшим решением будет загрузить сертификат ISRG Root X1 с официального сайта Let’s Encrypt и вручную импортировать его в хранилище доверенных корневых центров сертификации. Для этого:

1. Загрузите версию “Self-signed DER” сертификата ISRG Root X1 со страницы https://letsencrypt.org/certificates/

2. Откройте скачанный вами файл isrgrootx1.der

3. Импортируйте его в хранилище доверенных корневых центров сертификации следующим образом.

Нажмите “Установить сертификат”:

Выберите “Поместить все сертификаты в следующее хранилище”.
Нажмите “Обзор”.
Выберите “Доверенные корневые центры сертификации”:

Если появится сообщение с вопросом, ответьте “Да”.

Сегодня читают:

Полезные эко-советы:

Источник

Проверка хранилища сертификатов Windows на наличие недоверенных корневых сертификатов

Пользователям Windows все более тщательное внимание стоит уделать установленным на компьютере сертификатам. Недавние скандалы с сертификатами Lenovo Superfish, Dell eDellRoot и Comodo PrivDog лишний раз свидетельствуют о том, что пользователю нужно быть внимательным не только при установке новых приложений, но и четко понимать, какое ПО и сертификаты предустановлены в системе производителем оборудования. Через установку поддельных или специально сгенерированных сертификатов злоумышленники могут осуществить атаки MiTM (man-in-the-middle), перехватывать трафик (в том числе HTTPS), разрешать запуск вредоносного ПО и скриптов и т.п.

Как правило такие сертификаты устанавливаются в хранилище доверенных корневых сертификатов Windows (Trusted Root Certification Authorities). Разберемся, каким образом можно проверить хранилище сертификатов Windows на наличие сторонних сертификатов.

В общем случае в хранилище сертификатов Trusted Root Certification Authorities должны присутствовать только доверенные сертификаты, проверенные и опубликованные Microsoft в рамках программы Microsoft Trusted Root Certificate Program. Для проверки хранилища сертификатов на наличия сторонних сертификатом можно воспользоваться утилитой Sigcheck (из набора утилит Sysinternals).

Таким образом, проверку хранилища сертификатов с помощью утилиты SigCheck стоит обязательно выполнять на любых системах, особенно на OEM компьютерах с предустановленной ОС и различных сборках Windows, распространяемых через популярные торрент-трекеры.

Источник

Корневой сертификат Microsoft истекает в этом месяце, но компания просит его не удалять

По информации Bleeping Computer, в конце этого месяца закончится срок действия корневого сертификата некоторых версий Windows, включая XP/2000/Server 2003/Windows 7/Vista/Server 2008/Server 2008 R2. Microsoft просит системных администраторов не удалять корневые сертификаты Windows с истекшими сроками действия. Они необходимы для корректной работы ОС, а их отсутствие может вызвать сбой системы.

Эта просьба компании также относится к корневому сертификату Microsoft Root Authority, который закончится 31 декабря 2020 года.

Проверить срок действия корневых сертификатов в Windows можно в хранилище сертификатов (панель управления, вкладка «Содержимое», кнопка «Сертификаты). В Windows 7/10 это можно также сделать с помощью утилиты Certmgr.exe (средство диспетчера сертификатов) или Certmgr.msc.

У всех корневых сертификатов есть срок действия, по истечению которого они и все полученные на их основе сертификаты становятся недействительными. Но обычно это не проблема, так как производители ПО и устройств своевременно выпускают обновление, заменяющее истекший корневой сертификат на новый с другим сроком действия. Если это не произойдет, то пользовательские устройства, например, больше не смогут устанавливать безопасные интернет-соединения, поскольку защита, обеспечиваемая корневым сертификатом, была нарушена.

Microsoft не пояснила, когда будет выпущен новый корневой сертификат взамен текущего. Компания предупредила, что в любом случае сертификаты с истекшим сроком действия все еще используются Windows для обратной совместимости и никогда не должны удаляться из системы. Даже если в системе есть доверенный корневой сертификат с истекшим сроком действия, то все, что было подписано с использованием этого сертификата до даты истечения срока действия, требует, чтобы этот доверенный корневой сертификат был подтвержден в системе.

Microsoft уточнила, что если сертификаты с истекшим сроком действия не отозваны, то их можно использовать для проверки всего, что было подписано ими до истечения срока их действия.

14 января 2020 года закончился период расширенной поддержки операционной системы Windows 7. Компьютеры под ее управлением продолжат работать, но производитель ОС не гарантирует их безопасность и советует перейти на Windows 10. Microsoft будет до 10 января 2023 года платно поддерживать Windows 7 для участников программы расширенных обновлений безопасности (Extended Security Updates program — ESU).

Источник

Допустимые корневые сертификаты ЦС, распределенные с помощью GPO, могут периодически отображаться как ненадеживые

В этой статье содержится обходное решение проблемы, в которой допустимые корневые сертификаты ЦС, распространяемых с помощью GPO, отображаются как ненадеживые.

Применяется к: Windows 10 — все выпуски, Windows Server 2012 R2
Исходный номер КБ: 4560600

Симптомы

Неоправдавшиеся проблемы с сертификатами корневого сертификата (CA) могут быть вызваны многочисленными проблемами конфигурации PKI. Эта статья иллюстрирует только одну из возможных причин неоправданого корневого сертификата ЦС.

В различных приложениях с сертификатами и инфраструктурой ключей общего пользования (PKI) могут возникнуть периодические проблемы, такие как ошибки подключения, один или два раза в день/неделю. Эти проблемы возникают из-за неудачной проверки сертификата конечной сущности. Затронутые приложения могут возвращать различные ошибки подключения, но все они будут иметь распространенные ошибки корневого сертификата. Ниже приведен пример такой ошибки:

Любое приложение с поддержкой PKI, использующее архитектуру системы CryptoAPI, может быть затронуто с периодическими потерями подключения или сбоем в зависимой функциональности PKI/Certificate. По данным на апрель 2020 г., список приложений, затронутых этой проблемой, включает, но не ограничивается:

Администраторы могут выявлять и устранять проблемы с корневым сертификатом ЦС, проверяя журнал CAPI2.

Сосредоточься на устранении неполадок в журнале CAPI2, содержащего следующие подписи. Например:

Цепочка сборки по ошибке CAPI2 11
Политика проверки цепочки ошибок CAPI2 30

В результате цепочка сертификатов обрабатывается, но завершается корневым сертификатом, которому поставщик доверия не доверяет.
[значение] 800b0109

Причина

Проблемы с корневым сертификатом ЦС могут возникнуть, если корневой сертификат ЦС распространяется с помощью следующей групповой политики (GP):

Конфигурация компьютера > Windows Параметры > Безопасность Параметры > Политики общедоступных ключей > Доверенные корневые органы сертификации

Сведения о причинах корней

При распространении корневого сертификата ЦС с помощью GPO содержимое будет удалено HKLM\SOFTWARE\Policies\Microsoft\SystemCertificates\Root\Certificates и снова записано. Это удаление происходит по проекту, так как GP применяет изменения реестра.

Изменения в области реестра Windows, зарезервированных для корневых сертификатов ЦС, будут уведомлять компонент API Crypto клиентского приложения. И приложение начнет синхронизироваться с изменениями реестра. Синхронизация — это то, как приложения хранятся в курсе и знают самый текущий список действительных корневых сертификатов ЦС.

В некоторых сценариях обработка групповой политики займет больше времени. Например, многие корневые сертификаты ЦС распространяются через GPO (аналогичные многим брандмауэрам Applocker или политикам). В этих сценариях приложение может не получить полный список доверенных корневых сертификатов ЦС.

По этой причине сертификаты конечных сущности, которые цепят к отсутствующих корневым сертификатам ЦС, будут отрисованы как ненарушимые. И начнут возникать различные проблемы, связанные с сертификатами. Эта проблема является временной и может быть временно решена путем повторной обработки GPO или перезагрузки.

Если корневой сертификат ЦС публикуется с использованием альтернативных методов, проблем может не возникнуть из-за вышеучданной ситуации.

Обходной путь

Корпорация Майкрософт знает об этой проблеме и работает над улучшением работы сертификата и API crypto в будущей версии Windows.

Чтобы решить эту проблему, избегайте распространения корневого сертификата ЦС с помощью GPO. Он может включать ориентацию расположения реестра (например) для доставки HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\SystemCertificates\Root\Certificates корневого сертификата ЦС клиенту.

При хранении корневого сертификата ЦС в другом, физическом, корневом хранилище сертификатов ЦС проблема должна быть устранена.

Примеры альтернативных методов публикации корневых сертификатов ЦС

Метод 1: Используйте средство командной строки и корневой сертификат CA, хранимый certutil в файле rootca.cer:

Эта команда может выполняться только локальными администраторами, и она будет влиять только на одну машину.

Метод 2: Запустите certlm.msc (консоль управления сертификатами для локальной машины) и импортировать корневой сертификат ЦС в физическом хранилище реестра.

Консоль certlm.msc может быть запущена только местными администраторами. Кроме того, импорт коснется только одной машины.

Метод 3: Используйте параметры GPO для публикации корневого сертификата ЦС, как описано в настройках групповой политики

Чтобы опубликовать корневой сертификат ЦС, выполните следующие действия:

Откройте GPMC.msc на машине, импортируемой корневым сертификатом.

Изменение GPO, которое вы хотите использовать для развертывания параметров реестра следующим образом:

Развертывание нового GPO на машинах, где должен быть опубликован корневой сертификат.

Любой другой метод, средство или решение по управлению клиентами, которое распространяет корневые сертификаты ЦС, записав их в HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SystemCertificates\ROOT\Certificates расположение, будет работать.

Источник

Как проверить хранилище сертификатов Windows на предмет недоверенных корневых сертификатов

К слову, подобные случаи не так уже и редки, можно привести массу и других примеров, в которых инсталлируемое программное обеспечение, с виду совершенно безопасное, устанавливало или подменяло корневые сертификаты. Все это еще раз говорит о том, что при установке новых приложений не помешало бы проявлять осторожность, также важно понимать какие программы и сертификаты предустановлены в системе самим производителем компьютерной техники.

Если утилита запросит подтверждение, нажмите в открывшемся окошке «Agree».

После этого Sigcheck должна загрузить с сайта Microsoft файл authrootstl.cab со списком доверенных сертификатов и поместить его в папку со своим исполняемым файлом. Если этого не произойдет, скачайте файл самостоятельно по ссылке yadi.sk/d/5c6Mp2Xy3GTFLG и забросьте его в каталог с утилитой Sigcheck, а приведенную выше команду выполните еще раз.

Впрочем, это еще не означает, что сторонние сертификаты нужно немедленно удалять.

Если сертификат не вызывает у вас доверия, равно как и установленная некогда программа, можете удалить его.

Для этого откройте командой MMC консоль оснастки, в меню «Файл» выберите команду «Добавить или удалить оснастку».

В левой колонке открывшегося окошка выделите мышкой «Сертификаты», нажмите кнопку «Добавить», затем «OK».

После того как в окне появится список сертификатов, разверните в левой колонке каталог «Доверенные корневые центры сертификации» и удалите найденные в Sigcheck сертификаты.

Источник