MS RootCA/PKI web enrollment ohne Internet Explorer? Alternative?

[cj_berlin 1.313]

vor 27 Minuten schrieb zahni:

Jedenfalls können wir weiter rätseln, warum Microsoft diese recht übersichtliche Anwendung nicht mal zu neueren Anwendungen kompatibel.  Ich nutze das Teil auch öfters, wenn ich irgendwelche externen Zertifikate brauche. 

Vermutlich ist der Programmierer "unbekannt/verzogen".  Offenbar wird der IE11-Mode immer noch in den IE7-Mode "gezwungen".

Da gibt es nichts zu rätseln: Die Anwendung nutzt ein ActiveX-Control, um auf die Key Stores zuzugreifen. Soweit ich weiß (und ), erreicht man diese Systemnähe nicht mit HTML5. Man braucht also ein Browser-Plug-In, und da kommt es wieder darauf an, welcher Browser, in welchem Modus usw.

Klar, um einen fertigen CSR zu signieren und das ausgestellte Zertifikat herunterzuladen, könnte man eine abgewandelte Version anbieten, aber das Erzeugen des CSR fällt halt mit HTML5 flach...

[zahni 554]

vor 33 Minuten schrieb cj_berlin:

ActiveX-Control, um auf die Key Stores zuzugreifen

Genau diese Funktion hat nur einen begrenzten Nutzen. In der Regel benötige ich eine verschlüsselte PFX-Datei. Die könnte der Server auch erzeugen. 

[cj_berlin 1.313]

vor 22 Minuten schrieb zahni:

Genau diese Funktion hat nur einen begrenzten Nutzen. In der Regel benötige ich eine verschlüsselte PFX-Datei. Die könnte der Server auch erzeugen. 

Nein, denn die CA hat ja nicht den Private Key.

[NorbertFe 2.034]

vor 2 Stunden schrieb zahni:

Die könnte der Server auch erzeugen.

Nee danke. Das haben damals auch einige öffentliche cas versucht für private s/MIME Zertifikate. Wer das macht, braucht das auch nicht. ;)

[zahni 554]

vor 15 Stunden schrieb cj_berlin:

Nein, denn die CA hat ja nicht den Private Key.

Hä, die erzeugt doch den Private Key? Irgendwie stehe ich auf dem Schlauch.

[NorbertFe 2.034]

Nein den private key erzeugt die Maschine, die den csr generiert und in einer idealen Welt verlässt der private key auch nie diese Maschine. ;) die ca signiert das Zertifikat.

bearbeitet 24. August 2021 von NorbertFe

[NilsK 2.934]

Moin,

 

vor 38 Minuten schrieb zahni:

Hä, die erzeugt doch den Private Key? Irgendwie stehe ich auf dem Schlauch.

das glauben viele, ist aber falsch. Es ist so, wie Norbert und Evgenij sagen.

 

Der Witz am Private Key ist, dass er privat, also geheim ist. Nicht nur in einer idealen Welt darf der nie den Rechner verlassen, auf dem er erzeugt wurde (höchstens als Backup). daher kann die CA den auch nicht erzeugen, denn dann kennte sie ihn ja und er wäre nicht privat. Die Aufgabe der CA besteht ausschließlich darin, den zugehörigen Public Key zu zertifizieren (also zu bestätigen, dass sie davon ausgeht, dass er zu der beantragenden Einheit gehört).

 

Leider gab es in der Vergangenheit CAs, die das anders gesehen und ein Schlüsselpaar für Kunden erzeugt haben. Und leider haben das auch manche "Security-Komponenten" getan, die bei Enterprise-Kunden im Einsatz sind. Das ist ganz großer Käse und geht gar nicht.

 

Aus demselben Grund sind auch Zertifikate, die auf mehreren Servern eingesetzt werden, M*st.

 

Gruß, Nils

 

[zahni 554]

Danke, wieder was dazugelernt.

 

Zum Thema müsste MS dann eben für seinen Edge-Browser eine Erweiterung schreiben. Das sollte für einen Konzern wie Microsoft doch ein Problem darstellen

 

[NilsK 2.934]

Moin,

 

wenn sie es wollten, hätten sie es schon getan. Ich gehe davon aus, dass von deren wichtigen Kunden niemand mehr diese Seite benutzt.

 

Gruß, Nils

 

[NorbertFe 2.034]

Leider gibts aber auch keine so richtigen Alternativen. Hattest du nicht mal einen Anruf dazu hier? ;)

[NilsK 2.934]

Moin,

 

sicher sogar. 

 

Ich verstehe auch, dass man das nutzen können will. Nur will Microsoft es offenkundig nicht mehr pflegen. Das ist eben eine übriggebliebene Komponente, hinter der sie eigentlich nicht mehr stehen, die sie aber auch nicht entfernen. So wie WINS.

 

Gruß, Nils

 

[zahni 554]

Wenn ich das richtig sehe, haben andere Firmen so etwas schon entwickelt. Natürlich nicht für eine Windows-CA.

 

https://knowledge.digicert.com/generalinformation/digicert-pki-client-browser-extension-instructions.html 

https://chrome.google.com/webstore/detail/digicert-authentication-c/ikepfmbgiedamphopfpgomnipacokgol?hl=en&gl=US

bearbeitet 24. August 2021 von zahni

[4zap 17]

Am 24.8.2021 um 10:40 schrieb zahni:

Wenn ich das richtig sehe, haben andere Firmen so etwas schon entwickelt. Natürlich nicht für eine Windows-CA.

 

https://knowledge.digicert.com/generalinformation/digicert-pki-client-browser-extension-instructions.html 

https://chrome.google.com/webstore/detail/digicert-authentication-c/ikepfmbgiedamphopfpgomnipacokgol?hl=en&gl=US

 

Aber dann sind wir wieder bei einer managed PKI und wer will das schon. Meist nur wenn du S/Mime oder sowas noch in public verwenden willst. Jedes enrollte Zertifikat kostet halt.... im Gegensatz dazu eine eigene PKI ja auch am Ende... muss jeder selber wissen. Ich bin kein Freund davon.

 

Es hat mir ja keine Ruhe gelassen mit NTLM relay -> https://support.microsoft.com/de-de/topic/kb5005413-mitigating-ntlm-relay-attacks-on-active-directory-certificate-services-ad-cs-3612b773-4043-4aa9-b23d-b87910cd3429

bin mal alle Einstellungen durchgegangen - bis auf negotiated kerberos waren wir schon ganz nah dran  

[NilsK 2.934]

Moin,

 

vor 8 Minuten schrieb 4zap:

Aber dann sind wir wieder bei einer managed PKI und wer will das schon.

sagen wir es so: Wenn man sich eine Windows-PKI mal genauer ansieht, spricht einiges dafür, das nicht selbst an der Backe zu haben. 

 

Gruß, Nils

 

[cj_berlin 1.313]

vor 1 Stunde schrieb NilsK:

sagen wir es so: Wenn man sich eine Windows-PKI mal genauer ansieht, spricht einiges dafür, das nicht selbst an der Backe zu haben. 

Das ist jetzt vielleicht polemisch, aber gilt das nicht für den bisher erreichten technischen Stand der Büro-IT generell, und zwar durchaus herstellerübergreifend? Damit argumentiert MSFT ja, nicht ganz zu unrecht, für die (eigene) Cloud - dabei natürlich geschickt ausblendend, dass sie für den zitierten Grund ja mit verantwortlich sind  

bearbeitet 25. August 2021 von cj_berlin