עדכון רשימה של אישורי בסיס מהימנים ב- Windows

כל גירסאות Windows כוללות תכונה מוכללת לעדכון אוטומטי של אישורי בסיס מאתרי האינטרנט של Microsoft. MSFT, כחלק מתוכנית אישורי הבסיס המהימנים של Microsoft, מתחזק ומפרסם רשימה של אישורים מהימנים עבור לקוחות והתקני Windows במאגר המקוון שלו. אם האישור המאומת בשרשרת האישורים שלו מפנה לאישור הבסיס המשתתף בתוכנית זו, המערכת תוריד באופן אוטומטי אישור בסיס זה משרתי Windows Update ותוסיף אותו לשרתים המהימנים.

במאמר זה, ננסה לגלות כיצד לעדכן באופן ידני את רשימת אישורי הבסיס ב- TrustedRootCA ברשתות מנותקות (מבודדות) או במחשבים/שרתים ללא גישה ישירה לאינטרנט.

ניהול אישורי בסיס מהימנים ב- Windows 10 ו- Windows 11

כיצד ניתן לראות את רשימת אישורי הבסיס המהימנים במחשב Windows?

1. כדי לפתוח את מאגר אישורי הבסיס של מחשב שבו פועל Windows 11/10/8.1/7 או Windows Server 2022/2019/2016, הפעל את מסוף mmc.exe;

2. בחר File -> Add/Remove Snap-in, בחר Certificates (certmgr) ברשימת יישומי ה- Snap-in -> Add;

3. בחר שברצונך לנהל אישורים של חשבון מחשב מקומי;

   

4. הבא -> אישור -> אישור;

5. הרחב את הצומת אישורים -> Trusted Root Certification Authorities Store. סעיף זה מכיל את רשימת אישורי הבסיס המהימנים במחשב שלך.

במסוף mmc, באפשרותך להציג מידע אודות כל אישור או להסיר אותו מאישורים מהימנים.

באפשרותך גם לקבל רשימה של אישורי בסיס מהימנים עם תאריכי התפוגה שלהם באמצעות PowerShell:

Get-Childitem cert:\LocalMachine\root |format-list

באפשרותך לפרט את האישורים שפג תוקפם, או את האישורים שתוקפם פג ב- 60 הימים הבאים:

Get-ChildItem cert:\LocalMachine\root|Where {$_.NotAfter -lt  (Get-Date).AddDays(60)}|select NotAfter, Subject

באפשרותך להעביר ידנית את קובץ אישור הבסיס בין מחשבי Windows באמצעות האפשרויות ייצוא/ייבוא.

1. באפשרותך לייצא כל אישור ל- . קובץ CER על ידי לחיצה עליו ובחירה באפשרות כל המשימות -> ייצוא;

   

2. באפשרותך לייבא אישור זה למחשב אחר באמצעות האפשרות All Tasks -> Import.

   

כיצד להשבית/להפעיל עדכון אוטומטי של אישורי בסיס ב- Windows?

כפי שהזכרנו, Windows מעדכן באופן אוטומטי אישורי בסיס. באפשרותך להפוך חידוש אישור לזמין או ללא זמין ב- Windows באמצעות GPO או הרישום.

פתח את עורך המדיניות הקבוצתית המקומית (gpedit.msc) ועבור אל תצורת מחשב -> תבניות מנהליות -> מערכת -> ניהול תקשורת אינטרנט -> תקשורת אינטרנט.

האפשרות בטל עדכון אוטומטי של אישורי בסיס בסעיף זה מאפשרת לך להפוך עדכון אוטומטי של אישורי בסיס ללא זמין באמצעות אתרי Windows Update. כברירת מחדל, מדיניות זו אינה מוגדרת ו- Windows מנסה תמיד לחדש אישורי בסיס באופן אוטומטי.

אם אפשרות GPO זו אינה מוגדרת ואישורי הבסיס אינם מתחדשים באופן אוטומטי, בדוק אם הגדרה זו זמינה באופן ידני ברישום. בדוק את הערך של פרמטר הרישום באמצעות PowerShell:

Get-ItemProperty -Path 'HKLM:\Software\Policies\Microsoft\SystemCertificates\AuthRoot' -Name DisableRootAutoUpdate

אם הפקודה מחזירה שהערך של פרמטר הרישום DisableRootAutoUpdate הוא 1, העדכון של אישורי הבסיס אינו זמין במחשב שלך. כדי להפעיל אותו, שנה את ערך הפרמטר ל- 0.

Certutil: הורדת אישורי בסיס מהימנים מ- Windows Update

ניתן להשתמש בכלי CLI Certutil.exe לניהול אישורים (שהוצג ב- Windows 10, עבור Windows 7 זמין כעדכון נפרד). ניתן להשתמש בו כדי להוריד רשימה עדכנית של אישורי בסיס מ- Windows Update ולשמור אותה בקובץ SST.

כדי ליצור קובץ SST במחשב שבו פועל Windows 10 או 11 ובעל גישה ישירה לאינטרנט, פתח את שורת הפקודה עם הרשאות מלאות והפעל את הפקודה:

certutil.exe -generateSSTFromWU C:\PS\roots.sst

Updated SST file.
CertUtil: -generateSSTFromWU command completed successfully.

כתוצאה מכך, קובץ SST המכיל רשימה עדכנית של אישורי בסיס יופיע בספריית היעד. לחץ פעמיים כדי לפתוח אותו. קובץ זה הוא גורם מכיל המכיל אישורי בסיס מהימנים.

כפי שניתן לראות, נפתח יישום Snap-in מוכר של 'ניהול אישורים', שממנו באפשרותך לייצא כל אחד מהאישורים שקיבלת. במקרה שלי, היו 358 פריטים ברשימת התעודות. ברור, זה לא רציונלי לייצא את האישורים ולהתקין אותם אחד אחד.

certutil -syncWithWU

באפשרותך להשתמש בקובץ script של PowerShell כדי להתקין את כל האישורים מקובץ SST ולהוסיף אותם לרשימת אישורי הבסיס המהימנים במחשב:

$sstStore = ( Get-ChildItem -Path C:\ps\rootsupd\roots.sst )
$sstStore | Import-Certificate -CertStoreLocation Cert:\LocalMachine\Root

הפעל את יישום ה- snap-in certmgr.msc וודא שכל האישורים נוספו לרשות אישורי הבסיס המהימנה. בדוגמה שלי ב- Windows 11, מספר אישורי הבסיס גדל מ- 34 ל- 438.

רשימת אישורים מהימנים (STL) ב- Windows

רשימת אמון אישורים (CTL) היא פשוט רשימה של נתונים (כגון קודי hash של אישורים) החתומים על-ידי גורם מהימן (על-ידי Microsoft במקרה זה). לקוח Windows מוריד מעת לעת מ- Windows Update CTL זה, המאחסן את קודי ה- hash של כל רשויות האישורים המשמשות כבסיס מהימנות. יש להבין כי CTL זה אינו מכיל את האישורים עצמם, אלא רק את הגיבובים והתכונות שלהם (לדוגמה, שם ידידותי). מכשירי Windows יכולים להוריד אישור מהימן מרשימת אישורים לפי דרישה.

באפשרותך להוריד ולהתקין את קובץ CTL באופן ידני. לשם כך, הורד את http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab הקבצים (מתעדכן פעמיים בחודש). באמצעות כל archiver (או אפילו סייר Windows), לפרוק את התוכן של ארכיון authrootstl.cab. הוא מכיל קובץ authroot.stl יחיד.

הקובץ Authroot.stl הוא גורם מכיל עם רשימה של טביעות אצבע מהימנות של אישורים בתבנית רשימת אישורים מהימנים.

באפשרותך להתקין קובץ CTL זה לרשות אישורי בסיס מהימנה באמצעות הפקודה certutil:

certutil -enterprise -f -v -AddStore "Root" "C:\PS\authroot.stl"

root "Trusted Root Certification Authorities"
CTL 0 added to store.
CertUtil: -addstore command completed successfully.

באפשרותך גם לייבא אישורים באמצעות מסוף ניהול האישורים (Trust Root Certification Authorities -> Certificates -> All Tasks -> Import). ציין את הנתיב לקובץ STL עם טביעות אצבע של אישור.

לאחר הפעלת הפקודה, מופיע מקטע חדש רשימת אמון אישורים בגורם המכיל של רשויות אישורי בסיס מהימנות של מסוף מנהל האישורים (

certmgr.msc

).

באותו אופן, באפשרותך להוריד ולהתקין את רשימת האישורים שבוטלו (אסורים) שהוסרו מתוכנית אישורי הבסיס. לשם כך, הורד את קובץ disallowedcertstl.cab (http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab), חלץ אותו והוסף אותו למאגר אישורים לא מהימנים באמצעות הפקודה:

certutil -enterprise -f -v -AddStore disallowed "C:\PS\disallowedcert.stl"

עדכון אישורי בסיס מהימנים באמצעות GPO בסביבה מבודדת

אם עליך המשימה לעדכן באופן קבוע אישורי בסיס בתחום Active Directory מבודד באינטרנט, קיימת סכימה מעט מורכבת יותר לעדכון מאגרי אישורים מקומיים במחשבים המצורפים לתחום באמצעות מדיניות קבוצתית. באפשרותך לקבוע תצורה של עדכוני אישור בסיס במחשבי משתמשים ברשתות Windows המנותקות במספר דרכים.

הדרך הראשונה מניחה שאתה מוריד ומעתיק באופן ידני באופן קבוע קובץ עם אישורי בסיס לרשת המבודדת שלך. באפשרותך להוריד את הקובץ עם אישורי הבסיס הנוכחיים של Microsoft באופן הבא:

certutil.exe -generateSSTFromWU roots.sst

לאחר מכן ניתן לפרוס את אישורי הבסיס מקובץ זה באמצעות SCCM או PowerShell Startup script ב- GPO:

$sstStore = (Get-ChildItem -Path \\fr-dc01\SYSVOL\a-d.site\rootcert\roots.sst )
$sstStore | Import-Certificate -CertStoreLocation Cert:\LocalMachine\Root

הדרך השנייה היא להוריד את אישורי הבסיס בפועל של Microsoft באמצעות הפקודה:

Certutil -syncWithWU -f \\fr-dc01\SYSVOL\a-d.site\rootcert\

מספר קבצי אישור בסיס (תבנית קובץ CRT) יופיעו בתיקיית הרשת המשותפת שצוינה (כולל קבצים authrootstl.cab, disallowedcertstl.cab, disallowedcert.sst, thumbprint.crt).

לאחר מכן השתמש בהעדפות המדיניות הקבוצתית כדי לשנות את הערך של פרמטר הרישום RootDirURL תחת HKLM\Software\Microsoft\SystemCertificates\AuthRoot\AutoUpdate. פרמטר זה אמור להצביע על תיקיית הרשת המשותפת שממנה מחשבי Windows שלך יקבלו אישורי בסיס חדשים. הפעל את מסוף GPMC.msc התחום, צור GPO חדש, עבור למצב מדיניות עריכה והרחב את הקטע תצורת מחשב -> העדפות -> הגדרות Windows -> רישום. צור מאפיין רישום חדש עם ההגדרות הבאות:

• פעולה: עדכון

• כוורת: HKLM

• נתיב מפתח: Software\Microsoft\SystemCertificates\AuthRoot\AutoUpdate

• שם ערך: RootDirURL

• סוג: REG_SZ

• נתוני ערך: file://\\fr-dc01\SYSVOL\a-d.siteootcert\

נותר לקשר מדיניות זו ב- OU של המחשב ולאחר עדכון הגדרות GPO בלקוח, בדוק אם קיימים אישורי שורש חדשים ב- certstore.

כיצד לעדכן אישורי בסיס מהימנים ב- Windows 7?

למרות העובדה כי Windows 7 נמצא כעת בשלב סיום התמיכה, משתמשים וחברות רבים עדיין להשתמש בו.

לאחר התקנת תמונה נקייה של Windows 7, ייתכן שתגלה כי תוכניות וכלים מודרניים רבים אינם פועלים על זה כפי שהם חתומים עם אישורים חדשים. בפרט, היו תלונות כי .Net Framework 4.8 או Microsoft Visual Studio (vs_Community.exe) לא ניתן להתקין ב- Windows 7 SP1 x64 מבלי לעדכן אישורי בסיס.

The installer manifest failed signature validation.

או

NET Framework has not been installed because a certificate chain could not be built to a trusted root authority.

כדי לעדכן אישורי בסיס ב- Windows 7, תחילה עליך להוריד ולהתקין KB2813430 עדכון MSU (https://support.microsoft.com/en-us/topic/an-update-is-available-that-enables-administrators-to-update-trusted-and-disallowed-ctls-in-disconnected-environments-in-windows-0c51c702-fdcc-f6be-7089-4585fad729d6)

לאחר מכן, באפשרותך להשתמש ב- certutil כדי ליצור קובץ SST עם אישורי שורש (במחשב הנוכחי או במחשב אחר):

certutil.exe -generateSSTFromWU c:\ps\roots.sst

כעת באפשרותך לייבא אישורים לאישורים מהימנים:

הפעל MMC -> להוסיף אישורי Snap-in -> -> חשבון מחשב > מחשב מקומי. לחץ באמצעות לחצן העכבר הימני על רשות אישורי בסיס מהימנה, כל המשימות -> ייבוא, אתר את קובץ ה- SST שלך (בסוג הקובץ בחר מאגר אישורים טוריים של Microsoft — *.sst) -> פתח -> מקם את כל האישורים במאגר הבא -> רשויות אישורי בסיס מהימנות.

עדכון אישורי בסיס ב- Windows XP באמצעות הכלי Rootsupd.exe

ב- Windows XP, כלי השירות rootsupd.exe שימש לעדכון אישורי הבסיס של המחשב. רשימת תעודות השורש ותעודות המבוטלות בה עודכנה באופן שוטף. הכלי הופץ כעדכון נפרד KB931125 (עדכון עבור אישורי בסיס). בואו נראה אם אנחנו יכולים להשתמש בו עכשיו.

1. הורד את כלי השירות rootsupd.exe באמצעות הקישור הבא http://download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/rootsupd.exe. כרגע (ינואר 2021) הקישור לא עובד, מיקרוסופט החליטה להסיר אותו מהציבור. היום אפשר להוריד את rootsupd.exe מאתר קספרסקי — http://media.kaspersky.com/utilities/CorporateUtilities/rootsupd.zip;

2. כדי להתקין את אישורי הבסיס של Windows, פשוט הפעל את קובץ rootsupd.exe. אך ננסה לבחון את תוכנו בזהירות רבה יותר. חלץ את האישורים מקובץ ההפעלה באמצעות הפקודה:

   rootsupd.exe /c /t: C:\PS\rootsupd

   

3. אישורים מאוחסנים בקבצי SST, כמו authroots.sst, delroot.sst וכו '. כדי להסיר או להתקין אישורים, באפשרותך להשתמש בפקודות הבאות:

   updroots.exe authroots.sst
   updroots.exe -d delroots.sst

עם זאת, כפי שניתן לראות, קבצי אישור אלה נוצרו ב -4 באפריל 2013 (כמעט שנה לפני תום התמיכה הרשמית עבור Windows XP). לפיכך, מאז הכלי לא עודכן ולא ניתן להשתמש בו כדי להתקין אישורים עדכניים.

אבל אתה יכול להשתמש בכלי cerutil ב- Windows 10/11 כדי להוריד root.sst, להעתיק את הקובץ ב- Windows XP ולהתקין את האישור באמצעות updroots.exe:

updroots.exe c:\temp\roots.sst

במאמר זה, בחנו מספר דרכים לעדכון אישורי בסיס מהימנים במחשבי רשת של Windows המבודדים מהאינטרנט (סביבה מנותקת).