U svakoj organizaciji koja koristi Windows, digitalni certifikati, potpisi upravljačkih programa i kriptografski uređaji postali su uobičajeni. Bez obzira da li upravljate samo nekoliko računara ili cijelom domenom, ako želite sigurnost, snažnu autentifikaciju i kontrolu nad instaliranim softverom, morate razumjeti kako ovaj ekosistem funkcioniše.
Pored tipičnih certifikata koje zahtijevaju poreske vlasti ili socijalno osiguranje, u profesionalnom okruženju je ključno znati kako upravljati korisničkim certifikatima, certifikatima kontrolera, internim certifikacijskim tijelima i alatima poput Adobea, preglednika i tokena . Zvuči komplicirano, ali ako to razložimo korak po korak, vidjet ćete da je prilično lako upravljati, pod uslovom da razumijete koncepte i slijedite određene najbolje prakse.
Šta je digitalni certifikat i zašto je toliko važan u Windowsu?
Digitalni certifikat je u suštini elektronski dokument koji služi kao vaša lična karta na internetu . Izdaje ga priznato tijelo za certifikaciju (CA). Služi za jedinstvenu identifikaciju osobe, kompanije ili čak servera ili web stranice.
Ovaj certifikat sadrži identifikacijske podatke vlasnika (ime, poreski broj, organizaciju itd.) koje je prethodno provjerio organ za izdavanje certifikata. Zahvaljujući tome, možemo ga koristiti za potpisivanje dokumenata, autentifikaciju pred vladinim agencijama ili provjeru da li se web stranica ili kontrolor smatraju pouzdanim.
U svijetu Windowsa, ovi certifikati vam omogućavaju elektronsko potpisivanje dokumenata, programa i upravljačkih programa, te uspostavljanje sigurnih veza . Zato je toliko važno pravilno upravljati njima: instalirati ih tamo gdje im je mjesto, obnoviti ih prije isteka, izvesti sigurnosne kopije, opozvati ih ako postoje problemi i ne brisati ih nasumično.
Postoje certifikati za gotovo sve: lične, poslovne, web stranice, kontrolere, root, posredničke, klijentske, serverske i mnoge druge. Windows ih pohranjuje u različite "prodavnice" kojima pristupaju aplikacije kao što su Edge, Chrome, Adobe Reader, AutoFirma i administrativni alati.
Vrste digitalnih certifikata s kojima ćete se susresti
Unutar Windows ekosistema, susrest ćete se s različitim vrstama certifikata ovisno o njihovoj upotrebi i vlasniku . To su:
- lični sertifikatiIzdaju se na ime pojedinca. Koristimo ih za identifikaciju u online procedurama, potpisivanje PDF dokumenata, pristup Španskoj poreskoj agenciji (AEAT), Španskoj upravi za saobraćaj (DGT), Upravi za socijalno osiguranje itd.
- Certifikati entiteta. Ovo su dokumenti povezani s kompanijom, udruženjem ili organizacijom. Sam entitet se potpisuje ili identificira, čak i ako dokument koristi ovlašteni predstavnik. Koriste se za podnošenje poreza kompanije, potpisivanje korporativnih dokumenata ili interakciju s vladinim agencijama u ime organizacije.
- Elektronski certifikati sjedištaOni identificiraju službenu web stranicu ili portal kao dio javne uprave ili subjekta, garantirajući da je stranica legitimna i da je komunikacija zaštićena.
U Windows skladištu certifikata vidjet ćete i kategorije kao što su Pouzdani glavni izdavači certifikata, Posrednički autoriteti, Ostali korisnici, Autentifikacija klijenta i "neuklonjivi certifikati". To su komponente lanca povjerenja koje vam omogućavaju da validirate konačne certifikate.
Certifikati za potpisivanje koda i potpisivanje upravljačkih programa u Windowsu
Kada govorimo o drajverima i softveru u Windowsu, certifikati za potpisivanje koda dolaze do izražaja . Njihova funkcija je da garantuju da je program ili drajver izdao određeni izdavač i da nije mijenjan od potpisivanja.
U specifičnom slučaju drajvera u kernel modu, Windows je posebno strog. Počevši od Windowsa 7 (zakrpljen za SHA-256) i Windowsa 8 , a još više od Windowsa 10, drajveri moraju biti potpisani sigurnim algoritmima (kao što je SHA-256) i, u mnogim slučajevima, certifikatima za potpisivanje koda sa proširenom validacijom (EV).
SignTool , koji je dio Windows SDK-a, se obično koristi za potpisivanje drajvera . Omogućava vam da odredite opcije kao što su certifikat, PFX lozinka, algoritam za hash, dodatni certifikati (na primjer, Microsoftov unakrsni certifikat) i server vremenske žigove.
Ključni parametri SignToola su /f za određivanje PFX datoteke, /p za lozinku, /fd za algoritam heširanja (npr. /fd sha256), /ac za dodavanje unakrsnog certifikata, /tr za konfigurisanje RFC 3161 servera vremenskih oznaka i /n za odabir određenog certifikata iz skladišta prema njegovom uobičajenom nazivu.
Nakon što su binarne datoteke drajvera (obično .sys i .cat datoteke) potpisane, možete provjeriti potpis pomoću naredbe `signtool verify -v -kp` , koja vrši provjeru prema specifičnim kriterijima za drajvere u kernel modu. Pogledajte vodič za sigcheck za dodatne alate za provjeru. Ako je sve ispravno, Windows će instalirati drajver, prikazujući izdavača kao "poznatog i pouzdanog".
Preduslovi: Program za razvoj hardvera i certifikati za električna vozila
Ako ćete objavljivati upravljačke programe putem Microsoftovog ekosistema, kao administrator Partnerskog centra za hardver , morat ćete se baviti dodavanjem, ažuriranjem i uklanjanjem certifikata za potpisivanje koda povezanih s vašom organizacijom.
Prvi korak je registracija za Microsoftov program za razvoj hardvera . Ako vaš kompanijski račun već ne postoji, morat ćete dovršiti proces registracije slijedeći korake i povezujući svoju organizaciju.
Za otpremanje i potpisivanje drajvera potreban vam je certifikat za potpisivanje koda, po mogućnosti EV , koji izdaje pouzdani provajder. Ako vaša kompanija već ima važeći certifikat, možete ga ponovo koristiti. U suprotnom, morat ćete ga nabaviti putem priznatog tijela za izdavanje certifikata (CA). CA će provjeriti identitet vaše kompanije (dokumentaciju, kontakt informacije, broj telefona itd.) i, nakon odobrenja, dati će upute za preuzimanje certifikata.
U modernim okruženjima, neophodno je raditi sa certifikatima i vremenskim žigovima zasnovanim na SHA-2 (SHA-256) . Podrška za SHA-1 se postepeno ukida u praksi za novije aplikacije, kao što su certifikati za potpisivanje koda i serveri za vremenske žigove.
Kako dodati, obnoviti ili opozvati certifikate za potpisivanje koda u Partnerskom centru
Kada je EV ili standardni certifikat već izdat, sljedeći korak je da ga dodate na hardversku ploču u Partnerskom centru kako bi ga Microsoft prepoznao prilikom potpisivanja i validacije vaših upravljačkih programa. Evo koraka:
- Prijavite se na portal sa vjerodajnice administratora hardverskog računaOdatle, pristupite ikoni zupčanika u gornjem desnom uglu i uđite u postavke računa ili odjeljak za postavke programera.
- Kliknite na opciju "Upravljanje certifikatima" (u bočnom meniju).
- Odaberite „Dodaj novi certifikat“ i nastavi s čarobnjakomPortal će vam omogućiti preuzimanje binarne datoteke (obično Signablefile.bin) koju ćete morati lokalno potpisati pomoću SignToola s vašim certifikatom za potpisivanje koda. SHA-256 algoritam, zajedno s važećom SHA-2 vremenskom oznakom.
- Konačno Otpremite certifikat nazad u Partnerski centarMicrosoft će provjeriti da li se potpis podudara sa certifikatom izdanim vašoj organizaciji i, ako je sve ispravno, dodat će taj certifikat na listu prihvaćenih certifikata za potpisivanje koda za vaš račun.
Kako pregledati i upravljati certifikatima instaliranim na Windowsu
Svi certifikati koje instalirate, i lični i sistemski, pohranjeni su u Upravitelju certifikata Windowsa . Odatle aplikacije provjeravaju koji su certifikati dostupni za autentifikaciju, potpisivanje ili šifriranje.
Za pregled certifikata računara (na nivou mašine) koje koristi sistem i mnogi servisi, možete koristiti naredbu certlm.msc iz trake za pretragu ili dijaloga Pokreni (Win + R). Ovo će otvoriti konzolu Lokalni certifikati računara s raznim folderima kategoriziranim po namjeni.
Da biste pregledali svoje lične korisničke certifikate , koristite alat certmgr.msc . Ovdje ćete pronaći certifikate povezane samo s vašim Windows profilom: one koje koristite za administrativne zadatke, radne certifikate, one koje instaliraju određene aplikacije ili preglednici i tako dalje.
Za naprednije korisnike, moguće je provjeriti i prisustvo certifikata u Windows registru . Na primjer, certifikati trenutnog korisnika pohranjeni su u putanjama kao što su HKEY_CURRENT_USER/Software/Microsoft/SystemCertificates/CA/Certificates, dok se certifikati povezani s objektima grupnih politika (GPO) nalaze u granama pod HKCU/Software/Policies/Microsoft/SystemCertificates.
U mnogim slučajevima nije potrebno dirati ništa u Registru, ali je korisno znati o tome ako morate dijagnosticirati probleme s učitavanjem certifikata, duplikatima ili politikama koje primjenjuje domena.
Izvoz, pravljenje sigurnosnih kopija i brisanje certifikata u Windowsu
Ako često radite s certifikatima, neophodno je imati strategiju za izradu sigurnosnih kopija . Gubitak certifikata bez sigurnosne kopije mogao bi značiti ponavljanje cijelog procesa prijave i akreditacije uživo.
Windows vam omogućava izvoz certifikata iz Upravitelja certifikata . Jednostavno pronađite certifikat u njegovoj mapi, kliknite desnim tasterom miša, idite na "Svi zadaci" i odaberite "Izvoz". Otvoriće se čarobnjak koji će vas pitati da li želite da uključite privatni ključ i koji format izvoza želite.
Da biste premjestili lični certifikat na drugi računar ili ga sačuvali na USB disk, uobičajena metoda je generiranje PFX/P12 datoteke zaštićene lozinkom . Na ovaj način, dvostrukim klikom na nju na drugom računaru i unosom lozinke, možete instalirati certifikat zajedno s pripadajućim privatnim ključem.
Što se tiče brisanja, morate biti posebno oprezni. U istom upravitelju certifikata, odabirom certifikata i odabirom opcije brisanja uklanjate ga iz skladišta certifikata, čineći ga nedostupnim za Windows i sve aplikacije . Ako pogriješite, možete prekinuti autentifikaciju, spriječiti korištenje programa ili čak uticati na stabilnost sistema.
Stoga se preporučuje da ne brišete sistemske certifikate nasumično i da uvijek napravite sigurnosnu kopiju prije toga , posebno ako niste sigurni u svrhu svakog od njih. Isto važi i za korisničke certifikate koji su još uvijek važeći i koji bi vam mogli zatrebati kasnije.
Pametne kartice, kriptografski tokeni i Bit4id PKI Manager
U mnogim kompanijama i javnim organizacijama, certifikati se ne pohranjuju na tvrdom disku računara, već na pametnim karticama ili kriptografskim USB tokenima . Ovo dodaje dodatni sloj sigurnosti, jer privatni ključ nikada ne napušta fizički uređaj.
Jedan od uobičajenih alata za upravljanje ovim uređajima je Bit4id PKI Manager , koji komunicira s tokenima i karticama radi otključavanja, promjene PIN-a/PUK-a, uvoza certifikata, izvoza javnih ključeva i još mnogo toga. Podrazumevano, radi u korisničkom režimu, ali možete omogućiti napredne opcije pomoću prečice na tastaturi Ctrl + A.
Na panelu uređaja možete vidjeti informacije o čitaču, kartici, statusu PIN-a i PUK-a, te popis pohranjenih korisničkih i CA certifikata . Ako je PIN zaključan ili ga se ne sjećate, možete koristiti funkciju otključavanja PUK-om, pod uvjetom da niste dostigli maksimalan broj pokušaja.
Osim toga, PKI Manager vam omogućava promjenu PIN-a ako sumnjate da ga neko drugi zna , promjenu PUK-a, prijavu i odjavu s uređaja, ažuriranje sadržaja za prikaz novih certifikata i preimenovanje uređaja radi bolje identifikacije.
Uvoz certifikata na karticu se obično vrši korištenjem .p12 ili .pfx datoteka koje uključuju privatni ključ. Morate navesti PIN uređaja, lozinku za PFX datoteku i, opcionalno, CKA_ID identifikator koristan za određene PKCS#11 aplikacije.
Za izvoz se izdvaja samo javni ključ u .cer formatu , nikada privatni ključ . Ovo je korisno za dijeljenje certifikata s trećim stranama ili instaliranje javnog ključa gdje je potrebno za provjeru potpisa ili autentifikacije. ( Pogledajte rizike povezivanja nepoznatih USB diskova ).
Napredna konfiguracija i provjere prijenosa certifikata
U alatnoj traci Bit4id PKI Managera također ćete pronaći prečicu do Windows skladišta certifikata , gdje možete vidjeti kako se certifikati kartice kopiraju u korisnikovu mapu "Lično", ako je ta integracija omogućena.
Panel za konfiguraciju middleware-a vam omogućava podešavanje parametara kao što su automatski uvoz CA certifikata iz P12/PFX-a, generisanje logova, brisanje keš memorije middleware-a i integracija sa Microsoftovim CryptoAPI/CSP-om . Ova posljednja opcija je ključna ako želite da Windows aplikacije (uključujući Edge ili Chrome) direktno vide tokenske certifikate.
Ako imate problema, dobra je ideja izvršiti nekoliko provjera :
- Provjerite da li se certifikati pojavljuju u datoteci certmgr.msc (korisnik).
- Provjerite jesu li učitani u Firefoxu (u njegovoj internoj trgovini) ili da ih Edge ili Chrome mogu vidjeti iz odjeljka za certifikate.
- Provjerite da li Adobe Reader prepoznaje digitalne ID-ove sustava Windows.
Na primjer, u Adobeu možete navesti "Windows digitalne ID-ove" kako biste potvrdili da je certifikat kartice ispravno prikazan. Ako se ne prikaže, problem bi mogao biti u middlewareu, čitaču, PIN-u ili nekoj postavci integracije sistema.
Pomoćni programi i profesionalni menadžeri certifikata
Sami certifikati ne čine čuda. Da biste iz njih izvukli maksimum, potrebne su vam aplikacije koje ih koriste za autentifikaciju, potpisivanje dokumenata, šifriranje ili povezivanje s javnim uslugama . U Španiji postoji nekoliko programa koji su praktično obavezni.
S jedne strane, tu je FNMT-RCM konfigurator , koji pojednostavljuje generiranje ključeva i dobijanje FNMT certifikata. Također je poznat AutoFirma , koji je razvilo Ministarstvo finansija, a koji se integrira s vladinim preglednicima i web stranicama za elektronsko potpisivanje obrazaca i dokumenata.
Mnoge od ovih aplikacija oslanjaju se na Java Runtime Environment (JRE) . Neće biti dovoljna bilo koja verzija: ponekad se preporučuju određeni rasponi (na primjer, od verzije 8 Update 45 do određenih novijih verzija). Uvijek je dobra ideja provjeriti zahtjeve svakog portala.
Tu su i uslužni programi kao što su CERES Certificate Management, PKCS#11 kriptografski moduli i specifični drajveri za rad sa kriptografskim karticama, koji dodaju kompatibilnost sa Firefoxom i drugim okruženjima ili olakšavaju promjenu PIN-a, otključavanje i pregled certifikata.
U profesionalnim okruženjima, gdje se upravlja desetinama ili stotinama certifikata (konsultantske firme, kompanije za upravljanje, advokatske kancelarije itd.), koristi se specijalizirani softver kao što su DigiCert Certificate Utility za Windows ili ADMCert . Ovi programi omogućavaju inventarizaciju certifikata, primjenu politika korištenja, kontrolu nad tim ko ih koristi, odakle i u koju svrhu, te otkrivanje problema s konfiguracijom ili predstojećih isteka.
Pomoću alata poput ovog možete konfigurirati pravila na osnovu korisnika ili grupa Active Directoryja, rasporeda, izvornih IP adresa ili aplikacija koje pozivaju certifikat. Ovo je ključno za održavanje reda i sigurnosti kada certifikati više nisu samo za izolirane korisnike.
Usluge certifikata Active Directoryja i interni autoritet za certifikaciju
U korporativnim Windows okruženjima, vrlo je uobičajeno implementirati interni certifikacijski autoritet koristeći Active Directory Certificate Services (AD CS) . To vam omogućava izdavanje certifikata za korisnike, računare, servere, VPN-ove, korporativni Wi-Fi, interno potpisivanje koda itd., bez stalnog oslanjanja na eksterni CA.
Instalacija se izvodi iz Server Managera dodavanjem uloge Active Directory Certificate Services . Čarobnjak će vas zatražiti da odaberete server, označite ulogu Certification Authority i, opcionalno, ulogu CA Web Enrollment, što će također zahtijevati dodavanje funkcija kao što je IIS.
Nakon instaliranja uloge, morate pokrenuti čarobnjaka za konfiguraciju AD CS-a. Tamo birate uloge koje želite konfigurirati (CA i CA Web Enrollment), tip CA (obično poduzeće) i tip entiteta (često korijenski CA ako je prvi) . Morat ćete odlučiti hoćete li kreirati novi privatni ključ, kriptografski algoritam (preporučuje se SHA-256) i veličinu ključa, kao i naziv CA i period važenja korijenskog certifikata.
Konfiguracija također uključuje putanje gdje će se pohraniti baza podataka certifikata i logovi . Preporučljivo je da ove putanje budu dobro dokumentirane, jer će vam trebati za buduće sigurnosne kopije, vraćanja i migracije.
Nakon što je CA konfiguriran, možete izdavati predloške certifikata, automatizirati upis putem GPO-a , objavljivati računalne i korisničke certifikate u Active Directoryju i kreirati kompletan ekosistem internih certifikata integriranih s vašim domenama.
S obzirom na ovaj pregled, upravljanje certifikatima i potpisima upravljačkih programa u Windowsu zahtijeva jasno razumijevanje osnova. Bitno je uvijek primjenjivati najbolje prakse: nikada ne dijeliti ključeve, kreirati sigurnosne kopije, pratiti datume isteka, opozvati certifikate ako sumnjate da nešto nije u redu i izbjegavati brisanje bilo čega bez saznanja o čemu se radi . S ovom osnovom, snalaženje u ovom području prestaje biti glavobolja i postaje jednostavno još jedan dio svakodnevne administracije sistema.
