Windows определяет сертификат как корневой центр сертификации

Вопрос: Как заставить Windows определить сертификат как подходящий для установки в «Доверенные корневые центры сертификации»?

Справочная информация: я создаю внутренний сайт и хотел бы, чтобы пользователи могли загружать корневой сертификат сервера и устанавливать его в своем хранилище сертификатов Windows в качестве «доверенного корневого центра сертификации». Когда пользователь открывает файл сертификата, он попадает на обычный экран проверки сертификата.

введите здесь описание изображения

Затем пользователь может нажать «Установить сертификат», а затем выбрать «Автоматически выбирать хранилище сертификатов на основе типа сертификата».

При выборе этого параметра сертификат неизбежно устанавливается в «Промежуточные центры сертификации» вместо «Доверенные корневые центры сертификации».

введите здесь описание изображения

Корневой сертификат создается в OpenSSL как самозаверяющий корневой сертификат. openssl x509 сообщает:

    X509v3 extensions:
        X509v3 Basic Constraints: critical
            CA:TRUE, pathlen:1

Я не удивлюсь, если Windows запретит автоматическую установку сертификатов в качестве доверенного корневого центра сертификации из соображений безопасности, но я просто не могу найти документацию на сайтах Microsoft или MSDN, объясняющую, как их «автоматический выбор» работает. Буду признателен за любые разъяснения.


x509certificate truststore windows-security
person ChaimKut    schedule 10.05.2015    source источник

Ответы (1)


arrow_upward
2
arrow_downward

Я не удивлюсь, если Windows запретит автоматическую установку сертификатов в качестве доверенного корневого центра сертификации из соображений безопасности, но я просто не могу найти документацию на сайтах Microsoft или MSDN, объясняющую, как их «автоматический выбор» работает.

вы столкнулись с конкретной проблемой. Microsoft не разрешает пользователям автоматически устанавливать сертификаты ЦС в хранилище доверенных корневых ЦС. Вы должны поручить пользователям установить этот сертификат в соответствующем хранилище.

p.s. Мне совершенно не нравится, как вы распространяете свои корневые сертификаты. Как пользователи узнают, что это ваш сертификат? Откуда они знают, что вы не попытаетесь выдать себя за какой-либо другой веб-сайт? Вся идея выглядит плохо. Если клиентов много, то я бы рекомендовал купить самый дешевый SSL-сертификат у коммерческого провайдера.

person Crypt32    schedule 10.05.2015
comment
Спасибо за ваш полезный ответ. У вас есть источник, подтверждающий ваше первое утверждение? - person Maximilian Hils; 29.04.2016
comment
К сожалению, я не уверен, что это задокументировано. По крайней мере, я никогда не видел такой ссылки. Я просто знаю, как это работает, по своему опыту, и такое поведение кажется мне очевидным. - person Crypt32; 29.04.2016