Megbízható gyökértanúsítványok listájának frissítése a Windows rendszerben

Minden Windows-verzió rendelkezik beépített funkcióval a gyökértanúsítványok automatikus frissítéséhez a Microsoft webhelyeiről. Az MSFT a Microsoft Trusted Root Certificate Program részeként karbantartja és közzéteszi az ügyfelek és a Windows-eszközök megbízható tanúsítványainak listáját online tárhelyén. Ha a hitelesítési láncban lévő ellenőrzött tanúsítvány a programban részt vevő gyökér CA-ra vonatkozik, a rendszer automatikusan letölti ezt a gyökértanúsítványt a Windows Update kiszolgálókról, és hozzáadja a megbízható kiszolgálókhoz.

Ebben a cikkben megpróbáljuk kideríteni, hogyan lehet manuálisan frissíteni a gyökértanúsítványok listáját a TrustedRootCA-ban leválasztott (izolált) hálózatokban vagy közvetlen internet-hozzáférés nélküli számítógépeken/kiszolgálókon.

Megbízható gyökértanúsítványok kezelése Windows 10 és 11 rendszerben

Hogyan tekintheti meg a megbízható gyökértanúsítványok listáját Windows számítógépen?

1. Windows 11/10/8.1/7 vagy Windows Server 2022/2019/2016 rendszert futtató számítógép gyökértanúsítványtárolójának megnyitásához futtassa az mmc.exe konzolt;

2. Válassza a Fájl -> Beépülő modul hozzáadása/eltávolítása lehetőséget, majd válassza a Tanúsítványok (certmgr) lehetőséget a beépülő modulok listájában -> Hozzáadás ;

3. Válassza ki, hogy kezelni szeretné a helyi Számítógépes fiók tanúsítványait;

   

4. Következő -> OK -> OK;

5. Bontsa ki a Tanúsítványok csomópontot -> Megbízható gyökértanúsítvány hatósági áruházat. Ez a szakasz a számítógépén található megbízható gyökértanúsítványok listáját tartalmazza.

Az mmc konzolon megtekintheti bármely tanúsítvány adatait, vagy eltávolíthatja azokat a megbízhatóak közül.

A PowerShell segítségével a megbízható gyökértanúsítványok listáját is lekérheti lejárati dátumukkal:

Get-Childitem cert:\LocalMachine\root |format-list

Felsorolhatja a lejárt, illetve a következő 60 napon belül lejáró tanúsítványokat:

Get-ChildItem cert:\LocalMachine\root|Where {$_.NotAfter -lt  (Get-Date).AddDays(60)}|select NotAfter, Subject

A gyökértanúsítvány-fájlt manuálisan is átviheti Windows számítógépek között az Exportálás/Importálás opciók használatával.

1. Bármely tanúsítványt exportálhat .CER fájlba, ha rákattint, és kiválasztja az Összes feladat -> Exportálás menüpontot;

   

2. Ezt a tanúsítványt egy másik számítógépre importálhatja az Összes feladat -> Importálás opcióval.

   

Hogyan lehet letiltani/engedélyezni az automatikus gyökértanúsítvány-frissítést a Windows rendszerben?

Mint említettük, a Windows automatikusan frissíti a gyökértanúsítványokat. A Windows rendszerben engedélyezheti vagy letilthatja a tanúsítvány megújítását egy csoportházirend-objektum vagy a rendszerleíró adatbázison keresztül.

Nyissa meg a Helyi csoportházirend-szerkesztőt (gpedit.msc), és lépjen a Számítógép konfigurációja -> Felügyeleti sablonok -> Rendszer -> Internetes kommunikáció kezelése -> Internetes kommunikáció elemre.

Az ebben a szakaszban található A gyökértanúsítványok automatikus frissítésének kikapcsolása lehetőség lehetővé teszi a gyökértanúsítványok automatikus frissítésének letiltását a Windows Update webhelyeken keresztül. Alapértelmezés szerint ez a házirend nincs konfigurálva, és a Windows mindig megpróbálja automatikusan megújítani a gyökértanúsítványokat.

Ha ez a csoportházirend-objektum-beállítás nincs konfigurálva, és a gyökértanúsítványok nem újulnak meg automatikusan, ellenőrizze, hogy ez a beállítás manuálisan engedélyezve van-e a beállításjegyzékben. Ellenőrizze a beállításjegyzék paraméter értékét a PowerShell segítségével:

Get-ItemProperty -Path 'HKLM:\Software\Policies\Microsoft\SystemCertificates\AuthRoot' -Name DisableRootAutoUpdate

Ha a parancs azt adja vissza, hogy a DisableRootAutoUpdate regisztrációs paraméter értéke 1, akkor a gyökértanúsítványok frissítése le van tiltva a számítógépen. Az engedélyezéséhez módosítsa a paraméter értékét 0-ra.

Tanúsítvány: Töltse le a megbízható gyökértanúsítványokat a Windows Update webhelyről

A Certutil.exe CLI eszköz használható a tanúsítványok kezelésére (a Windows 10 rendszerben bevezetve, a Windows 7 rendszerhez külön frissítésként érhető el). Használható a gyökértanúsítványok naprakész listájának letöltésére a Windows Update webhelyről, és elmenthető SST-fájlba.

Ha Windows 10 vagy 11 rendszert futtató és közvetlen internet-hozzáféréssel rendelkező számítógépen szeretne SST-fájlt létrehozni, nyissa meg a megemelt parancssort, és futtassa a parancsot:

certutil.exe -generateSSTFromWU C:\PS\roots.sst

Updated SST file.
CertUtil: -generateSSTFromWU command completed successfully.

Ennek eredményeként egy SST-fájl jelenik meg a célkönyvtárban, amely a gyökértanúsítványok naprakész listáját tartalmazza. Kattintson duplán a megnyitásához. Ez a fájl megbízható gyökértanúsítványokat tartalmazó tároló.

Amint látja, megnyílik egy ismerős Tanúsítványkezelés beépülő modul, ahonnan exportálhatja bármelyik tanúsítványát. Az én esetemben 358 tétel szerepelt a tanúsítványok listáján. Nyilvánvalóan nem ésszerű a tanúsítványokat egyenként exportálni és telepíteni.

certutil -syncWithWU

A PowerShell-szkript segítségével telepítheti az összes tanúsítványt az SST-fájlból, és hozzáadhatja őket a számítógépen található megbízható gyökértanúsítványok listájához:

$sstStore = ( Get-ChildItem -Path C:\ps\rootsupd\roots.sst )
$sstStore | Import-Certificate -CertStoreLocation Cert:\LocalMachine\Root

Futtassa a certmgr.msc beépülő modult, és győződjön meg arról, hogy minden tanúsítványt hozzáadott a Trusted Root Certification Authority-hez. A Windows 11-es példámban a gyökértanúsítványok száma 34-ről 438-ra nőtt.

Certificate Trust List (STL) a Windows rendszerben

A Tanúsítványok megbízhatósági listája (CTL) egyszerűen egy megbízható fél (ebben az esetben a Microsoft) által aláírt adatok (például tanúsítványkivonatok) listája. A Windows-ügyfél rendszeresen letölti a Windows Update webhelyről ezt a CTL-t, amely tárolja az összes megbízható gyökér CA kivonatát. Meg kell érteni, hogy ez a CTL nem tartalmazza magukat a tanúsítványokat, csak azok kivonatait és attribútumait (például Barátságos név). A Windows-eszközök igény szerint letölthetnek egy megbízható tanúsítványt a tanúsítványok megbízhatósági listájáról.

Manuálisan letöltheti és telepítheti a CTL fájlt. Ehhez töltse le a http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab fájlt (havonta kétszer frissítik). Bármely archiváló (vagy akár Windows Intéző) segítségével csomagolja ki az authrootstl.cab archívum tartalmát. Egyetlen authroot.stl fájlt tartalmaz.

Az Authroot.stl fájl a megbízható tanúsítványok ujjlenyomatainak listáját tartalmazó tároló tanúsítvány-megbízhatósági lista formátumban.

Telepítheti ezt a CTL-fájlt egy megbízható legfelső szintű tanúsító hatósághoz a certutil paranccsal:

certutil -enterprise -f -v -AddStore "Root" "C:\PS\authroot.stl"

root "Trusted Root Certification Authorities"
CTL 0 added to store.
CertUtil: -addstore command completed successfully.

A tanúsítványokat a tanúsítványkezelési konzol segítségével is importálhatja (Trust Root Canture Authorities -> Tanúsítványok -> Minden feladat -> Importálás). Adja meg az STL-fájl elérési útját a tanúsítvány ujjlenyomataival.

A parancs futtatása után a Tanúsítványkezelő konzol Megbízható legfelső szintű hitelesítésszolgáltatói tárolójában megjelenik egy új Tanúsítványi megbízhatósági lista rész (

certmgr.msc

).

Ugyanígy letöltheti és telepítheti a Root Certificate Programból eltávolított visszavont (nem engedélyezett) tanúsítványok listáját. Ehhez töltse le a disallowedcertstl.cab fájlt (http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab), csomagolja ki, és adja hozzá a Nem megbízható tanúsítványok tárolójához a következő paranccsal:

certutil -enterprise -f -v -AddStore disallowed "C:\PS\disallowedcert.stl"

Megbízható gyökértanúsítványok frissítése csoportházirend-objektum segítségével elszigetelt környezetben

Ha az a feladata, hogy rendszeresen frissítse a gyökértanúsítványokat egy internettől elkülönített Active Directory-tartományban, akkor van egy kicsit bonyolultabb séma a tartományhoz csatlakoztatott számítógépek helyi tanúsítványtárolóinak csoportházirendekkel történő frissítésére. A leválasztott Windows-hálózatok felhasználói számítógépein többféleképpen is beállíthatja a gyökértanúsítvány-frissítéseket.

Az első mód azt feltételezi, hogy rendszeresen manuálisan tölt le és másol le egy gyökértanúsítványt tartalmazó fájlt az elszigetelt hálózatra. A jelenlegi Microsoft gyökértanúsítványokkal rendelkező fájlt az alábbiak szerint töltheti le:

certutil.exe -generateSSTFromWU roots.sst

Ezután a fájl gyökértanúsítványai telepíthetők SCCM-en vagy PowerShell indítószkripten keresztül a GPO-ban:

$sstStore = (Get-ChildItem -Path \\fr-dc01\SYSVOL\a-d.site\rootcert\roots.sst )
$sstStore | Import-Certificate -CertStoreLocation Cert:\LocalMachine\Root

A második mód a tényleges Microsoft gyökértanúsítványok letöltése a következő paranccsal:

Certutil -syncWithWU -f \\fr-dc01\SYSVOL\a-d.site\rootcert\

Számos gyökértanúsítvány-fájl (CRT-fájlformátum) fog megjelenni a megadott megosztott hálózati mappában (beleértve az authrootstl.cab, disallowedcertstl.cab, disallowedcert.sst, thumbprint.crt fájlokat).

Ezután a Csoportházirend-beállítások segítségével módosítsa a RootDirURL beállításjegyzék paraméter értékét a HKLM\Software\Microsoft\SystemCertificates\AuthRoot\AutoUpdate alatt. Ennek a paraméternek arra a megosztott hálózati mappára kell mutatnia, amelyből a Windows számítógépei új gyökértanúsítványokat kapnak. Futtassa a tartomány GPMC.msc konzolját, hozzon létre egy új csoportházirend-objektumot, váltson a házirend szerkesztési módba, és bontsa ki a Számítógép konfigurációja -> Beállítások -> Windows-beállítások -> Rendszerleíró adatbázis részt. Hozzon létre egy új regisztrációs tulajdonságot a következő beállításokkal:

• Művelet: Frissítés

• Hive: HKLM

• Kulcs elérési útja: Software\Microsoft\SystemCertificates\AuthRoot\AutoUpdate

• Érték neve: RootDirURL

• Típus: REG_SZ

• Értékadatok: file://\fr-dc01\SYSVOL\a-d.site ootcert\

Már csak össze kell kapcsolni ezt a házirendet a számítógép szervezeti egységében, és az ügyfél csoportházirend-objektum-beállításainak frissítése után ellenőrizni kell, hogy vannak-e új gyökértanúsítványok a tanúsítványtárban.

Hogyan lehet frissíteni a megbízható gyökértanúsítványokat a Windows 7 rendszerben?

Annak ellenére, hogy a Windows 7 jelenleg a támogatás végén tart, sok felhasználó és vállalat még mindig használja.

Egy tiszta Windows 7 lemezkép telepítése után előfordulhat, hogy sok modern program és eszköz nem működik rajta, mivel új tanúsítvánnyal vannak aláírva. Különösen arról érkeztek panaszok, hogy a .Net Framework 4.8 vagy a Microsoft Visual Studio (vs_Community.exe) nem telepíthető a Windows 7 SP1 x64 rendszerre a gyökértanúsítványok frissítése nélkül.

The installer manifest failed signature validation.

Vagy

NET Framework has not been installed because a certificate chain could not be built to a trusted root authority.

A gyökértanúsítványok Windows 7 rendszerben történő frissítéséhez először le kell töltenie és telepítenie kell a KB2813430 MSU-frissítést (https://support.microsoft.com/en-us/topic/an-update-is-available-that-enables-administrators-to-update-trusted-and-disallowed-disconnected-win-c-on-fdowments0-ctls-en-fdowments0 dcc-f6be-7089-4585fad729d6)

Ezt követően a certutil segítségével létrehozhat egy SST-fájlt gyökértanúsítványokkal (a jelenlegi vagy egy másik számítógépen):

certutil.exe -generateSSTFromWU c:\ps\roots.sst

Most már importálhat tanúsítványokat megbízhatóakba:

Futtassa az MMC-t -> beépülő modul hozzáadása -> tanúsítványok -> számítógépfiók > helyi számítógép. Kattintson a jobb gombbal a Megbízható gyökértanúsító hatóság, Minden feladat -> Importálás, keresse meg az SST-fájlt (a fájltípusban válassza a Microsoft Serialized Certificate Store — *.sst) -> Megnyitás -> Helyezze el az összes tanúsítványt a következő tárolóba -> Megbízható legfelső szintű hitelesítésszolgáltatók.

Gyökértanúsítványok frissítése Windows XP rendszeren a Rootsupd.exe eszközzel

Windows XP rendszerben a rootsupd.exe segédprogramot használták a számítógép gyökértanúsítványainak frissítésére. A benne található gyökér- és visszavont tanúsítványok listája rendszeresen frissült. Az eszközt a KB931125 (Frissítés a gyökértanúsítványokhoz) külön frissítésként terjesztették. Lássuk, használhatjuk-e most.

1. Töltse le a rootsupd.exe segédprogramot a következő linkről: http://download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/rootsupd.exe. Jelenleg (2021 januárjában) a link nem működik, a Microsoft úgy döntött, hogy eltávolítja a nyilvánosságból. Ma már letöltheti a rootsupd.exe fájlt a Kaspersky webhelyéről - http://media.kaspersky.com/utilities/CorporateUtilities/rootsupd.zip;

2. A Windows gyökértanúsítványainak telepítéséhez futtassa a rootsupd.exe fájlt. De megpróbáljuk alaposabban megvizsgálni a tartalmát. Bontsa ki a tanúsítványokat a végrehajtható fájlból a következő paranccsal:

   rootsupd.exe /c /t: C:\PS\rootsupd

   

3. A tanúsítványokat SST-fájlok tárolják, például authroots.sst, delroot.sst stb. A tanúsítványok eltávolításához vagy telepítéséhez a következő parancsokat használhatja:

   updroots.exe authroots.sst
   updroots.exe -d delroots.sst

Azonban, amint láthatja, ezeket a tanúsítványfájlokat 2013. április 4-én hozták létre (majdnem egy évvel a Windows XP hivatalos támogatásának vége előtt). Így azóta az eszköz nem frissült, és nem használható a naprakész tanúsítványok telepítésére.

De használhatja a cerutil eszközt a Windows 10/11 rendszerben a root.sst letöltéséhez, másolja a fájlt Windows XP rendszerben, és telepítse a tanúsítványt az updroots.exe használatával:

updroots.exe c:\temp\roots.sst

Ebben a cikkben megvizsgáltuk a megbízható gyökértanúsítványok frissítésének számos módját az internettől elkülönített (lekapcsolt környezet) Windows hálózati számítógépeken.