MS RootCA/PKI web enrollment ohne Internet Explorer? Alternative?

[4zap 17]

Hi

ich betreibe eine eigene RootCA und SubCA im AD. Für manche Anwendungsfälle haben wir ein Zertifikats Web enrollment aufgesetzt und können per IE Zertifikate auf domain joined clients ausrollen die keine aktive Verbindung zur Domäne haben. Klappt super, aber nur mit IE.

Jetzt ist IE abgekündigt, ich find keine Alternative für einen Browser mit dem das Web enrollment noch funktionieren würde. Hat jemand eine Alternative parat? Im nächsten Win10 deployment build ist kein IE mehr am Start.

Ích ging davon wir sind nicht die Einzigen mit dem Problem aber via Google und MS Technet find ich nicht einen Hinweis darauf, entweder bin ich zu doof zum Suchen oder es gibt wirklich keinen Ersatz. Weiß jemand mehr?

 

[cj_berlin 1.313]

Moin,

 

auch wenn es eine große Umstellung ist: certreq.exe ist vom Browser unabhängig.

[4zap 17]

vor 8 Stunden schrieb cj_berlin:

Moin,

 

auch wenn es eine große Umstellung ist: certreq.exe ist vom Browser unabhängig.

Moin

 

das wäre natürlich eine Alternative auf Befehlzeilenebene. Danke. Aber kann ich miit certreq.exe auch auf eine PKI pointen, im AD Intranet ist das ja kein Problem?  Der DC sagt ja wo es langegehen soll. Es geht um Clients die kein connect zur Domäne haben. Intern laufen GPOs für Device und Userzertifikate. Die Roadwarrior ziehen sich momentan per IE und client Anmeldung die Zertifikate bei Bedarf übers Webenrollment portal. Ich brauchs nicht zwingend aber das Webenrollment ist schon gut besucht und ich würds gern weiter führen. Wenn certreq damit klar kommt würds schon passen. Ich acker mich mal durch die Referenz. Danke.

[cj_berlin 1.313]

vor 22 Minuten schrieb 4zap:

Aber kann ich miit certreq.exe auch auf eine PKI pointen

Klar.

certreq -config "CASERVER01\MyIssuingCA"

 

[4zap 17]

Fein, danke! Das hilft ziemlich gut. ;)

[4zap 17]

Moin 

 

Edge hat jetzt auch eine Extension für IE - Web enrollment klappt damit auch. fyi

[NorbertFe 2.034]

Hast du da ne offizielle Info zu?

danke

[4zap 17]

Liefer ich nach heute nachmittag. Mein Admin hats getestet, ich zieh mir nachher mal die Details nach der Mittagspause.

[cj_berlin 1.313]

Ich habe mich sehr über die dazugehörige Sicherheitslücke gefreut, denn das gab mir den Anlass, bei einigen Kunden diesen antiquierten Dreck endlich zu deinstallieren...

[4zap 17]

Hi CJ

 

hast du dazu eine CVE Nummer? Würd ich mir gern anschauen oder meinst du die anfälligen Vorlagen?

[NorbertFe 2.034]

Nein er meint das webinterface ;) das war ja von petitpotam betroffen. 

[4zap 17]

vor 1 Stunde schrieb NorbertFe:

Nein er meint das webinterface ;) das war ja von petitpotam betroffen. 

 

Ach stimmt. die NTLM Geschichte mit Domänenübernahme. Wir haben die RootCA und PKI abklopfen lassen, wir verwenden dort kein NTLM mehr seit einiger Zeit. Wir hatten aber ein faules Template gefunden was wir geändert hatten, da hatte mal ein admin mit rumgespielt und hatte böse Berechtigungen gesetzt für die User.... hätte böse enden können.  Thema Golden Ticket.....

[cj_berlin 1.313]

vor 1 Minute schrieb 4zap:

wir verwenden dort kein NTLM mehr seit einiger Zeit.

...aber wird sie auch NTLM-Versuche ablehnen? Der Angreifer verwendet ja nicht das, was ihr verwendet, sondern das, was möglich ist  

[4zap 17]

vor 5 Stunden schrieb NorbertFe:

Hast du da ne offizielle Info zu?

danke

Hallo Norbert

 

https://docs.microsoft.com/de-de/deployedge/edge-ie-mode-policies

 

 

[NorbertFe 2.034]

Toll, dann wird die Seite im iemodus angezeigt, oder hab ich was übersehen? ;) das hilft nicht wirklich, denn der ie Mode ist der ie11