Если при попытке установить соединение с Web-кабинетом открывается окно безопасности браузера (рис. 1), необходимо добавить корневой сертификат Московской Биржи moex.cer в список доверенных сертификатов.
Рисунок 1 – окно безопасности браузера
Для этого необходимо:
- ввести в поле поиска Windows имя файла certmgr.msc
(рис. 2). Затем нажать левой кнопкой мыши на найденный файл. В результате откроется системный справочник сертификата (рис. 3);
Рисунок 2 – поиск системного справочника сертификатов Рисунок 3 – системный справочник сертификатов - перейти в раздел Сертификаты
бокового меню (рис. 4). Затем нажать правой кнопкой мыши на папку Сертификаты
и в открывшемся контекстном меню выбрать пункт Все задачи→Импорт
(рис. 5).
Рисунок 4 – доверенные справочники Рисунок 5 – импорт сертификатаВ результате откроется Мастер импорта сертификатов (рис. 6), в котором следует нажать кнопку Далее для перехода к выбору файла сертификата moex.cer (рис. 7);
Рисунок 6 – мастер импорта сертификатов Рисунок 7 – диалоговое окно выбора импортируемого файла - нажать кнопку Обзор (см. рис. 7, 1) и выбрать корневой сертификат Московской Биржи moex.cer. В результате в поле Имя файла отобразится путь к данному файлу (см. рис. 7,2). Затем следует нажать кнопку Далее (см. рис. 7,3);
- нажать кнопку Далее
в диалоговом окне Хранилище сертификатов
, не изменяя параметров по умолчанию (рис. 8), затем – кнопку Готово
для завершения импорта сертификата (рис. 9).
Рисунок 8 – хранилище сертификатов Рисунок 9 – завершение импортирования
По завершении импортирования откроется откроется окно безопасности Windows (рис. 10). Проверьте отпечаток ключа. Его номер должен совпадать номеру, указанному на рисунке (10,1). Если данные совпадают нажмите Да (рис. 10,2).
Рисунок 10 – окно безопасности
Windows
В результате откроется уведомление об успешном импортирование сертификата Московской Биржи moex.cer в список доверенных сертификатов (рис. 11), в котором следует нажать кнопку ОК .
Рисунок 11 – завершение импортирования
Для начала, на что нужно обратить внимание, это на то, что в групповых политиках, применяемых к компьютерам, не должен быть задействован параметр блокирующий работу механизма авто-обновления. Это параметр Turn off Automatic Root Certificates Update в разделе Computer Configuration > Administrative Templates > System > Internet Communication Management > Internet Communication settings . Нам потребуется, чтобы этот параметр был Выключен , либо просто Не настроен .
Если взглянуть на хранилище сертификатов TrustedRootCA в разделе Локальный компьютер , то на системах, не имеющих прямого доступа в Интернет, набор сертификатов будет прямо так скажем небольшой:
Этот файл удобно использовать, например, когда из всего подмножества доступных сертификатов нужно выбрать лишь некоторый набор и выгрузить их в отдельный SST файл для дальнейшей загрузки, например, с помощью консоли управления локальными сертификатами или с помощью консоли управления групповыми политиками (для импорта в какую-либо доменную политику через параметр Computer Configuration > Policies > Windows Settings > Security Settings > Public Key Policies > Trusted Root Certification Authorities ).
Однако для интересующего нас способа распространения корневых сертификатов, с помощью модификации работы механизма авто-обновления на конечных клиентских компьютерах, нам потребуется несколько иное представление множества актуальных корневых сертификатов. Получить его можно с помощью всё той же утилиты Certutil , но уже с другим набором ключей.
В нашем примере в качестве локального источника распространения будет использована общая сетевая папка на файловом сервере. И здесь важно обратить внимание на то, что при подготовке такой папки обязательно нужно ограничивать доступ на запись, чтобы не получилось так, что любой желающий сможет модифицировать набор корневых сертификатов, которые потом будут "разливаться" по множеству компьютеров.
Certutil -syncWithWU -f -f \\FILE-SERVER\SHARE\RootCAupd\GPO-Deployment\Ключи -f -f используются для форсированного обновления всех файлов в каталоге назначения.
В результате выполнения команды в указанной нами сетевой папке появится множество файлов общим объемом примерно в пол мегабайта:
Согласно ранее упомянутой
статьи , назначение файлов следующее:- Файл authrootstl.cab содержит сторонние списки доверия сертификатов;
- Файл disallowedcertstl.cab содержит список доверия сертификатов с недоверенными сертификатами;
- Файл disallowedcert.sst содержит хранилище сериализованных сертификатов, включая недоверенные сертификаты;
- Файлы с именами типа thumbprint.crt содержат сторонние корневые сертификаты.
Итак, файлы необходимые для работы механизма авто-обновления получены, и мы теперь переходим к реализации изменения схемы работы этого самого механизма. Для этого, как всегда, нам на помощь приходят доменные групповые политики Active Directory (GPO ), хотя можно использовать и другие инструменты централизованного управления, весь всё, что нам нужно сделать на всех компьютерах - это изменить, вернее добавить, всего один параметр реестра RootDirURL в ветке HKLM\Software\Microsoft\SystemCertificates\AuthRoot\AutoUpdate , который и определит путь к нашему сетевому каталогу, в котором мы ранее разместили набор файлов корневых сертификатов.
Говоря о настройке GPO, для реализации поставленной задачи, опять же, можно использовать разные варианты. Например, есть "олд-скульный" вариант с созданием собственного шаблона групповой политики, так как это описано в уже знакомой нам
статье . Для этого создадим файл в формате административного шаблона GPO (ADM ), например, с именем RootCAUpdateLocalPath.adm и содержимым: CLASS MACHINE CATEGORY !!SystemCertificates KEYNAME "Software\Microsoft\SystemCertificates\AuthRoot\AutoUpdate " POLICY !!RootDirURL EXPLAIN !!RootDirURL_help PART !!RootDirURL EDITTEXT VALUENAME "RootDirURL " END PART END POLICY END CATEGORY RootDirURL="URL address to be used instead of default ctldl.windowsupdate.com" RootDirURL_help="Enter a FILE or HTTP URL to use as the download location of the CTL files." SystemCertificates="Windows AutoUpdate Settings"Скопируем этот файл на контроллер домена в каталог %SystemRoot%\inf (как правило, это каталог C:\Windows\inf ). После этого перейдём в редактор доменных групповых политик и создадим отдельную новую политику, открыв затем её на редактирование. В разделе Computer Configuration > Administrative Templates… откроем контекстное меню и выберем пункт подключения нового шаблона политик Add/Remove Templates
В открывшееся окне с помощью кнопки обзора выберем ранее добавленный файл %SystemRoot%\inf\RootCAUpdateLocalPath.adm , и после того, как шаблон появится в списке, нажмём Close .
После проделанного действия в разделе Configuration > Administrative Templates > Classic Administrative Templates (ADM ) появится группа Windows AutoUpdate Settings , в которой будет доступен единственный параметр URL address to be used instead of default ctldl.windowsupdate.com
Откроем этот параметр и введём путь к локальному ресурсу, на котором мы расположили загруженные ранее файлы обновления, в формате http://server1/folder
или file://\\server1\folder
,
например file://\\FILE-SERVER\SHARE\RootCAupd\GPO-Deployment
Сохраним проделанные изменения и применим созданную политику к доменному контейнеру, в котором расположены целевые компьютеры. Однако рассмотренный метод настройки GPO имеет ряд недостатков и именно поэтому я назвал его "олд-скульным".
Другой, более современный и более продвинутый метод настройки реестра клиентов - это использование Group Policy Preferences (GPP ). При таком варианте мы можем создать соответствующий объект GPP в разделе групповой политики Computer Configuration > Preferences > Registry с обновлением параметра (Action : Update ) реестра RootDirURL (тип значения REG_SZ )
При необходимости можем для созданного параметра GPP включить гибкий механизм нацеливания (Закладка Common > Опция Item-level targeting ) на конкретный компьютер или группу компьютеров для предварительного тестирования того, что у нас в конечном итоге получиться после применения групповых политик.
Разумеется, нужно выбрать какой-то один вариант, либо с подключением собственного ADM -шаблона, либо с использованием GPP .
После настройки групповых политик на любом подопытном клиентском компьютере выполним обновление командой gpupdate /force c последующей перезагрузкой. После загрузки системы проверим в реестре наличие созданного ключа и попробуем проверить наличие факта обновления хранилища корневых сертификатов. Для проверки воспользуемся простым но действенным примером описанным в заметке
Trusted Roots and Disallowed Certificates .Для примера посмотрим, есть ли в хранилище сертификатов компьютера корневой сертификат, использованный для выпуска сертификата, который установлен на сайте с именем buypass.no (но на сам сайт пока не переходим:)).
Сделать это удобнее всего с помощью средств PowerShell :
Get-ChildItem cert:\ localmachine\root | Where { $_ .friendlyname -like " *Buypass* " }С большой долей вероятности у нас не окажется такого корневого сертификата. Если так, то откроем Internet Explorer и обратимся к URL https://buypass.no . И если настроенный нами механизм автоматического обновления корневых сертификатов работает успешно, то в event-логе Windows Application при это появится событие c источником (Source ) CAPI2 , свидетельствующее об успешной загрузке нового корневого сертификата:
Имя журнала: ApplicationСертификаты, которые используются в работе системы Контур Экстерн, можно добавить или удалить c помощью консоли mmc из следующих хранилищ:
- Другие пользователи (хранилище сертификатов контролирующих органов)
- Доверенные корневые центры сертификации и Промежуточные центры сертификации (хранилища сертификатов Удостоверяющего Центра ).
Установка личных сертификатов производится только с помощью программы Крипто Про.
Для запуска консоли необходимо выполнить следующие действия:
1. Выбрать меню Пуск / Выполнить (или на клавиатуре одновременно нажать клавиши Win+R ).
2. Указать команду mmc и нажать на кнопку ОК .
3. Выбрать меню Файл / Добавить или удалить оснастку (см. рис. 1).
Рис. 1. Окно консоли
4. Выбрать из списка оснастку Сертификаты и кликнуть по кнопке Добавить (см. рис. 2).
Рис. 2. Добавление оснастки
5. В открывшемся окне установить переключатель Моей учетной записи пользователя и нажать на кнопкуГотово (см. рис. 3).
Рис. 3. Оснастка диспетчера сертификатов
6. Выбрать из списка справа добавленную оснастку и нажать на кнопку ОК (см. рис. 4).
Рис. 4. Выбор добавленной оснастки
Установка сертификатов
1. Открыть необходимое хранилище (например, доверенные корневые центры сертификации). Для этого раскрыть ветку Сертификаты — текущий пoльзователь / Доверенные корневые центры сертификации / Сертификаты (см. рис. 5).
Рис. 5. Окно консоли
2. Выбрать меню Действие / Все задачи / Импорт (см. рис. 6).
Рис. 6. Меню «Все задачи / Импорт»
3. В отрывшемся окне нажать на кнопку Далее .
4. Далее следует нажать на кнопку Обзор и указать файл сертификата для импорта (корневые сертификатыУдостоверяющего Центра можно скачать с сайта Удостоверяющего центра , сертификаты контролирующих органов находятся на сайте системы «Контур-Экстерн»). После выбора сертификата необходимо кликнуть по кнопке Открыть (см. рис. 7), а затем по кнопке Далее .
Рис. 7. Выбор сертификата для импорта
5. В следующем окне необходимо нажать на кнопку Далее (нужное хранилище выбрано автоматически). См. рис. 8.
Рис. 8. Выбор хранилища
6. Нажать на кнопку Готово для завершения импорта (см. рис. 9).
Рис. 9. Завершение импорта сертификата
Удаление сертификатов
Чтобы удалить сертификаты с помощью консоли mmc (например, из хранилища Другие пользователи), необходимо проделать следующие действия:
Раскрыть ветку Сертификаты — текущий пoльзователь / Другие пользователи / Сертификаты . В правой части окна отобразятся все сертификаты, установленные в хранилище Другие пользователи . Выделите необходимый сертификат, щелкните по нему правой кнопкой мыши и выберите Удалить (см. рис. 10).
Рис. 10. Окно консоли
Добрый день уважаемые читатели блога сайт, меня уже на протяжении этого месяца, несколько раз спрашивали в электронной почте, где хранятся сертификаты в windows системах, ниже я подробнейшим образом вам расскажу про этот вопрос, рассмотрим структуру хранилища, как находить сертификаты и где вы это можете использовать на практике, особенно это интересно будет для тех людей, кто часто пользуется ЭЦП (электронно цифровой подписью)
Для чего знать где хранятся сертификаты в windows
Давайте я вам приведу основные причины, по которым вы захотите обладать этим знанием:
- Вам необходимо посмотреть или установить корневой сертификат
- Вам необходимо посмотреть или установить личный сертификат
- Любознательность
Ранее я вам рассказывал какие бывают сертификаты и где вы их можете получить и применять, советую ознакомиться с данной статьей, так как информация изложенная в ней является фундаментальной в этой теме.
Во всех операционных системах начиная с Windows Vista и вплоть до Windows 10 Redstone 2 сертификаты хранятся в одном месте, неком таком контейнере, который разбит на две части, один для пользователя, а второй для компьютера.
В большинстве случаев в Windows поменять те или иные настройки вы можете через mmc оснастки , и хранилище сертификатов не исключение. И так нажимаем комбинацию клавиш WIN+R и в открывшемся окне выполнить, пишем mmc.
Вы конечно можете ввести команду certmgr.msc, но таким образом вы сможете открыть только личные сертификаты
Теперь в пустой mmc оснастке, вы нажимаете меню Файл и выбираете Добавить или удалить оснастку (сочетание клавиш CTRL+M)
В окне Добавление и удаление оснасток, в поле Доступные оснастки ищем Сертификаты и жмем кнопку Добавить.
Тут в диспетчере сертификатов, вы можете добавить оснастки для:
- моей учетной записи пользователя
- учетной записи службы
- учетной записи компьютера
Я обычно добавляю для учетной записи пользователя
и компьютера
У компьютера есть еще дополнительные настройки, это либо локальный компьютер либо удаленный (в сети), выбираем текущий и жмем готово.
В итоге у меня получилось вот такая картина.
Сразу сохраним созданную оснастку, чтобы в следующий раз не делать эти шаги. Идем в меню Файл > Сохранить как.
Задаем место сохранения и все.
Как вы видите консоль хранилище сертификатов, я в своем примере вам показываю на Windows 10 Redstone, уверяю вас интерфейс окна везде одинаковый. Как я ранее писал тут две области Сертификаты - текущий пользователь и Сертификаты (локальный компьютер)
Сертификаты - текущий пользователь
Данная область содержит вот такие папки:
- Личное > сюда попадают личные сертификаты (открытые или закрытые ключи), которые вы устанавливаете с различных рутокенов или etoken
- Доверительные корневые центры сертификации > это сертификаты центров сертификации, доверяя им вы автоматически доверяете всем выпущенным ими сертификатам, нужны для автоматической проверки большинства сертификатов в мире. Данный список используется при цепочках построения доверительных отношений между CA, обновляется он в месте с обновлениями Windows .
- Доверительные отношения в предприятии
- Промежуточные центры сертификации
- Объект пользователя Active Directory
- Доверительные издатели
- Сертификаты, к которым нет доверия
- Сторонние корневые центры сертификации
- Доверенные лица
- Поставщики сертификатов проверки подлинности клиентов
- Local NonRemovable Certificates
- Доверительные корневые сертификаты смарт-карты
В папке личное, по умолчанию сертификатов нет, если вы только их не установили. Установка может быть как с токена или путем запроса или импорта сертификата.
- PKCS # 12 (.PFX, .P12)
- Стандарт Cryprograhic Message Syntax - сертификаты PKCS #7 (.p7b)
- Хранилище сериализованных сертификатов (.SST)
На вкладке доверенные центры сертификации, вы увидите внушительный список корневых сертификатов крупнейших издателей, благодаря им ваш браузер доверяет большинству сертификатов на сайтах, так как если вы доверяете корневому, значит и всем кому она выдал.
Двойным щелчком вы можете посмотреть состав сертификата.
Из действий вы их можете только экспортировать, чтобы потом переустановить на другом компьютере.
Экспорт идет в самые распространенные форматы.
Еще интересным будет список сертификатов, которые уже отозвали или они просочились.
Для установки сертификатов необходимо подключить флешку с ЭП, открыть ее и установить сертификаты
1. Установить сертификат головного удостоверяющего центра в доверенные корневые центры, для этого необходимо:
1.1. Двойной щелчок мыши на сертификат головного УЦ – файл «Головной удостоверяющий центр.cer».
1.2. В открывшейся форме необходимо нажать кнопку «Установить сертификат…».
1.3. Выбрать «Поместить все сертификаты в следующее хранилище» (установить пометку перед надписью) и нажать кнопку «Обзор».
1.4. В открывшемся списке необходимо выбрать «Доверенные корневые центры сертификации» и нажать кнопку «ОК».
2. Установить личный сертификат
Установка личного сертификата выполняется при помощи программы КриптоПро CSP
2.1. Необходимо запустить программу КриптоПро CSP (кнопка «Пуск» -> «КриптоПро CSP» или кнопка «Пуск» -> «Все программы» -> КРИПТО-ПРО -> «КриптоПро CSP»).
2.2. В открывшемся окне необходимо выбрать вкладку «Сервис» и нажать кнопку «Установить личный сертификат…».
2.3. В открывшемся окне необходимо нажать кнопку «Обзор», выбрать на флешке сертификат организации – 2-ой файл с расширением «cer» (не файл сертификата УЦ (в примере - «adicom.cer»)) и нажать «Далее».
2.4. В открывшейся форме необходимо нажать «Далее»
2.5. В открывшейся форме необходимо нажать галочку «Найти контейнер автоматически». В результате заполнится «Имя ключевого контейнера» и нажать «Далее»
2.6. В открывшейся форме необходимо нажать «Далее»
2.7. В открывшейся форме необходимо нажать «Готово»
На локальной машине пользователя установлено все необходимое для генерации электронной подписи ПО – можно подписывать печатные формы.
3. Установить в браузере расширение (дополнение) CryptoPro Extension for Cades Browser Plug-in
Для установки браузерного расширения (дополнения) CryptoPro Extension for Cades Browser Plugin откройте магазин раширений в вашем браузере и выполните поиск расширений по слову Cades / Для Yandex.Browser ссылка -
Как правильно отказаться от отцовства?
Как составить доверенность в арбитражный суд от юридического лица?
Когда не нужно вступать в сро и не надо получать допуск к работам Что значит саморегулируемая организация
Какие квр и косгу использовать для госзакупок
Как выплачиваются работнику отпускные?