Igas Windowsiga töötavas organisatsioonis on digitaalsed sertifikaadid, draiveriallkirjad ja krüptograafilised seadmed muutunud tavaliseks. Olenemata sellest, kas haldate vaid mõnda arvutit või tervet domeeni, peate turvalisuse, tugeva autentimise ja installitud tarkvara üle kontrolli tagamiseks mõistma, kuidas see ökosüsteem töötab.
Lisaks maksuhalduri või sotsiaalkindlustuse poolt nõutavatele tüüpilistele sertifikaatidele on töökeskkonnas oluline teada, kuidas hallata kasutajasertifikaate, vastutava töötleja sertifikaate, sisemisi sertifitseerimisasutusi ning tööriistu nagu Adobe, brausereid ja tokeneid . See kõlab keeruliselt, aga kui me selle samm-sammult lahti harutame, näete, et see on üsna hallatav, kui te mõistate kontseptsioone ja järgite teatud parimaid tavasid.
Mis on digitaalne sertifikaat ja miks see Windowsis nii oluline on?
Digitaalne sertifikaat on sisuliselt elektrooniline dokument, mis toimib veebis teie ID-kaardina . Selle väljastab tunnustatud sertifitseerimisasutus (CA). See aitab isikut, ettevõtet või isegi serverit või veebisaiti unikaalselt tuvastada.
See sertifikaat sisaldab omaniku identifitseerimisandmeid (nimi, maksukohustuslase number, organisatsioon jne), mille sertifitseerimisasutus on eelnevalt kontrollinud. Tänu sellele saame seda kasutada dokumentide allkirjastamiseks, enda autentimiseks valitsusasutustele või veebisaidi või vastutava töötleja usaldusväärsuse kontrollimiseks.
Windowsi maailmas võimaldavad need sertifikaadid teil elektrooniliselt allkirjastada dokumente, programme ja draivereid ning luua turvalisi ühendusi . Seetõttu on nii oluline neid õigesti hallata: installida need sinna, kuhu need kuuluvad, uuendada neid enne aegumist, eksportida varukoopiaid, tühistada need probleemide korral ja mitte kustutada neid valimatult.
Sertifikaate on peaaegu kõige jaoks: isiklikuks, äri-, veebisaidi-, kontrolleri-, juur-, kesktaseme, kliendi-, serveri- ja paljude teiste jaoks. Windows salvestab need erinevatesse "poodidesse", millele pääsevad ligi sellised rakendused nagu Edge, Chrome, Adobe Reader, AutoFirma ja haldustööriistad.
Digitaalsete sertifikaatide tüübid, millega kokku puutute
Windowsi ökosüsteemis kohtate erinevat tüüpi sertifikaate, olenevalt nende kasutusest ja omanikust . Need on:
- isiklikud tunnistusedNeed väljastatakse isiku nimele. Me kasutame neid enda identifitseerimiseks veebiprotseduurides, PDF-dokumentide allkirjastamiseks, Hispaania maksuametile (AEAT), Hispaania liiklusametile (DGT), sotsiaalkindlustusametile jne juurdepääsuks.
- Üksuse sertifikaadid. Need on dokumendid, mis on seotud ettevõtte, ühingu või organisatsiooniga. Üksus ise allkirjastab või identifitseerib end, isegi kui dokumenti kasutab volitatud esindaja. Neid kasutatakse ettevõtte maksudeklaratsioonide esitamiseks, äridokumentide allkirjastamiseks või organisatsiooni nimel valitsusasutustega suhtlemiseks.
- Elektroonilised peakorteri sertifikaadidNad identifitseerivad ametliku veebisaidi või portaali avaliku halduse asutuse või üksuse osana, tagades saidi seaduslikkuse ja suhtluse kaitse.
Windowsi sertifikaadisalves näete ka kategooriaid nagu usaldusväärsed juursertifikaadi väljastajad, vahendajad, teised kasutajad, kliendi autentimine ja „eemaldamatud sertifikaadid”. Need on usaldusahela komponendid, mis võimaldavad teil lõplikke sertifikaate valideerida.
Koodiallkirjastamise sertifikaadid ja draiverite allkirjastamine Windowsis
Kui me räägime Windowsi draiveritest ja tarkvarast, tulevad mängu koodiallkirjastamise sertifikaadid . Nende ülesanne on tagada, et programmi või draiveri on välja andnud konkreetne väljaandja ja seda pole pärast allkirjastamist muudetud.
Kerneli režiimi draiverite puhul on Windows eriti range. Alates Windows 7-st (SHA-256 jaoks parandus) ja Windows 8-st ning veelgi enam Windows 10-st peavad draiverid olema allkirjastatud turvaliste algoritmidega (näiteks SHA-256) ja paljudel juhtudel laiendatud valideerimise (EV) koodiallkirjastamise sertifikaatidega.
Windows SDK-sse kuuluv SignTool on tavaliselt draiverite allkirjastamiseks kasutatav tööriist . See võimaldab teil määrata selliseid valikuid nagu sertifikaat, PFX-parool, räsialgoritm, lisasertifikaadid (näiteks Microsofti ristsertifikaat) ja ajatempli server.
SignTooli peamised parameetrid on /f PFX-faili määramiseks, /p parooli jaoks, /fd räsialgoritmi jaoks (nt /fd sha256), /ac ristsertifikaadi lisamiseks, /tr RFC 3161 ajatempli serveri konfigureerimiseks ja /n konkreetse sertifikaadi valimiseks salvest selle üldnime järgi.
Kui draiveri binaarfailid (tavaliselt .sys ja .cat failid) on allkirjastatud, saate allkirja kontrollida käsuga `signtool verify -v -kp` , mis valideerib vastavalt kernel-režiimi draiverite erikriteeriumidele. Lisateabe saamiseks vaadake sigchecki juhendit . Kui kõik on õigesti, installib Windows draiveri, kuvades väljaandja kui "tuntud ja usaldusväärset".
Eeltingimused: riistvaraarendaja programm ja elektriautode sertifikaadid
Kui kavatsete draivereid Microsofti ökosüsteemi kaudu avaldada, peate riistvara partnerikeskuse administraatorina tegelema oma organisatsiooniga seotud koodiallkirjastamissertifikaatide lisamise, värskendamise ja eemaldamisega.
Esimene samm on registreerumine Microsofti riistvaraarendajate programmi . Kui teie ettevõtte kontot veel pole, peate registreerimisprotsessi lõpule viima, järgides samme ja linkides oma organisatsiooni.
Draiverite üleslaadimiseks ja allkirjastamiseks vajate usaldusväärse pakkuja väljastatud koodiallkirjastamise sertifikaati, eelistatavalt EV-sertifikaati . Kui teie ettevõttel on juba kehtiv sertifikaat, saate seda uuesti kasutada. Vastasel juhul peate selle hankima tunnustatud sertifitseerimisasutuselt (CA). CA kontrollib teie ettevõtte identiteeti (dokumendid, kontaktandmed, telefoninumber jne) ja pärast kinnitamist annab juhised sertifikaadi allalaadimiseks.
Tänapäevastes keskkondades on oluline töötada SHA-2 (SHA-256) põhiste sertifikaatide ja ajatemplitega . SHA-1 tugi kaotatakse praktikas järk-järgult uuemate rakenduste, näiteks koodiallkirjastamise sertifikaatide ja ajatempliserverite puhul.
Kuidas lisada, uuendada või tühistada koodiallkirjastamise sertifikaate partnerikeskuses
Kui EV- või standardsertifikaat on juba väljastatud, tuleb see järgmine samm lisada partnerikeskuse riistvarapaneelile , et Microsoft selle draiverite allkirjastamisel ja valideerimisel ära tunneks. Siin on sammud:
- Logi portaali sisse riistvarakonto administraatori volitusedSealt avage paremas ülanurgas hammasrattaikoon ja sisestage konto seaded või arendaja seaded.
- Klõpsake valikul „Halda sertifikaate” (külgmenüüs).
- Valige „Lisa uus sertifikaat” ja jätka viisardigaPortaal võimaldab teil alla laadida binaarfaili (tavaliselt Signablefile.bin), mille peate oma koodiallkirjastamissertifikaadiga SignTooli abil lokaalselt allkirjastama. SHA-256 algoritm koos kehtiva SHA-2 ajatempliga.
- Lõpuks Laadige sertifikaat tagasi partnerikeskusesseMicrosoft kontrollib, kas allkiri vastab teie organisatsioonile väljastatud sertifikaadile, ja kui kõik on õige, lisab selle sertifikaadi teie konto aktsepteeritud koodiallkirjastamise sertifikaatide loendisse.
Kuidas vaadata ja hallata Windowsi installitud sertifikaate
Kõik installitud sertifikaadid, nii isiklikud kui ka süsteemisertifikaadid, salvestatakse Windowsi sertifikaadihaldurisse . Sealt kontrollivad rakendused, millised sertifikaadid on autentimiseks, allkirjastamiseks või krüptimiseks saadaval.
Süsteemi ja paljude teenuste poolt kasutatavate arvuti (masina tasemel) sertifikaatide ülevaatamiseks saate otsinguribalt või dialoogiboksist Käivita (Win + R) kasutada käsku certlm.msc . See avab kohaliku arvuti sertifikaatide konsooli, kus on erinevad kaustad otstarbe järgi liigitatud.
Oma isiklike kasutajasertifikaatide vaatamiseks kasutage tööriista certmgr.msc . Siit leiate sertifikaadid, mis on lingitud ainult teie Windowsi profiiliga: need, mida kasutate administratiivsete ülesannete jaoks, töösertifikaadid, teatud rakenduste või brauserite installitud sertifikaadid jne.
Kogenumad kasutajad saavad sertifikaatide olemasolu kontrollida ka Windowsi registrist . Näiteks praeguse kasutaja sertifikaadid on salvestatud sellistesse teedesse nagu HKEY_CURRENT_USER/Software/Microsoft/SystemCertificates/CA/Certificates, samas kui rühmapoliitika objektidega (GPO) seotud sertifikaadid asuvad harudes kaustas HKCU/Software/Policies/Microsoft/SystemCertificates.
Paljudel juhtudel pole registris vaja midagi muuta, kuid sellest on kasulik teada, kui peate diagnoosima probleeme sertifikaatide laadimise, duplikaatide või domeeni poolt rakendatud poliitikatega.
Sertifikaatide eksportimine, varundamine ja kustutamine Windowsis
Kui töötate sageli sertifikaatidega, on oluline omada varustrateegiat . Sertifikaadi kaotamine ilma varukoopiata võib tähendada, et peate kogu taotlemise ja isikliku akrediteerimisprotsessi kordama.
Windows võimaldab teil sertifikaate eksportida sertifikaadihaldurist . Leidke sertifikaat selle kaustast, paremklõpsake sellel, minge jaotisse „Kõik ülesanded” ja valige „Ekspordi”. Avaneb viisard, mis küsib, kas soovite lisada privaatvõtme ja millist ekspordivormingut eelistate.
Isikliku sertifikaadi teise arvutisse teisaldamiseks või USB-mäluseadmele salvestamiseks on tavaliselt vaja luua parooliga kaitstud PFX/P12-fail . Nii saate sertifikaadi koos sellega seotud privaatvõtmega installida, topeltklõpsates failil teises arvutis ja sisestades parooli.
Kustutamise osas tuleb olla eriti ettevaatlik. Samas sertifikaadihalduris sertifikaadi valimine ja kustutamisvaliku tegemine eemaldab selle sertifikaadisalvestusest, muutes selle Windowsi ja kõigi rakenduste jaoks kättesaamatuks . Vea korral võite autentimise rikkuda, programmide kasutamist takistada või isegi süsteemi stabiilsust mõjutada.
Seetõttu on soovitatav süsteemisertifikaate mitte suvaliselt kustutada ja alati eelnevalt varukoopia teha , eriti kui te pole iga sertifikaadi otstarbes kindel. Sama kehtib ka kehtivate kasutajasertifikaatide kohta, mida teil hiljem vaja võib minna.
Kiipkaardid, krüptograafilised märgid ja Bit4id PKI haldur
Paljudes ettevõtetes ja avalikes organisatsioonides ei salvestata sertifikaate arvuti kõvakettale, vaid kiipkaartidele või krüptograafilistele USB-tokenitele . See lisab täiendava turvakihi, kuna privaatvõti ei lahku kunagi füüsilisest seadmest.
Üks levinud tööriist nende seadmete haldamiseks on Bit4id PKI Manager , mis suhtleb tokenite ja kaartidega lukust avamiseks, PIN-/PUK-koodi muutmiseks, sertifikaatide importimiseks, avalike võtmete eksportimiseks ja paljuks muuks. Vaikimisi töötab see kasutajarežiimis, kuid täpsemaid valikuid saab lubada kiirklahvikombinatsiooniga Ctrl + A.
Seadme paneelilt saate vaadata teavet lugeja, kaardi, PIN- ja PUK-koodi oleku ning salvestatud kasutaja- ja CA-sertifikaatide loendi kohta . Kui PIN-kood on lukus või te seda ei mäleta, saate kasutada PUK-koodi avamise funktsiooni, kui te pole saavutanud maksimaalset katsete arvu.
Lisaks võimaldab PKI haldur teil muuta PIN-koodi, kui kahtlustate, et keegi teine seda teab , muuta PUK-koodi, seadmesse sisse ja välja logida, sisu värskendada uute sertifikaatide kuvamiseks ning seadet paremaks tuvastamiseks ümber nimetada.
Sertifikaatide importimine kaardile toimub tavaliselt .p12- või .pfx-failide abil, mis sisaldavad privaatvõtit. Peate määrama seadme PIN-koodi, PFX-faili parooli ja valikuliselt CKA_ID identifikaatori, mis on kasulik teatud PKCS#11 rakenduste jaoks.
Eksportimiseks ekstraheeritakse ainult avalik võti .cer-vormingus , mitte kunagi privaatvõtit . See on kasulik sertifikaadi jagamiseks kolmandate osapooltega või avaliku võtme installimiseks, kui see on vajalik allkirjade või autentimiste kontrollimiseks. ( Vt tundmatute USB-draivide ühendamise riskid ).
Täiustatud konfiguratsiooni ja sertifikaatide üleslaadimise kontrollid
Bit4id PKI halduri tööriistaribal leiate ka otsetee Windowsi sertifikaatide salvestusse , kust näete, kuidas kaardi sertifikaadid kopeeritakse kasutaja kausta „Isiklik”, kui see integratsioon on lubatud.
Vahevara konfiguratsioonipaneel võimaldab teil reguleerida parameetreid, nagu CA-sertifikaatide automaatne importimine P12/PFX-ist, logide genereerimine, vahemälu tühjendamine ja integreerimine Microsofti CryptoAPI/CSP-ga . See viimane valik on oluline, kui soovite, et Windowsi rakendused (sh Edge või Chrome) näeksid tokenisertifikaate otse.
Kui teil on probleeme, on hea mõte teha mitu kontrolli :
- Veenduge, et sertifikaadid kuvatakse failis certmgr.msc (kasutaja).
- Veenduge, et need oleksid Firefoxis (selle sisemises salvestusruumis) laaditud või et Edge või Chrome näeksid neid oma sertifikaatide jaotisest.
- Veenduge, et Adobe Reader tuvastab Windowsi digitaalsed ID-d.
Näiteks Adobe'is saate loetleda "Windowsi digitaalsed ID-d" , et kinnitada kaardi sertifikaadi õiget kuvamist. Kui seda ei kuvata, võib probleem olla vahetarkvaras, lugejas, PIN-koodis või mõnes süsteemiintegratsiooni seadistuses.
Abiprogrammid ja kutsetunnistuste haldurid
Sertifikaadid üksi imesid ei tee. Nendest maksimumi võtmiseks vajate rakendusi, mis kasutavad neid autentimiseks, dokumentide allkirjastamiseks, krüpteerimiseks või avalike teenustega ühenduse loomiseks . Hispaanias on mitu programmi, mis on praktiliselt kohustuslikud.
Ühelt poolt on olemas FNMT-RCM Configurator , mis lihtsustab võtmete genereerimist ja FNMT-sertifikaatide hankimist. Samuti on tuntud rahandusministeeriumi välja töötatud AutoFirma , mis integreerub valitsuse brauserite ja veebisaitidega vormide ja dokumentide elektrooniliseks allkirjastamiseks.
Paljud neist rakendustest tuginevad Java Runtime Environmentile (JRE) . Mitte ükskõik milline versioon ei sobi: mõnikord soovitatakse konkreetseid vahemikke (näiteks versioonist 8 Update 45 kuni teatud hilisemate versioonideni). Alati on hea mõte kontrollida iga portaali nõudeid.
Samuti on olemas utiliidid nagu CERES Certificate Management, PKCS#11 krüptograafilised moodulid ja spetsiaalsed draiverid krüptograafiliste kaartidega töötamiseks, mis lisavad ühilduvust Firefoxi ja teiste keskkondadega või hõlbustavad PIN-koodi muutmist, sertifikaatide avamist ja vaatamist.
Professionaalsetes keskkondades, kus hallatakse kümneid või sadu sertifikaate (konsultatsioonifirmad, haldusfirmad, advokaadibürood jne), kasutatakse spetsiaalset tarkvara, näiteks DigiCert Certificate Utility for Windows või ADMCert . Need programmid võimaldavad sertifikaatide inventuuri, kasutuspoliitika rakendamist, kontrolli selle üle, kes neid kasutab, kust ja mis eesmärgil ning konfiguratsiooniprobleemide või eelseisvate aegumiste tuvastamist.
Selliste tööriistade abil saate konfigureerida reegleid kasutajate või Active Directory rühmade, ajakavade, allika IP-aadresside või sertifikaati kutsuvate rakenduste põhjal. See on oluline korra ja turvalisuse säilitamiseks ajal, mil sertifikaadid ei ole enam mõeldud ainult isoleeritud kasutajatele.
Active Directory sertifikaaditeenused ja sisemine sertifitseerimisasutus
Ettevõtte Windowsi keskkondades on väga tavaline juurutada sisemine sertifitseerimisasutus, kasutades Active Directory sertifikaaditeenuseid (AD CS) . See võimaldab teil väljastada sertifikaate kasutajatele, arvutitele, serveritele, VPN-idele, ettevõtte WiFi-le, sisemisele koodiallkirjastamisele jne, ilma et peaksite alati lootma välisele sertifitseerimisasutusele.
Installimine toimub serverihaldurist, lisades Active Directory sertifikaaditeenuste rolli . Viisard palub teil valida serveri, märkida sertifitseerimisasutuse rolli ja valikuliselt ka sertifitseerimisasutuse veebiregistreerimise rolli, mis nõuab ka selliste funktsioonide nagu IIS lisamist.
Pärast rolli installimist peate käivitama AD CS-i konfiguratsiooniviisardi. Seal saate valida konfigureeritavad rollid (CA ja CA veebiregistreerimine), CA tüübi (tavaliselt ettevõte) ja üksuse tüübi (sageli juur-CA, kui see on esimene) . Peate otsustama, kas luua uus privaatvõti, krüptograafilise algoritmi (soovitatav on SHA-256) ja võtme suuruse, samuti juursertifikaadi CA nime ja kehtivusaja.
Konfiguratsioon sisaldab ka teid, kuhu sertifikaatide andmebaas ja logid salvestatakse . Soovitatav on neid teid hästi dokumenteerida, kuna neid on vaja tulevaste varundamise, taastamise ja migreerimise jaoks.
Kui sertifitseerimisasutus on konfigureeritud, saate väljastada sertifikaadimalle, automatiseerida registreerimist rühmapoliitika objekti kaudu , avaldada arvuti- ja kasutajasertifikaate Active Directorys ning luua oma domeenidega integreeritud sisemiste sertifikaatide täieliku ökosüsteemi.
Selle ülevaate põhjal nõuab sertifikaatide ja draiveriallkirjade haldamine Windowsis põhitõdede selget mõistmist. Oluline on alati rakendada parimaid tavasid: mitte kunagi jagada võtmeid, luua varukoopiaid, jälgida aegumiskuupäevi, tühistada sertifikaadid, kui kahtlustate, et midagi on valesti, ja vältida millegi kustutamist teadmata, mis see on . Selle aluse abil lakkab selles valdkonnas navigeerimine olemast peavalu ja sellest saab lihtsalt igapäevane süsteemihaldus.
