Go промежуточный сертификат CA папа отсутствует

1476
mythofechelon

Неповрежденный ПК (Windows 10 Pro, подключенный к домену AD DS)

Go промежуточный сертификат CA папа отсутствует Go промежуточный сертификат CA папа отсутствует

 

Затронутые ПК (автономные версии Windows 10 Pro)

Go промежуточный сертификат CA папа отсутствует Go промежуточный сертификат CA папа отсутствует Go промежуточный сертификат CA папа отсутствует

 

Что может привести к отсутствию промежуточных, но не корневых сертификатов CA?

Я проверил, что локальная политика Computer Configuration\Administrative Templates\System\Internet Communication Management\Internet Communication settings\Turn off Automatic Root Certificates Updateне настроена.

Я проверил, что служба Windows Cryptographic Services/ CryptSvcзапущена и перезапуска не имеет значения.

Я обнаружил, что никаких соответствующих событий не регистрируется, насколько я вижу.

https://support.microsoft.com/en-gb/help/3004394/support-for-urgent-trusted-root-updates-for-windows-root-certificate-p сообщает:

Программа корневых сертификатов Windows позволяет автоматически распространять доверенные корневые сертификаты в Windows. Обычно клиентский компьютер опрашивает обновления корневого сертификата один раз в неделю.

Как вы вручную форсируете обновление?

0

1 ответ на вопрос

2
garethTheRed

Сервер, обеспечивающий соединение TLS / SSL (как на веб-сервере HTTPS), должен отправить клиенту все сертификаты в цепочке. То есть сертификат конечного объекта, все подчиненные ЦС и необязательно (но не обязательно) сертификат корневого ЦС.

На ваших так называемых Затронутых ПК выявляются признаки того, что веб-сервер неправильно настроен и просто отправляет сертификат конечного объекта. Ваш браузер получает этот сертификат и не может связать его с корневым центром сертификации, установленным в вашем хранилище доверия.

Ваш незатронутый ПК показывает признак компьютера Windows, который удобно хранит сертификаты подчиненного ЦС в своем хранилище сертификатов. Они обычно размещаются там, когда пользователь просматривает другой веб-сайт, который использует те же подчиненные ЦС, но администратор которого знает, что они делают :-) ПК все еще только получает сертификат конечного объекта с сервера, но, поскольку у него есть подчиненный Сертификаты CA кэшируются, он может объединять их вместе и создавать цепочку.

Теперь в Windows есть средство для загрузки любых подчиненных ЦС из хранилища, но это будет работать только в том случае, если (а) URL-адрес этого хранилища содержится в сертификате, (б) сертификат фактически установлен в этом хранилище и (в) ) хранилище находится в сети и доступно.

Чтобы решить эту проблему, вам нужно строгое слово с администратором веб-сайта и сказать им, чтобы прочитать RFC 5246 . В частности, раздел 7.4.2 .

Да, я согласен, что это проблема с веб-сервером. https://www.bookkeepers.org.uk и https://uk.godaddy.com используют одинаковые корневые и промежуточные сертификаты CA (проверенные путем проверки отпечатков / хэшей), но первый не работает, а второй работает. Интересно, что промежуточный сертификат CA все еще не был установлен, но я предполагаю, что это потому, что он следует по цепочке до корня, что достаточно. Спасибо за вашу помощь! mythofechelon 7 лет назад 0
https://www.ssllabs.com/ssltest/analyze.html?d=www.bookkeepers.org.uk&latest также подтверждает это: «Нет доступных путей доверия. Эмитент неизвестен или отсутствует промежуточный сертификат. mythofechelon 7 лет назад 1
В долгосрочной перспективе я написал Институт сертифицированных бухгалтеров по электронной почте и в краткосрочной перспективе вручную импортировал недостающий сертификат (полученный из https://certs.godaddy.com/repository/ | `GoDaddy Certificate Chain - G2` | `gdig2.crt (der)` | https://certs.godaddy.com/repository/gdig2.crt. mythofechelon 7 лет назад 0

Похожие вопросы