Stammzertifikate in Windows Server 2012 R2 nicht vollständig.

[Vinc211 1]

Guten Tag,

 

bei einem unserer Windows Server 2012 R2 ist es vorgekommen das ich ein Programm nicht updaten konnte, da sich das Programm die entsprechenden Datein die es noch benötigt nicht per https ziehen konnte, da ein Root Zertfikat gefehlt hat.

Nachdem ich dann das entsprechende Zertfikat in die Vertrauenswürdigen Stammzertifikate importiert hatte ging alles wie geschmiert.

Ich habe dann bei MS nachgeschaut und das "Microsoft Trusted Root Certificate Program" gefunden und gesehen, dass das Zertifikat mit in den Participants steht. Generell ist die liste sehr lang: https://social.technet.microsoft.com/wiki/contents/articles/51151.microsoft-trusted-root-certificate-program-participants-as-of-january-30-2018.aspx

Doch sind bei weitem nicht alle drin. Sollte sowas nicht über Windows Update aktuell gehalten werden? Oder ist es normal das nicht alle Root Zertifikate die in der Liste aufgeführt sind in meinen Vertrauenswürdigen Stammzertifikaten zu finden sind?

 

Auch bei einem frischen Windows Server 2016 oder einem Windows 10 1709 finde ich das Zertifikat nicht obwohl es in der MS Liste steht. (Amazon Root CA 1)

bearbeitet 7. Mai 2018 von Vinc211

[zahni 569]

Hat das Gerät Interzugang? Windows lädt diese Root-Zertifikate automatisch herunter.

[Vinc211 1]

vor 14 Stunden schrieb zahni:

Hat das Gerät Interzugang? Windows lädt diese Root-Zertifikate automatisch herunter.

Internetzugang ist vorhanden, aber die Verbindung zu den Windows Diensten wird untersagt (GPO WSUS).

Werden diese Zertifikate also nur bei Bedarf runtergeladen?

[zahni 569]

Die Stammzertifikate werde schon seit Windows XP  automatisch  aktualisiert. Dort gab  es einen extra Dienst dafür. Bei Windows 10 kann man den nicht mehr abschalten (ich wüsste nicht wie). Abschalten per GPO geht aber sicher weiterhin. Das hat aber mit den WSUS-GPOs nichts zu tun. Wenn Zertifikate automatisch aktualisiert werden, wird ein Event der Quelle  CAPI2 protokolliert.

 

[Vinc211 1]

vor 2 Minuten schrieb zahni:

Die Stammzertifikate werde schon seit Windows XP  automatisch  aktualisiert. Dort gab  es einen extra Dienst dafür. Bei Windows 10 kann man den nicht mehr abschalten (ich wüsste nicht wie). Abschalten per GPO geht aber sicher weiterhin. Das hat aber mit den WSUS-GPOs nichts zu tun. Wenn Zertifikate automatisch aktualisiert werden, wird ein Event der Quelle  CAPI2 protokolliert.

 

Naja hat schon mit der GPO zu tun, wenn ich den Servern und Clients im Netz untersage mit den Microsoft Diensten zu kommunizieren oder? Der Store etc. geht ja dann auch nicht.

Ansonsten ist nämlich ein Problem vorhanden, dass ich nicht erklären kann. Das wäre schlecht.

[zahni 569]

Aber nicht mit den WSUS-GPOs, so wie  Du  geschrieben hast. Die automatische Zertifikatsaktualisierung konfiguriert man in den Sicherheitseinstellungen. Was die  andere  GPO  bewirkt, weis ich aus dem Kopf nicht.

Kann gut sein, dass die veraltet ist und bei Windows 10 nichts  bewirkt. 

[NorbertFe 2.157]

Ja. Das automatische Root Zertifikatsupdate gibts seit XP SP2 meine ich:

https://gpsearch.azurewebsites.net/Default.aspx?PolicyID=4716

 

 

[Vinc211 1]

vor 2 Minuten schrieb NorbertFe:

Ja. Das automatische Root Zertifikatsupdate gibts seit XP SP2 meine ich:

https://gpsearch.azurewebsites.net/Default.aspx?PolicyID=4716

 

 

Ah und da steht ja auch das die Windows Update Website angefragt wird. Das ist nicht machbar.

Weißt du ob es einen manuellen weg gibt?

[NorbertFe 2.157]

Klar. Root Certificates per GPO an alle verteilen. :P Ist eben manuell.

[zahni 569]

Früher gab es mal Offline CA-Updates. Heute ist mir nur die Online-Version bekannt.

Warum darf Windows die CA-Updates nicht dort abrufen?

 

P.S. Der Zugriff auf crl.microsoft.com sollte auch erlaubt sein.

 

bearbeitet 8. Mai 2018 von zahni

[Vinc211 1]

Gerade eben schrieb NorbertFe:

Klar. Root Certificates per GPO an alle verteilen. :P Ist eben manuell.

Ja aber ich habe die Zertifikate ja gar nicht =D Kann ich die "Sammlung" irgendwo runterladen.

Verteilen wäre kein Problem.

[NorbertFe 2.157]

Ja solche Netzwerke gibt es, die sowas begrenzen und evtl. will man ja auch nicht einfach jedes RootUpdate zulassen. Dann bleibt eben nur der "manuelle" Weg, herauszufinden, welche Root-Zerts man tatsächlich benötigt und diese dann entsprechend an seine Clients zu verteilen. Eine "Wasch mich aber mach nicht naß" Policy gibts an der Stelle eben tatsächlich nicht. :)

vor 1 Minute schrieb Vinc211:

Ja aber ich habe die Zertifikate ja gar nicht =D Kann ich die "Sammlung" irgendwo runterladen.

Verteilen wäre kein Problem.

Nein das Offline Paket gibts afaik nicht mehr. Und wenn du sowieso "pauschal" alles was MS zuläßt an der Stelle zuläßt, dann kannst du auch den Zertifikatsagent die Root-Zerts laden lassen. 

[zahni 569]

Du kannst Sie doch von einem "normalen" PC exportieren. beachte aber, dass Du "böse"  CAs selber überwachen  musst.

[NorbertFe 2.157]

Eben ;) Und wenn man die dann eh "ungesehen" übernimmt, dann kann mans auch gleich automatisch regeln. Vorteil bei GPO Verteilung ist, dass die Dinger auch verschwinden vom PC, wenn man sie aus dem GPO entfernt. :)

[Vinc211 1]

Okay, hät ja sein können das MS so nett ist und die als Offline Paket bereitstellt. Wenn Sie schon sagen welche Root Certs sie aktuell im "Programm" haben, wäre ein offline updater ja ein einfaches gewesen, aber auch entgegen der MS Politik (always online und so =)

Danke soweit. Thema ist für mich gelöst.