Каталог сертификатов
Инфраструктура открытых ключей Windows (PKI) сохраняет сертификаты на сервере, на котором размещается центр сертификации (ЦС), а также на локальном компьютере или устройстве. Хранилище ЦС обычно называется базой данных сертификатов, а локальное хранилище называется хранилищем сертификатов.
База данных сертификатов
При добавлении служб сертификатов на сервере Windows Server и настройке ЦС создается база данных сертификатов. По умолчанию база данных содержится в папке %SystemRoot%\System32\Certlog, а имя основано на имени ЦС с расширением EDB. База данных может содержать:
- Выданные сертификаты
- Отозванные сертификаты
- Архивные закрытые ключи
- Запросы сертификатов
Api регистрации сертификатов нельзя использовать для управления базой данных. Процесс регистрации автоматически создает необходимые записи.
Хранилища сертификатов
Службы сертификатов Майкрософт копируют выданные сертификаты и ожидающие или отклоненные запросы на локальные компьютеры и устройства. Хранилище называется хранилищем сертификатов и состоит из следующих логических хранилищ.
| Логическое хранилище | Описание |
|---|---|
| Персональный | Содержит сертификаты, связанные с закрытым ключом, контролируемым пользователем или компьютером. |
| Доверенные корневые центры сертификации | Содержит сертификаты из неявно доверенных центров сертификации (ЦС). |
| Доверительные отношения в предприятии | Содержит списки доверия сертификатов, которые обычно используются для доверия самозаверять сертификаты из других организаций. |
| Промежуточные центры сертификации | Содержит сертификаты, выданные подчиненным ЦС в иерархии сертификации. |
| Объект пользователя Active Directory | Содержит сертификат объекта пользователя или сертификаты, опубликованные в Active Directory. |
| Доверенные издатели | Содержит сертификаты от доверенных центров сертификации. |
| Недоверенные сертификаты | Содержит сертификаты, которые были явно определены как ненадежные. |
| cторонние корневые центры сертификации. | Содержит доверенные корневые сертификаты из центров сертификации за пределами внутренней иерархии сертификатов. |
| Доверенные лица | Содержит сертификаты, выданные пользователям или сущностям, которые были явно доверенными. |
| Другие люди | Содержит сертификаты, выданные пользователям или сущностям, которые были неявно доверенными. |
| Запросы регистрации сертификата | Содержит ожидающие или отклоненные запросы сертификатов. |
API регистрации сертификатов нельзя использовать для указания или получения свойств хранилища или копирования сертификатов в определенные хранилища.
Хранилище сертификатов доверенных корневых центров сертификации
Начиная с Windows Vista диспетчер Plug and Play (PnP) выполняет проверку подписи драйвера во время установки устройства и драйвера. Проверка выполняется успешно, если:
- Сертификат подписи, который использовался для создания подписи, был выдан центром сертификации (ЦС).
- Соответствующий корневой сертификат для ЦС устанавливается в хранилище сертификатов доверенных корневых центров сертификации. Таким образом, хранилище сертификатов доверенных корневых центров сертификации содержит корневые сертификаты всех ЦС, которым доверяет Windows.
По умолчанию хранилище сертификатов Доверенных корневых центров сертификации настроено с набором общедоступных центров сертификации, удовлетворяющих требованиям Программы корневых сертификатов Майкрософт. Администраторы могут настроить набор доверенных ЦС по умолчанию и установить собственный частный ЦС для проверки программного обеспечения.
Примечание Частный ЦС вряд ли будет доверенным за пределами сетевой среды.
Наличие действительной цифровой подписи гарантирует подлинность и целостность пакета драйвера. Однако это не означает, что конечный пользователь или системный администратор неявно доверяет издателю программного обеспечения. Пользователь или администратор должен решить, следует ли устанавливать или запускать приложение в индивидуальном порядке, основываясь на своих знаниях об издателе и приложении программного обеспечения. По умолчанию издатель является доверенным, только если его сертификат установлен в хранилище сертификатов доверенных издателей.
Имя хранилища сертификатов доверенных корневых центров сертификации — root. Корневой сертификат частного ЦС можно вручную установить в хранилище сертификатов доверенных корневых центров сертификации на компьютере с помощью средства CertMgr .
Примечание Политика проверки подписи драйвера, используемая диспетчером PnP, требует, чтобы корневой сертификат частного ЦС был ранее установлен в версии локального компьютера хранилища сертификатов корневых центров сертификации. Дополнительные сведения см. в статье Хранилища сертификатов «Локальный компьютер» и «Текущий пользователь».
Дополнительные сведения о подписи драйверов см. в разделе Политика подписывания драйверов.
Совместная работа с нами на GitHub
Источник этого содержимого можно найти на GitHub, где также можно создавать и просматривать проблемы и запросы на вытягивание. Дополнительные сведения см. в нашем руководстве для участников.
Windows driver documentation
Хранилища сертификатов локального компьютера и текущего пользователя
Каждое из системных хранилищ сертификатов имеет следующие типы:
- Хранилище сертификатов локального компьютера Этот тип хранилища сертификатов является локальным для компьютера, глобальным для всех пользователей на компьютере и находится в корневом HKEY_LOCAL_MACHINE каталоге в реестре.
- Хранилище сертификатов текущего пользователя Этот тип хранилища сертификатов является локальным для учетной записи пользователя на компьютере и находится в корневом каталоге HKEY_CURRENT_USER реестра.
Сведения о конкретных расположениях в реестре хранилищ сертификатов см. в разделе Расположения системных хранилищ.
Все текущие хранилища сертификатов пользователей, кроме хранилища Текущий пользователь или личное, наследуют содержимое хранилищ сертификатов локального компьютера. Например, если сертификат добавляется в хранилище сертификатов доверенных корневых центров сертификации локального компьютера, все хранилища сертификатов доверенных корневых центров сертификации текущего пользователя (с указанным выше предостережением) также содержат сертификат.
Проверка подписи драйвера во время установки Plug and Play (PnP) требует, чтобы корневые сертификаты и сертификаты Authenticode, включая тестовые сертификаты, находились в хранилище сертификатов локального компьютера.
Дополнительные сведения о добавлении или удалении сертификатов из системных хранилищ сертификатов см. в разделе CertMgr.
Совместная работа с нами на GitHub
Источник этого содержимого можно найти на GitHub, где также можно создавать и просматривать проблемы и запросы на вытягивание. Дополнительные сведения см. в нашем руководстве для участников.
Windows driver documentation
Доверенные корневые центры сертификации где находится
Управление доверенными корневыми сертификатами в Windows 10/8
Особенности
В одной из наших предыдущих публикаций мы увидели, что такое корневые сертификаты . Могут быть случаи, когда некоторые компании или пользователи могут чувствовать необходимость управлять и настраивать доверенные корневые сертификаты, чтобы другие пользователи в домене не могли настраивать свой собственный набор. В этом посте мы увидим, как управлять доверенными корневыми сертификатами и добавлять сертификаты в хранилище доверенных корневых центров сертификации в Windows 10/8.1.
Управление доверенными корневыми сертификатами в Windows
Чтобы добавить сертификаты в хранилище доверенных корневых центров сертификации для локального компьютера , в меню WinX в Windows 10/8.1 откройте окно «Выполнить» и введите mmc и нажмите Enter, чтобы открыть Microsoft Management Control.
Нажмите ссылку меню «Файл» и выберите «Добавить/удалить оснастку». Теперь в разделе «Доступные оснастки» нажмите Сертификаты и нажмите «Добавить».
Нажмите ОК. В следующем диалоговом окне выберите Учетная запись компьютера , а затем нажмите Далее.
Теперь выберите Локальный компьютер и нажмите «Готово».
Теперь вернувшись в MMC, в дереве консоли дважды щелкните Сертификаты , а затем щелкните правой кнопкой мыши Хранилище доверенных корневых центров сертификации . В разделе Все задачи выберите Импорт .
Откроется мастер импорта сертификатов.
Следуйте инструкциям мастера, чтобы завершить процесс.
Теперь давайте посмотрим, как настроить и доверенные корневые сертификаты для локального компьютера . Откройте MMC, нажмите ссылку меню «Файл» и выберите «Добавить/удалить оснастку». Теперь в разделе «Доступные оснастки» нажмите Редактор объектов групповой политики и нажмите кнопку Добавить. Выберите компьютер, локальный объект групповой политики которого вы хотите редактировать, и нажмите «Готово»/«ОК».
Теперь вернитесь в дерево консоли MMC, перейдите к Политике локального компьютера> Конфигурация компьютера> Параметры Windows> Параметры безопасности. Далее Политики открытых ключей . Дважды щелкните «Параметры проверки пути сертификата» и перейдите на вкладку «Хранилища».
Здесь установите флажки Определить эти параметры политики , Разрешить использование доверенных корневых центров сертификации для проверки сертификатов и Разрешить пользователям доверять сертификатам равноправного доверия . .
Наконец, на вкладке «Хранилища»> «Хранилища корневых сертификатов» выберите один из вариантов в разделе Корневые центры сертификации, которым клиентские компьютеры могут доверять , и нажмите «ОК». Если вы сомневаетесь, используйте рекомендованный вариант.
Чтобы узнать, как управлять доверенными корневыми сертификатами для домена и как добавить сертификаты в хранилище доверенных корневых центров сертификации для домена , посетите Technet .
RCC – это бесплатный сканер корневых сертификатов, который может помочь вам сканировать корневые сертификаты Windows на наличие ненадежных.
Как установить корневой сертификат Удостоверяющего центра
Корневой сертификат — это файл, в котором указаны данные удостоверяющего центра (УЦ). Например, название УЦ, его ИНН и адрес, срок действия сертификата, какой алгоритм шифрования использует УЦ.
К этим данным обращается криптопровайдер, когда проверяет действительность электронной подписи пользователя. Если не установить корневой сертификат на компьютер, где используется электронная подпись, то подпись не будет работать корректно.
Чтобы быстро установить корневой сертификат и настроить компьютер, используйте бесплатный сервис Контур.Веб-диск. Он скачает все плагины и файлы, необходимые для правильной работы электронной подписи.
Удостоверяющий центр использует корневой сертификат, чтобы:
- выдавать сертификаты электронной подписи (ЭП, она же ЭЦП) пользователям, например, гендиректору организации или нотариусу,
- отзывать эти сертификаты, подписывая корневым сертификатом список отозванных (аннулированных) сертификатов.
Если вы еще не получили электронную подпись, оформите ЭП в удостоверяющем центре, который прошел аккредитацию. В УЦ Контура есть подписи для сотрудников и руководителей, торгов, отчетности и личных дел.
Какие бывают корневые сертификаты и для чего нужны
Корневой сертификат участвует в «цепочке доверия». «Цепочка доверия» — это взаимосвязь нескольких сертификатов, которая позволяет проверить, действительна ли электронная подпись и можно ли доверять сертификату ЭП.
Рассмотрим «цепочку доверия», сформированную для квалифицированного сертификата электронной подписи:
1. Корневой сертификат Минцифры РФ (ранее — Минкомсвязь РФ).
Это верхнее звено «цепочки доверия». Минцифры РФ осуществляет функции головного удостоверяющего центра в России. Оно наделяет другие удостоверяющие центры, прошедшие аккредитацию, правом выдавать квалифицированные сертификаты ЭП — выдает им собственные сертификаты, подписанные корневым сертификатом Минцифры РФ.
Например, в Windows корневой сертификат можно найти через «Управление сертификатами» — «Доверенные корневые центры сертификации» — «Сертификаты».
2. Сертификат удостоверяющего центра. Официально его называют «промежуточный сертификат», но распространено также название «корневой сертификат УЦ».
Среднее звено «цепочки доверия». УЦ получает этот сертификат от Минцифры РФ, когда становится аккредитованным. С помощью своего промежуточного сертификата УЦ выдает квалифицированные сертификаты пользователям: организациям, их сотрудникам, простым физлицам (п.2.1 ст.15 63-ФЗ).
В Windows промежуточный сертификат хранится в «Управление сертификатами» — «Промежуточные центры сертификации» — «Сертификаты».
3. Личный сертификат пользователя — квалифицированный сертификат электронной подписи.
Конечное звено «цепочки». Пользователь обращается в УЦ и получает там квалифицированный сертификат ЭП (он же КЭП, ЭП или ЭЦП). В его сертификате указаны данные «вышестоящих» сертификатов — УЦ и Минцифры.
В Windows личный сертификат можно найти через «Управление сертификатами» — «Личное».
Все сертификаты должны быть установлены в хранилище сертификатов (на компьютер) и действительны. Только тогда криптопровайдер сможет проверить доверие к сертификату пользователя и действительность электронной подписи, сформированной на основе этого сертификата.
«Путь сертификации» в составе сертификата показывает цепочку доверия: корневой сертификат, промежуточный и личный сертификат пользователя. Установить сертификаты можно с помощью сервиса от УЦ Контур или браузера-обозревателя.
Выше мы описали «цепочку доверия» для квалифицированных сертификатов. Поскольку такие сертификаты могут выдавать только аккредитованные УЦ, то в цепочке три звена: Минцифры — аккредитованный УЦ — пользователь. Именно такую связь можно увидеть, если открыть личный сертификат пользователя на вкладке «Путь сертификации» (см. скриншот выше).
Для неквалифицированных сертификатов ЭП «цепочка доверия» может состоять только из двух звеньев: УЦ — пользователь. Это возможно потому, что УЦ для выдачи неквалифицированных сертификатов не нужна аккредитация. Звенья такой «цепочки» будут называться: «корневой сертификат» и «пользовательский (личный) сертификат»
Где взять корневой сертификат
Все сертификаты УЦ Контура можно скачать на сайте удостоверяющего центра в разделе «Корневые сертификаты». Там представлены сертификаты для всех удостоверяющих центров, входящих в группу компаний СКБ Контур: СКБ Контур, «Сертум-Про», «ЦИБ‑Сервис» и РСЦ «Инфо‑Бухгалтер».
Программа установки всех сертификатов импортирует корневой сертификат Минцифры и промежуточные сертификаты УЦ. Подключение к интернету на момент установки не требуется.
Можно ли установить электронную подпись без корневого сертификата
Да, можно, но работать она не будет. Корневой и промежуточный сертификат является тем ключом, к которому обращается криптопровайдер при проверке подлинности подписи. Для признания ключа действительным в системе должен быть установлен корневой сертификат. В противном случае пользователь увидит окно с уведомлением об ошибке.
Это актуально как для ЭП, хранящейся на компьютере, так и для ЭП на токене, с небольшой разницей:
- при работе с ЭП на компьютере, корневой сертификат устанавливается один раз, обычно при первой установке ЭП,
- если ЭП хранится на токене, то корневой сертификат необходимо устанавливать на тот компьютер, с которым предстоит работать.
Какая информация содержится в корневом сертификате
Корневой сертификат представляет собой файл, который содержит свойства и данные:
- серийный номер,
- сведения об УЦ,
- сведения о владельце сертификата,
- сроки его действия,
- используемые алгоритмы
- открытый ключ электронной подписи,
- используемые средства УЦ и средства электронной подписи,
- класс средств ЭП,
- ссылка на сертификат «вышестоящего» УЦ, который выдал данный сертификат (для промежуточного сертификата),
- ссылка на реестр аннулированных (отозванных) сертификатов (для промежуточного сертификата),
- электронную подпись УЦ, выдавшего сертификат.
Какой срок действия корневого сертификата удостоверяющего центра
Корневой сертификат УЦ Минцифры действует 18 лет. Промежуточный сертификат аккредитованного УЦ действует 15 лет — это дольше, чем действие любого пользовательского сертификата ЭП, который такой УЦ выдаст клиенту. Пользовательские сертификаты выдаются обычно на 12, 15 месяцев.
УЦ сам следит за сроками действия своих промежуточных и корневых сертификатов, чтобы не доставить неудобств клиентам. УЦ Контура обновляет сертификаты в среднем раз в год — это необходимо, чтобы соблюдать требования эксплуатационной документации к срокам ключей электронной подписи на сертифицированные средства УЦ и ЭП. Обновление происходит незаметно для пользователей и не влияет на их работу.
Если вы еще не получили электронную подпись, оформите ЭП в удостоверяющем центре, который прошел аккредитацию. В УЦ Контура есть подписи для сотрудников и руководителей, торгов, отчетности и личных дел.
Инструкция по установке корневого сертификата удостоверяющего центра
Для начала работы с электронной подписью необходимо установить корневые и промежуточные сертификаты УЦ. У клиентов УЦ Контура установка обычно происходит автоматически — во время автонастройки компьютера. Ниже мы опишем и автоматический, и ручной способ.
Автоматическая установка — наиболее простой и быстрый способ, который не требует специальных знаний и навыков от вас:
- Откройте любой удобный браузер, это может быть Google Chrome, Mozilla Firefox, Internet Explorer или другой.
- Зайдите в сервис автоматической настройки рабочего места Контур.Веб-диск.
- Действуйте по указаниям сервиса: он продиагностирует ваш компьютер, найдет каких плагинов и файлов не хватает, предложит их установить. Вместе с ними установит необходимые корневые и промежуточные сертификаты.
Установка вручную — более долгий вариант, который пригодится техническим специалистам для решения ошибок с корневым сертификатом. Для него нужно самостоятельно выбрать и скачать сертификаты с сайта УЦ Контура.
- Перейдите в раздел «Корневые сертификаты». Дальше возможны два варианта.
- Скачайте все сертификаты разом. Для этого на странице с сертификатами Удостоверяющего центра нажмите на ссылку «Программа для установки всех корневых сертификатов», откройте архив и выберите один из файлов:
- Certificates_Kontur_Admin.exe — если у вас есть права администратора компьютера, сертификаты установятся для всех пользователей компьютера;
- Certificates_Kontur_User.exe — если прав администратора у вас нет, сертификаты установятся только для текущего пользователя.
- Скачайте каждый сертификат отдельно.
- Выберите год, когда был выдан промежуточный сертификат УЦ Контура. Чтобы найти дату, откройте личный сертификат пользователя, выберите вкладку «Путь сертификации» и откройте промежуточный сертификат.
- Напротив нужного сертификата нажмите кнопку «Скачать» и установите его в систему.
Если вы еще не получили электронную подпись, оформите ЭП в удостоверяющем центре, который прошел аккредитацию. В УЦ Контура есть подписи для сотрудников и руководителей, торгов, отчетности и личных дел.
Если возникли ошибки — при установке корневого сертификата или при работе с электронной подписью — обратитесь в нашу техподдержку. Специалисты помогут разобраться в проблеме. Звоните на 8 800 500-05-08 или пишите по контактам Центра поддержки, указанным в правом нижнем углу страницы.
Хранилище сертификатов доверенных корневых центров сертификации
начиная с Windows Vista, диспетчер Plug and Play (PnP) выполняет проверку подписи драйвера во время установки устройства и драйвера. Однако диспетчер PnP может успешно проверить цифровую подпись только в том случае, если выполняются следующие условия.
Сертификат подписи, использованный для создания подписи, был выдан центром сертификации (ЦС).
Соответствующий корневой сертификат для центра сертификации устанавливается в хранилище сертификатов доверенных корневых центров сертификации. таким образом, хранилище сертификатов доверенных корневых центров сертификации содержит корневые сертификаты всех центров сертификации, которые Windows доверять.
По умолчанию хранилище сертификатов Доверенных корневых центров сертификации настроено с набором общедоступных центров сертификации, удовлетворяющих требованиям Программы корневых сертификатов Майкрософт. Администраторы могут настроить набор доверенных центров сертификации по умолчанию и установить собственный частный ЦС для проверки программного обеспечения.
Примечание . Частный ЦС вряд ли будет доверенным за пределами сетевой среды.
Наличие действительной цифровой подписи гарантирует подлинность и целостность пакета драйверов. Однако это не означает, что конечный пользователь или системный администратор неявно доверяет издателю программного обеспечения. Пользователь или администратор должен решить, следует ли устанавливать или запускать приложение в отдельности, исходя из сведений о издателе и приложении программного обеспечения. По умолчанию издатель является доверенным только в том случае, если его сертификат установлен в хранилище сертификатов «Доверенные издатели».
Имя хранилища сертификатов доверенных корневых центров сертификации — root. Корневой сертификат частного ЦС можно вручную установить в хранилище сертификатов доверенных корневых центров сертификации на компьютере с помощью средства CertMgr .
Примечание . Для политики проверки подписи драйверов, используемой диспетчером PnP, требуется, чтобы корневой сертификат частного ЦС был ранее установлен в версии локального компьютера хранилища сертификатов корневых центров сертификации. Дополнительные сведения см. в статье Хранилища сертификатов «Локальный компьютер» и «Текущий пользователь».
Дополнительные сведения о подписывании драйверов см. в статье о политике подписывания драйверов.
Похожие публикации:
- Как вставить текст в jpg рисунок
- Как отменить подписку на алису
- Как поменять тему в вк на телефоне
- Сколько памяти на компьютере