Сертификаты

В данном разделе обсуждаются сертификаты и оснастка «Сертификаты», позволяющая управлять сертификатами пользователей, компьютеров или служб.

  • Справка по выполнению конкретных задач содержится в разделе Инструкции.
  • Общие сведения см. в разделе Основные понятия.


Инструкции

  • Добавление оснастки «Сертификаты» на консоль управления (MMC)
  • Установка параметров отображения оснастки «Сертификаты»
  • Запрос сертификатов
  • Управление отдельным сертификатом
  • Импорт и экспорт сертификатов
  • Использование веб-страниц службы сертификации Windows 2000
  • Управление доверием сертификатов


Добавление оснастки «Сертификаты» на консоль управления (MMC)

  • Управление сертификатами учетной записи пользователя
  • Управление сертификатами компьютера
  • Управление сертификатами службы


Управление сертификатами учетной записи пользователя

Рисунок Microsoft Windows

Чтобы управлять сертификатами учетной записи пользователя

  1. Нажмите кнопку Пуск, выберите команду Выполнить, введите mmc и нажмите кнопку OK.
  2. В меню Консоль выберите команду Добавить или удалить оснастку и нажмите кнопку Добавить.
  3. В поле Оснастка дважды щелкните Сертификаты.
    • В случае входа в систему в качестве администратора установите флажок моей учетной записи пользователя и нажмите кнопку Готово.
    • При входе в систему в качестве пользователя оснастка «Сертификаты» загружается автоматически.
  4. Нажмите кнопку Закрыть.

    В списке выбранных оснасток для новой консоли появится пункт Сертификаты - текущий пользователь.

  5. Если на консоль не нужно добавлять другие оснастки, нажмите кнопку OK.
  6. Чтобы сохранить эту консоль, в меню Консоль выберите команду Сохранить.

Примечания

  • Чтобы переключаться между управлением сертификатами учетной записи пользователя, компьютера и службы, необходимо добавить отдельные экземпляры оснастки «Сертификаты» на консоль.
  • Для получения дополнительных сведений о создании и использовании консолей MMC в меню Справка выберите команду Вызов справки.

См. также


Управление сертификатами компьютера

Чтобы управлять сертификатами компьютера

  1. Войдите в систему с учетной записью администратора.
  2. Нажмите кнопку Пуск, выберите команду Выполнить, введите mmc и нажмите кнопку OK.
  3. В меню Консоль выберите команду Добавить или удалить оснастку и нажмите кнопку Добавить.
  4. В поле Оснастка дважды щелкните Сертификаты, установите переключатель в положение учетной записи компьютера и нажмите кнопку Далее.
  5. Выполните одно из следующих действий.
    • Чтобы управлять сертификатами локального компьютера, установите переключатель в положение локальным компьютером и нажмите кнопку Готово.
    • Чтобы управлять сертификатами удаленного компьютера, установите переключатель в положение другим компьютером и введите имя компьютера или нажмите кнопку Обзор для выбора компьютера, затем нажмите кнопку Готово.
  6. Нажмите кнопку Закрыть.

    В списке выбранных оснасток для новой консоли появится элемент Сертификаты (имя_компьютера).

  7. Если на консоль не нужно добавлять другие оснастки, нажмите кнопку OK.
  8. Чтобы сохранить эту консоль, в меню Консоль выберите команду Сохранить.

Примечания

  • Чтобы управлять сертификатами другого компьютера, можно или создать другой экземпляр оснастки «Сертификаты» на консоли, или щелкнуть правой кнопкой мыши пункт Сертификаты (имя_компьютера) и выбрать Подключение к другому компьютеру.
  • Для получения дополнительных сведений о создании и использовании консолей MMC в меню Справка выберите команду Вызов справки.

См. также


Управление сертификатами службы

Чтобы управлять сертификатами службы

  1. Войдите в систему с учетной записью администратора.
  2. Нажмите кнопку Пуск, выберите команду Выполнить, введите mmc и нажмите кнопку OK.
  3. В меню Консоль выберите команду Добавить или удалить оснастку и нажмите кнопку Добавить.
  4. В поле Оснастка дважды щелкните элемент Сертификаты, установите переключатель в положение учетной записи службы и нажмите кнопку Далее.
  5. Выполните одно из следующих действий.
    • Чтобы управлять сертификатами служб на локальном компьютере, установите переключатель в положение локальным компьютером и нажмите кнопку Далее.
    • Чтобы управлять сертификатами удаленного компьютера, установите переключатель в положение другим компьютером и введите имя компьютера или нажмите кнопку Обзор для выбора компьютера, затем нажмите кнопку Далее.
  6. Щелкните название службы, сертификатами которой нужно управлять.
  7. Нажмите кнопку Готово, затем кнопку Закрыть.

    8. В списке выбранных оснасток для новой консоли появится запись Сертификаты — служба (имя_службы) на имя_компьютера.

  8. Если на консоль не нужно добавлять другие оснастки, нажмите кнопку OK.
  9. Чтобы сохранить эту консоль, в меню Консоль выберите команду Сохранить.

Примечания

  • Чтобы перейти к управлению сертификатами для службы на другом компьютере, либо создайте другой экземпляр оснастки «Сертификаты» на консоли, либо щелкните правой кнопкой мыши запись Сертификаты — служба (имя_службы) на имя_компьютера и выберите команду Подключение к другому компьютеру.
  • Для получения дополнительных сведений о создании и использовании консолей MMC в меню «Справка» выберите команду Вызов справки.

См. также


Установка параметров отображения оснастки «Сертификаты»

  • Просмотр хранилищ сертификатов в режиме «Логическое хранилище»
  • Просмотр хранилищ сертификатов в режиме «Назначение»
  • Отображение структуры хранилища сертификатов
  • Отображение архива сертификатов


Просмотр хранилищ сертификатов в режиме «Логическое хранилище»

Чтобы просмотреть хранилища сертификатов в режиме «Логическое хранилище»

  1. Откройте оснастку «Сертификаты».

    Где?

    • Корень консоли
    • Сертификаты – Держатель сертификата
    • Логическое хранилище
    • Сертификаты
  2. Щелкните Сертификаты - держатель сертификата, где держатель сертификата — это экземпляр оснастки «Сертификаты» (пользователь, компьютер или служба).
  3. Выберите в меню Вид команду Параметры.
  4. Установите переключатель Упорядочить сертификаты в положение по логическим хранилищам.

Примечание

  • Чтобы открыть оснастку «Сертификаты», нажмите кнопку Пуск, выберите команду Выполнить и введите mmc, затем нажмите кнопку OK. В меню Консоль выберите команду Открыть, далее в дереве выберите необходимую консоль и нажмите кнопку Открыть. Затем в дереве консоли щелкните папку Сертификаты.
  • Если еще не была создана консоль MMC, содержащая оснастку «Сертификаты», щелкните ссылку «См. также».

  • При просмотре содержимого хранилища сертификатов в режиме «Логическое хранилище» в некоторых случаях отображаются две копии одного сертификата из хранилища. Это происходит потому, что один и тот же сертификат хранится в разных физических хранилищах внутри одного логического, например в физических хранилищах «Реестр» и «Предприятие» в логическом хранилище «Доверенные корневые центры сертификации». При объединении содержимого физических хранилищ сертификатов в одно представление логического хранилища отображаются все экземпляры одного и того же сертификата.

    Чтобы убедиться, что приведенная причина верна, настройте параметр просмотра для отображения физических хранилищ сертификатов; после этого видно, что в отдельных физических хранилищах сертификатов в одном логическом хранилище хранится один и тот же сертификат. Чтобы убедиться, что это один и тот же сертификат, сравните серийные номера.

См. также


Просмотр хранилищ сертификатов в режиме «Назначение»

Чтобы просмотреть хранилища сертификатов в режиме «Назначение»

  1. Откройте оснастку «Сертификаты».
  2. В дереве консоли щелкните Сертификаты - держатель сертификата, где держатель сертификата — это экземпляр оснастки «Сертификаты» (пользователь, компьютер или служба).
  3. Выберите в меню Вид команду Параметры.
  4. Установите переключатель Упорядочить сертификаты в положение Назначение сертификата.

Примечания

  • Чтобы открыть оснастку «Сертификаты», нажмите кнопку Пуск, выберите команду Выполнить и введите mmc затем нажмите кнопку OK. В меню Консоль выберите команду Открыть, далее в дереве консоли выберите необходимое, и нажмите кнопку Открыть. Затем в дереве консоли щелкните папку Сертификаты.
  • Если еще не была создана консоль MMC, содержащая оснастку «Сертификаты», щелкните ссылку «См. также».

См. также


Отображение структуры хранилища сертификатов

Чтобы отобразить структуру хранилища сертификатов

  1. Откройте оснастку «Сертификаты».
  2. В дереве консоли щелкните Сертификаты - держатель сертификата, где держатель сертификата — это экземпляр оснастки «Сертификаты» (пользователь, компьютер или служба).
  3. Выберите в меню Вид команду Параметры.
  4. Установите переключатель Упорядочить сертификаты в положение по логическим хранилищам.
  5. В группе Также показывать установите флажок физические хранилища.

Примечания

  • Чтобы открыть оснастку «Сертификаты», нажмите кнопку Пуск, выберите команду Выполнить и введите mmc затем нажмите кнопку OK. В меню Консоль выберите команду Открыть, далее в дереве консоли выберите необходимое, и нажмите кнопку Открыть. Затем в дереве консоли щелкните папку Сертификаты.
  • Отображение структуры хранилища сертификатов рекомендуется только для опытных пользователей и разработчиков.
  • Если еще не была создана консоль MMC, содержащая оснастку «Сертификаты», щелкните ссылку «См. также».

См. также


Отображение архива сертификатов

Чтобы отобразить архив сертификатов

  1. Откройте оснастку «Сертификаты».
  2. В дереве консоли щелкните Сертификаты - держатель сертификата, где держатель сертификата — это экземпляр оснастки «Сертификаты» (пользователь, компьютер или служба).
  3. Выберите в меню Вид команду Параметры.
  4. В группе Также показывать установите флажок архив сертификатов.

Примечания

  • Чтобы открыть оснастку «Сертификаты», нажмите кнопку Пуск, выберите команду Выполнить и введите mmc затем нажмите кнопку OK. В меню Консоль выберите команду Открыть, далее в дереве консоли выберите необходимое, и нажмите кнопку Открыть. Затем в дереве консоли щелкните папку Сертификаты.
  • Архивные сертификаты — это сертификаты, которые просрочены или были обновлены. В большинстве случаев рекомендуется сохранять архивные сертификаты, а не удалять их. Например, необходимо сохранять архивные сертификаты для проверки цифровых подписей на старых документах, подписанных с помощью ключа из просроченного или обновленного сертификата.
  • Если еще не была создана консоль MMC, содержащая оснастку «Сертификаты», щелкните ссылку «См. также».

См. также


Запрос сертификатов

  • Запрос сертификата
  • Запрос сертификата с прежним ключом
  • Обновление сертификата с новым ключом
  • Обновление сертификата с прежним ключом


Запрос сертификата

Чтобы запросить сертификат

  1. Откройте оснастку «Сертификаты».
  2. В дереве консоли щелкните экземпляр оснастки «Сертификаты» (например Сертификаты – текущий_пользователь или Сертификаты имя_компьютера).
  3. Выполните одно из следующих действий.
    • Если включен режим просмотра логических хранилищ, в области сведений дважды щелкните папку Личные и затем нажмите кнопку Сертификаты.
    • Если включен режим просмотра назначения сертификата, дважды щелкните соответствующее назначение сертификата в столбце Назначение.
  4. В меню Действие выберите команду Все задачи, затем выберите Запросить новый сертификат, чтобы открыть мастер запроса сертификата.
  5. В мастере запроса сертификата выберите следующие сведения.
    • Тип запрашиваемого сертификата.
    • (Если установлен флажок Дополнительно.) Используемый поставщик службы криптографии (CSP).
    • (Если установлен флажок Дополнительно.) Необходимо выбрать длину (в битах) открытого ключа, связанного с сертификатом.
    • (Если установлен флажок Дополнительно.) Можно выбрать включение усиленной защиты закрытого ключа. Разрешение усиленной защиты закрытого ключа гарантирует вывод запроса пароля при каждом использовании закрытого ключа. Это полезно, когда надо быть уверенным в том, что закрытый ключ не используется без ведома владельца.
    • (Если установлен флажок Дополнительно.) Если доступно несколько центров сертификации, название центра сертификации, который выдаст сертификат.
    • Понятное имя для нового сертификата.
  6. После успешного завершения работы мастера запроса сертификата нажмите кнопку OK.

Примечания

  • Чтобы открыть оснастку «Сертификаты», нажмите кнопку Пуск, выберите команду Выполнить и введите mmc, затем нажмите кнопку OK. В меню Консоль выберите команду Открыть, далее в дереве выберите необходимую консоль и нажмите кнопку Открыть. Затем в дереве консоли щелкните узел Сертификаты.
  • Если еще не была создана консоль MMC, содержащая оснастку «Сертификаты», щелкните ссылку «См. также».
  • Нельзя запросить сертификат для службы.
  • Данная процедура может быть использована для запроса сертификатов только у центра сертификации предприятия. Чтобы запросить сертификаты в самостоятельном центре сертификации, необходимо это сделать через веб-страницы. Центр сертификации Windows имеет собственные веб-страницы, размещенные по адресу http://имя_сервера/certsrv, где имя_сервера — имя сервера, на котором размещен центр сертификации.
  • Чтобы запросить сертификат в стандарте цифровой подписи (DSS) от центра сертификации предприятия, необходимо выбрать шаблон сертификата «Только подпись пользователя» в мастере запроса сертификата.

См. также


Запрос сертификата с прежним ключом

Чтобы запросить сертификат с прежним ключом

  1. Откройте оснастку «Сертификаты».
  2. В дереве консоли в папке Личные щелкните пункт Сертификаты.

    Где?

    • Сертификаты – Держатель сертификата
    • Личные
    • Сертификаты
  3. В области сведений щелкните сертификат, связанный с закрытым ключом, который необходимо связать с новым сертификатом.
  4. В меню Действие выберите команду Все задачи, затем выберите Запросить сертификат с прежним ключом, чтобы открыть мастер запроса сертификата.
  5. В мастере запроса сертификата выберите следующие сведения.
    • Тип запрашиваемого сертификата.
    • (Если установлен флажок Дополнительно.) Если доступно несколько центров сертификации, — название центра сертификации, который выдаст сертификат.
    • Понятное имя для нового сертификата.
  6. После успешного завершения работы мастера запроса сертификата нажмите кнопку OK.

Примечания

  • Чтобы открыть оснастку «Сертификаты», нажмите кнопку Пуск, выберите команду Выполнить и введите mmc, затем нажмите кнопку OK. В меню Консоль выберите команду Открыть, далее в дереве выберите необходимую консоль и нажмите кнопку Открыть. Затем в дереве консоли щелкните узел Сертификаты.
  • Если еще не была создана консоль MMC, содержащая оснастку «Сертификаты», щелкните ссылку «См. также».
  • Чтобы эта процедура была выполнима, сертификаты должны просматриваться в режиме логических хранилищ сертификатов. Дополнительные сведения находятся в разделе «См. также».
  • Данная процедура может быть использована для запроса сертификатов только у центра сертификации предприятия. Чтобы запросить сертификаты в самостоятельном центре сертификации, необходимо это сделать через веб-страницы. Центр сертификации Windows имеет собственные веб-страницы, размещенные по адресу http://имя_сервера/certsrv, где имя_сервера — имя сервера, на котором размещен центр сертификации.

См. также


Обновление сертификата с новым ключом

Чтобы обновить сертификат с новым ключом

  1. Откройте оснастку «Сертификаты».
  2. В дереве консоли в папке Личные щелкните элемент Сертификаты.

    Где?

    • Сертификаты – Держатель сертификата
    • Личные
    • Сертификаты
  3. В области сведений щелкните сертификат, который нужно обновить.
  4. В меню Действие выберите команду Все задачи, затем выберите Обновить сертификат с новым ключом, чтобы открыть мастер обновления сертификатов.
  5. В мастере обновления сертификатов выполните одно из следующих действий.
    • Используйте значения по умолчанию для обновления сертификата.
    • (Только для опытных пользователей.) Укажите свои собственные параметры обновления. Необходимо знать поставщика службы криптографии (CSP) и центр сертификации, выдавший сертификат.

      Необходимо выбрать длину (в битах) открытого ключа, связанного с сертификатом.

      Можно также выбрать включение усиленной защиты закрытого ключа. Включение усиленной защиты закрытого ключа гарантирует вывод запроса пароля при каждом использовании закрытого ключа. Это полезно, когда надо быть уверенным в том, что закрытый ключ не используется без ведома владельца.

  6. После успешного завершения работы мастера обновления сертификатов нажмите кнопку OK.

Примечания

  • Чтобы открыть оснастку «Сертификаты», нажмите кнопку Пуск, выберите команду Выполнить и введите mmc, затем нажмите кнопку OK. В меню Консоль выберите команду Открыть, далее в дереве выберите необходимую консоль и нажмите кнопку Открыть. Затем в дереве консоли щелкните узел Сертификаты.
  • Если еще не была создана консоль MMC, содержащая оснастку «Сертификаты», щелкните ссылку «См. также».
  • Чтобы эта процедура была выполнима, сертификаты должны просматриваться в режиме логических хранилищ сертификатов. Дополнительные сведения находятся в разделе «См. также».
  • После обновления старый сертификат будет заархивирован. Для получения сведений о просмотре архивных сертификатов щелкните ссылку «См. также».
  • Данная процедура может быть использована для запроса сертификатов только у центра сертификации предприятия. Чтобы запросить сертификаты в самостоятельном центре сертификации, необходимо это сделать через веб-страницы. Центр сертификации Windows имеет собственные веб-страницы, размещенные по адресу http://имя_сервера/certsrv, где имя_сервера — имя сервера, на котором размещен центр сертификации.

См. также


Обновление сертификата с прежним ключом

Чтобы обновить сертификат с прежним ключом

  1. Откройте оснастку «Сертификаты».
  2. В дереве консоли в папке Личные щелкните пункт Сертификаты.

    Где?

    • Сертификаты – Держатель сертификата
    • Личные
    • Сертификаты
  3. В области сведений щелкните сертификат, который нужно обновить.
  4. В меню Действие выберите команду Все задачи, затем выберите Обновить сертификат с прежним ключом, чтобы открыть мастер обновления сертификатов.
  5. В мастере обновления сертификатов выполните одно из следующих действий.
    • Используйте значения по умолчанию для обновления сертификата.
    • Укажите свои собственные параметры обновления. Необходимо знать центр сертификации, выдавший сертификат.
  6. После успешного завершения работы мастера обновления сертификатов нажмите кнопку OK.

Примечания

  • Чтобы открыть оснастку «Сертификаты», нажмите кнопку Пуск, выберите команду Выполнить и введите mmc, затем нажмите кнопку OK. В меню Консоль выберите команду Открыть, далее в дереве выберите необходимую консоль и нажмите кнопку Открыть. Затем в дереве консоли щелкните узел Сертификаты.
  • Если еще не была создана консоль MMC, содержащая оснастку «Сертификаты», щелкните ссылку «См. также».
  • Чтобы эта процедура была выполнима, сертификаты должны просматриваться в режиме логических хранилищ сертификатов. Дополнительные сведения находятся в разделе «См. также».
  • После обновления старый сертификат будет заархивирован. Для получения сведений о просмотре архивных сертификатов щелкните ссылку «См. также».
  • Данная процедура может быть использована для запроса сертификатов только у центра сертификации предприятия. Чтобы запросить сертификаты в самостоятельном центре сертификации, необходимо это сделать через веб-страницы. Центр сертификации Windows имеет собственные веб-страницы, размещенные по адресу http://имя_сервера/certsrv, где имя_сервера — имя сервера, на котором размещен центр сертификации.

См. также


Управление отдельным сертификатом

  • Просмотр сертификата
  • Поиск сертификатов
  • Перемещение сертификата
  • Копирование сертификата
  • Удаление сертификата
  • Изменение свойств сертификата


Просмотр сертификата

Чтобы просмотреть сертификат

  1. Откройте оснастку «Сертификаты».
  2. Выполните одно из следующих действий.
    • Если включен режим просмотра логических хранилищ, в дереве консоли щелкните Сертификаты.

      Где?

      • Сертификаты – Держатель сертификата
      • Логическое хранилище
      • Сертификаты
    • Если включен режим просмотра назначения сертификата, в дереве консоли щелкните Назначение.

      Где?

      • Сертификаты – Держатель сертификата
      • Назначение
  3. В области сведений дважды щелкните сертификат.

Примечания

  • Чтобы открыть оснастку «Сертификаты», нажмите кнопку Пуск, выберите команду Выполнить и введите mmc затем нажмите кнопку OK. В меню Консоль выберите команду Открыть, далее в дереве выберите необходимую консоль и нажмите кнопку Открыть. Затем в дереве консоли щелкните папку Сертификаты.
  • Если еще не была создана консоль MMC, содержащая оснастку «Сертификаты», щелкните ссылку «См. также».
  • Чтобы просмотреть сведения сертификата, в области сведений щелкните сертификат правой кнопкой мыши и выберите в контекстном меню команду Открыть.

См. также


Поиск сертификатов

Чтобы найти сертификат

  1. Откройте оснастку «Сертификаты».
  2. Щелкните Сертификаты - держатель сертификата, где держатель сертификата — это экземпляр оснастки «Сертификаты» (пользователь, компьютер или служба).

    Где?

    • Дерево консоли
    • Сертификаты – Держатель сертификата
  3. В меню Действие выберите команду Поиск сертификатов.
  4. Введите условия поиска сертификатов.
    • Хранилище сертификатов, в котором будет выполняться поиск.
    • Текст, который должен быть найден.
    • Поле сертификата, в котором будет производиться поиск указанного текста. Текст можно искать в полях Кому выдан, Кем выдан, Серийный номер, Хеш MD5 и Хеш SHA1.
  5. Нажмите кнопку Найти.

Примечание

  • Чтобы открыть оснастку «Сертификаты», нажмите кнопку Пуск, выберите команду Выполнить и введите mmc затем нажмите кнопку OK. В меню Консоль выберите команду Открыть, далее в дереве выберите необходимую консоль и нажмите кнопку Открыть. Затем в дереве консоли щелкните папку Сертификаты.
  • Если еще не была создана консоль MMC, содержащая оснастку «Сертификаты», щелкните ссылку «См. также».

См. также


Перемещение сертификата

Чтобы переместить сертификат

  1. Откройте оснастку «Сертификаты».
  2. В папке логического хранилища, в котором хранится сертификат, щелкните Сертификаты.

    Где?

    • Сертификаты – Держатель сертификата
    • Логическое хранилище
    • Сертификаты
  3. В области сведений щелкните сертификат, который нужно переместить. (Чтобы переместить несколько сертификатов, нажмите клавишу CTRL и, удерживая ее нажатой, щелкните каждый из нужных сертификатов.)
  4. В меню Действие выберите команду Вырезать.
  5. Выберите логическое хранилище сертификатов, куда необходимо переместить сертификат.

    Где?

    • Сертификаты – Держатель сертификата
    • Логическое хранилище
  6. В меню Действие выберите команду Вставить.

Примечания

  • Чтобы открыть оснастку «Сертификаты», нажмите кнопку Пуск, выберите команду Выполнить и введите mmc затем нажмите кнопку OK. В меню Консоль выберите команду Открыть, далее в дереве выберите необходимую консоль и нажмите кнопку Открыть. Затем в дереве консоли щелкните папку Сертификаты.
  • Если еще не была создана консоль MMC, содержащая оснастку «Сертификаты», щелкните ссылку «См. также».
  • Чтобы эта процедура была выполнима, сертификаты должны просматриваться в режиме логических хранилищ сертификатов. Дополнительные сведения находятся в разделе «См. также».
  • В оснастке «Сертификаты» можно только перемещать объекты между хранилищами сертификатов. Например, нельзя переместить объект в папку в проводнике Windows. Для получения информации об импорте и экспорте сертификатов выберите ссылку «См. также».

См. также


Копирование сертификата

Чтобы скопировать сертификат

  1. Откройте оснастку «Сертификаты».
  2. В папке логического хранилища, в котором хранится сертификат, щелкните компонент Сертификаты.

    Где?

    • Сертификаты – Держатель сертификата
    • Логическое хранилище
    • Сертификаты
  3. В области сведений щелкните сертификат, который нужно скопировать. (Чтобы выбрать несколько сертификатов, щелкните сертификаты, удерживая нажатой клавишу CTRL.)
  4. В меню Действие выберите команду Копировать.
  5. Выберите логическое хранилище сертификатов, куда необходимо скопировать сертификат

    Где?

    • Сертификаты – Держатель сертификата
    • Логическое хранилище
  6. В меню Действие выберите команду Вставить.

Примечания

  • Чтобы открыть оснастку «Сертификаты», нажмите кнопку Пуск, выберите команду Выполнить и введите mmc затем нажмите кнопку OK. В меню Консоль выберите команду Открыть, далее в дереве выберите необходимую консоль и нажмите кнопку Открыть. Затем в дереве консоли щелкните узел Сертификаты.
  • Если еще не была создана консоль MMC, содержащая оснастку «Сертификаты», щелкните ссылку «См. также».
  • Чтобы эта процедура была выполнима, сертификаты должны просматриваться в режиме логических хранилищ сертификатов. Дополнительные сведения находятся в разделе «См. также».
  • В оснастке «Сертификаты» можно только копировать объекты в хранилища сертификатов. Например, нельзя скопировать объект в папку в проводнике Windows. Для получения информации об импорте и экспорте сертификатов выберите ссылку «См. также».

См. также


Удаление сертификата

Чтобы удалить сертификат

  1. Откройте оснастку «Сертификаты».
  2. Выполните одно из следующих действий.
    • Если включен режим просмотра логических хранилищ, в дереве консоли щелкните узел Сертификаты.

      Где?

      • Сертификаты – Держатель сертификата
      • Логическое хранилище
      • Сертификаты
    • Если включен режим просмотра назначения сертификата, в дереве консоли щелкните Назначение.

      Где?

      • Сертификаты – Держатель сертификата
      • Назначение
  3. В области сведений щелкните сертификат, который нужно удалить. (Чтобы выбрать несколько сертификатов, щелкните сертификаты, удерживая нажатой клавишу CTRL.)
  4. В меню Действие выберите команду Удалить.
  5. Нажмите кнопку Да, если действительно необходимо удалить этот сертификат без возможности восстановления.

Примечания

  • Чтобы открыть оснастку «Сертификаты», нажмите кнопку Пуск, выберите команду Выполнить и введите mmc затем нажмите кнопку OK. В меню Консоль выберите команду Открыть, далее в дереве выберите необходимую консоль и нажмите кнопку Открыть. Затем в дереве консоли щелкните узел Сертификаты.
  • Если еще не была создана консоль MMC, содержащая оснастку «Сертификаты», щелкните ссылку «См. также».
  • В некоторых случаях в дереве консоли нет папки Сертификаты. Тогда нужно перемещаться по дереву консоли, пока в области сведений не появится папка, а затем продолжить процедуру.
  • Перед удалением сертификата может возникнуть необходимость создать его резервную копию путем экспорта. Для получения описания процедуры экспорта сертификата щелкните ссылку «См. также».

См. также


Изменение свойств сертификата

Чтобы изменить свойства сертификата

  1. Откройте оснастку «Сертификаты».
  2. Выполните одно из следующих действий.
    • Если включен режим просмотра логических хранилищ, в дереве консоли в папке Логическое хранилище щелкните Сертификаты.

      Где?

      • Сертификаты – Держатель сертификата
      • Логическое хранилище
      • Сертификаты
    • Если включен режим просмотра назначения сертификата, в дереве консоли щелкните Назначение.

      Где?

      • Сертификаты – Держатель сертификата
      • Назначение
  3. В области сведений щелкните сертификат, который нужно изменить.
  4. В меню Действие выберите команду Свойства.
  5. Чтобы изменить понятное имя сертификата, в поле Понятное имя введите новое имя.
  6. Чтобы изменить описание вида панели задач, в поле Описание введите новое описание.
  7. Чтобы разрешить все назначения сертификата (на основании типа сертификата) в группе Назначения сертификата установите переключатель Разрешить все назначения для этого сертификата.
  8. Чтобы запретить все назначения сертификата, в группе Назначения сертификата установите переключатель Запретить все назначения для этого сертификата
  9. Для разрешения определенных назначений для сертификата в группе Назначения сертификата установите переключатель Разрешить только следующие назначения и установите соответствующие флажки.

Примечания

  • Чтобы открыть оснастку «Сертификаты», нажмите кнопку Пуск, выберите команду Выполнить и введите mmc затем нажмите кнопку OK. В меню Консоль выберите команду Открыть, далее в дереве выберите необходимую консоль и нажмите кнопку Открыть. Затем в дереве консоли щелкните папку Сертификаты.
  • Если еще не была создана консоль MMC, содержащая оснастку «Сертификаты», щелкните ссылку «См. также».
  • Пользователи могут изменять только свойства сертификатов в хранилище Личные.
  • Чтобы изменить свойства сертификата, дважды щелкните сертификат, затем откройте вкладку Состав и нажмите кнопку Изменить свойства.

См. также


Импорт и экспорт сертификатов

  • Импорт сертификата
  • Экспорт сертификата
  • Экспорт сертификата с закрытым ключом
  • Просмотр сертификата в файле PKCS #7


Импорт сертификата

Чтобы импортировать сертификат

  1. Откройте оснастку «Сертификаты».
  2. В дереве консоли выберите логическое хранилище для импорта сертификата.

    Где?

    • Сертификаты – Держатель сертификата
    • Логическое хранилище
  3. В меню Действие выберите команду Все задачи, затем выберите команду Импорт, чтобы открыть мастер импорта сертификата.
  4. Введите имя файла, в котором находится сертификат для импорта. (Также можно нажать кнопку Обзор и найти файл.)
  5. Если это файл PKCS #12, выполните следующие действия.
    • Введите пароль для шифрования закрытого ключа.
    • (Необязательно.) Для использования усиленной защиты закрытого ключа установите флажок Включить усиленную защиту закрытого ключа.
    • (Необязательно) Если в будущем необходимо заархивировать или переместить ключи установите флажок Пометить ключ как экспортируемый.
  6. Выполните одно из следующих действий.
    • Выберите Автоматически выбрать хранилище на основе типа сертификата, если сертификат должен быть автоматически помещен в хранилище сертификатов соответствующего типа.
    • Чтобы определить, где находится сертификат выберите Поместить все сертификаты в следующее хранилище и нажмите кнопку Обзор, затем найдите хранилище сертификатов для поиска.

Примечания

  • Чтобы открыть оснастку «Сертификаты», нажмите кнопку Пуск, выберите команду Выполнить и введите mmc затем нажмите кнопку OK. В меню Консоль выберите команду Открыть, далее в дереве выберите необходимую консоль и нажмите кнопку Открыть. Затем в дереве консоли щелкните папку Сертификаты.
  • Если еще не была создана консоль MMC, содержащая оснастку «Сертификаты», щелкните ссылку «См. также».
  • Чтобы эта процедура была выполнима, сертификаты должны просматриваться в режиме логических хранилищ сертификатов. Дополнительные сведения находятся в разделе «См. также».
  • Сертификат может быть импортирован в любое логическое хранилище. В большинстве случаев сертификаты импортируются в личное хранилище или в хранилище доверенных корневых центров сертификации, в зависимости от того, предназначен ли сертификат для пользователя или это — сертификат корневого центра сертификации.
  • Разрешение усиленной защиты закрытого ключа гарантирует вывод запроса пароля при каждом использовании закрытого ключа. Это полезно, когда надо быть уверенным в том, что закрытый ключ не используется без ведома владельца.
  • Чтобы запустить мастера импорта сертификатов, откройте окно проводника Windows. Затем, для файлов DER (.cer), Base-64 (.cer) и PKCS #7 (.p7b) щелкните файл правой кнопкой мыши и выберите команду Установить сертификат. Для файла #PKCS #12 (.pfx) щелкните файл правой кнопкой мыши и выберите команду Установить PFX.

  • XOX

  • Файл, из которого импортировались сертификаты, остается неповрежденным после завершения импорта сертификатов. Для удаления файла, если он больше не нужен, можно использовать проводник Windows.

См. также


Экспорт сертификата

Чтобы экспортировать сертификат

  1. Откройте оснастку «Сертификаты».
  2. Выполните одно из следующих действий.
    • Если включен режим просмотра логических хранилищ, в дереве консоли щелкните папку Сертификаты.

      Где?

      • Сертификаты – Держатель сертификата
      • Логическое хранилище
      • Сертификаты
    • Если включен режим просмотра назначения сертификата, в дереве консоли щелкните Назначение.

      Где?

      • Сертификаты – Держатель сертификата
      • Назначение
  3. В области сведений щелкните сертификат, который нужно экспортировать.
  4. Выберите в меню Действие команду Все задачи, а затем — команду Экспорт.
  5. В мастере экспорта сертификатов установите переключатель в положение Нет, не экспортировать закрытый ключ. (Эта возможность появляется, только если закрытый ключ помечен как экспортируемый и имеется доступ к закрытому ключу.)
  6. Укажите в мастере экспорта сертификатов следующие сведения.
    • Выберите формат файла для сохранения экспортируемого сертификата: DER-шифрованный файл, Base64-шифрованный файл или файл PKCS #7.
    • Если сертификат экспортируется в файл PKCS #7, имеется возможность включить сертификаты в пути сертификации.

Примечания

  • Чтобы открыть оснастку «Сертификаты», нажмите кнопку Пуск, выберите команду Выполнить и введите mmc затем нажмите кнопку OK. В меню Консоль выберите команду Открыть, далее в дереве выберите необходимую консоль и нажмите кнопку Открыть. Затем в дереве консоли щелкните папку Сертификаты.
  • Если еще не была создана консоль MMC, содержащая оснастку «Сертификаты», щелкните ссылку «См. также».
  • Для получения описания процедуры экспорта сертификата с закрытым ключом щелкните ссылку «См. также».
  • После завершения работы мастера экспорта сертификатов сертификат остается в хранилище сертификатов в дополнение ко вновь созданному файлу. Если необходимо убрать сертификат из хранилища сертификатов, необходимо удалить его.

См. также


Экспорт сертификата с закрытым ключом

Чтобы экспортировать сертификат с закрытым ключом

  1. Откройте оснастку «Сертификаты».
  2. Выполните одно из следующих действий.
    • Если включен режим просмотра логических хранилищ, в дереве консоли щелкните Сертификаты.

      Где?

      • Сертификаты – Держатель сертификата
      • Логическое хранилище
      • Сертификаты
    • Если включен режим просмотра назначения сертификата, в дереве консоли щелкните Назначение.

      Где?

      • Сертификаты – Держатель сертификата
      • Назначение
  3. В области сведений щелкните сертификат, который нужно экспортировать.
  4. Выберите в меню Действие команду Все задачи, а затем — Экспорт.
  5. В мастере экспорта сертификатов установите переключатель в положение Да, экспортировать закрытый ключ. (Эта возможность появляется, если только закрытый ключ помечен как экспортируемый и имеется доступ к закрытому ключу.)
  6. В группе Формат экспортируемого файла выберите выполнение одного или всех последующих действий и нажмите кнопку Далее.
    • Для включения всех сертификатов в путь сертификации установите флажок Включить по возможности все сертификаты в путь сертификации.
    • Для включения усиленной защиты установите флажок Включить усиленную защиту (требует IE 5.0, NT 4.0 SP4 и выше).
    • Для удаления закрытого ключа при удачном экспорте установить флажок Удалить закрытый ключ после удачного экспорта.
  7. Введите Пароль для шифрования экспортируемого закрытого ключа. В поле Подтверждение пароля вновь введите пароль и нажмите кнопку Далее.
  8. В поле Имя файла введите имя файла и путь для файла PKCS #12, в котором будет сохранен экспортированный сертификат с закрытым ключом, нажмите кнопку Далее, а затем — кнопку Готово.

Примечания

  • Чтобы открыть оснастку «Сертификаты», нажмите кнопку Пуск, выберите команду Выполнить и введите mmc затем нажмите кнопку OK. В меню Консоль выберите команду Открыть, далее в дереве выберите необходимую консоль и нажмите кнопку Открыть. Затем в дереве консоли щелкните папку Сертификаты.
  • Если еще не была создана консоль MMC, содержащая оснастку «Сертификаты», щелкните ссылку «См. также».
  • Если сертификат был выдан центром сертификации Windows 2000 Server, закрытый ключ для этого сертификата можно экспортировать только, если запрос сертификата был запрошен через веб-страницу дополнительного запроса сертификата центра сертификации при установленном флажке Пометить ключ как экспортируемый или сертификат используется для шифрованной файловой системы (EFS) или для восстановления EFS.
  • Усиленная защита (также называемая счетчик итераций) включается по умолчанию в мастере экспорта сертификатов, когда экспортируется сертификат со связанным с ним закрытым ключом.

    Усиленная защита несовместима со старыми программами, поэтому флажок Включить усиленную защиту должен быть снят, если закрытый ключ будет использоваться с обозревателями более старыми, чем Microsoft Internet Explorer 5.

  • После завершения работы мастера экспорта сертификатов сертификат остается в хранилище сертификатов в дополнение ко вновь созданному файлу. Если необходимо убрать сертификат из хранилища сертификатов, необходимо удалить его.

См. также


Просмотр сертификата в файле PKCS #7

Чтобы просмотреть сертификаты в файле PKCS #7

  1. Откройте проводник Windows.
  2. Найдите файл PKCS #7, в котором необходимо просмотреть сертификаты.
  3. В области сведений щелкните правой кнопкой мыши файл PKCS #7 и выберите команду Открыть. Загрузите Сертификаты.
  4. В дереве консоли дважды щелкните папку, содержащую файл PKCS #7, и затем щелкните Сертификаты. Сертификаты, находящиеся в файле PKCS #7, отображаются в области сведений.

Примечания

  • XOX
  • Обычно файл PKCS #7 имеет расширение имени файла .p7b, но это необязательно. Как и для других файлов данных, программа-создатель файла управляет именем и определяет, использовать ли расширение .p7b.
  • Для получения описания процедур импорта и экспорта файла PKCS #7 щелкните ссылку «См. также».

См. также


Использование веб-страниц службы сертификации Windows 2000

  • Отправка запроса сертификата пользователя через Интернет
  • Отправка дополнительного запроса сертификата через Интернет
  • Запрос сертификата с помощью файлов PKCS #10 или PKCS #7
  • Сохранение запроса сертификата в файле PKCS #10
  • Проверка запроса на сертификат, находящегося в состоянии ожидания
  • Получение сертификата центра сертификации
  • Извлечение списка отзыва сертификатов


Отправка запроса сертификата пользователя через Интернет

Чтобы отправить запрос сертификата пользователя через Интернет

  1. Откройте обозреватель Internet Explorer.
  2. В поле Адрес введите http://имя_сервера/certsrv, где имя_сервера — это имя веб-сервера Windows 2000, на котором размещен центр сертификации, к которому необходимо обратиться.
  3. Установите переключатель в положение Request a certificate и нажмите кнопку Next.
  4. В группе User certificate request выберите тип сертификата, который нужно запросить, и нажмите кнопку Next.
  5. В Certificate Type –Identifying Information выполните следующие действия.
    • Если выведено сообщение «All the necessary identifying information has already been collected. You may now submit your request», нажмите кнопку Submit.
    • Введите идентифицирующие сведения для запроса сертификата и нажмите кнопку Submit.
  6. Выполните одно из следующих действий.
    • Если выведена веб-страница отложенных сертификатов, щелкните ссылку «См. также» для получения сведений о процедуре проверки отложенных сертификатов.
    • Если выведена веб-страница выданных сертификатов, нажмите кнопку Install this certificate.
  7. Если использование веб-страниц службы сертификации завершено, закройте Internet Explorer.

Примечание

  • XOX

См. также


Отправка дополнительного запроса сертификата через Интернет

Чтобы отправить дополнительный запрос сертификата через Интернет

  1. Откройте обозреватель Internet Explorer.
  2. В поле Адрес введите http://имя_сервера/certsrv, где имя_сервера — это имя веб-сервера Windows 2000, на котором размещен центр сертификации, к которому необходимо обратиться.
  3. Установите переключатель в положение Request a certificate и нажмите кнопку Next.
  4. Установите переключатель в положение Advanced request и нажмите кнопку Next.
  5. Установите переключатель в положение Submit a certificate request to this CA using a form и нажмите кнопку Next.
  6. Введите запрашиваемую идентифицирующую информацию и любые требуемые сведения.
  7. Нажмите кнопку Submit.
  8. Выполните одно из следующих действий.
    • Если выведена веб-страница отложенных сертификатов, щелкните ссылку «См. также» для получения сведений о процедуре проверки отложенных сертификатов.
    • Если выведена веб-страница выданных сертификатов, нажмите кнопку Install this certificate.
  9. Если использование веб-страниц службы сертификации завершено, закройте Internet Explorer.

Примечания

  • XOX
  • С помощью веб-страницы дополнительного запроса сертификата для каждого запрошенного сертификата можно установить ряд параметров.
    • Certificate template (от ЦС предприятия) или Intended purposes (от самостоятельного ЦС) показывает приложения, для которых открытый ключ в сертификате может быть использован, например проверка подлинности клиента или электронная почта.
    • Поставщик службы криптографии CSP.
    • Key size. Длина (в битах) открытого ключа сертификата. Обычно чем длинней ключ, тем он безопасней.
    • Алгоритм хеширования.
    • Key usage. Способ использования закрытого ключа. «Exchange» означает, что закрытый ключ может быть использован для разрешения обмена конфиденциальными сведениями. «Signature» означает, что закрытый ключ может быть использован только для создания цифровой подписи. «Both» означает, что ключ может быть использован для выполнения функций и обмена, и подписи.
    • Create a new key set or use an existing key set. Можно использовать существующую пару открытого и закрытого ключей, хранящуюся на компьютере, или создать для сертификата новую пару ключей. Дополнительные сведения по вопросам повторного использования набора ключей и создания нового набора ключей см. в разделе Ресурсы: инфраструктура открытого ключа.
    • Включить усиленную защиту закрытого ключа. Если усиленная защита закрытого ключа разрешена, пароль будет запрашиваться при каждом использовании закрытого ключа.
    • Mark keys as exportable. Если ключ помечен как экспортируемый, открытый и закрытый ключи могут быть сохранены в файле PKCS #12. Это может быть полезно при смене компьютера и перенесении пары ключей или при удалении пары ключей и сохранении ее в безопасном месте.
    • Use the local machine store. Выберите эту возможность, если компьютер будет обращаться к закрытому ключу, связанному с сертификатом, когда другие пользователи вошли в систему. Выбирайте эту возможность, если запрашиваются сертификаты для компьютера (например веб-сервера), а не для пользователей.
    • Сохранение запроса в файле PKCS #10. Эта возможность полезна, если центр сертификации не обрабатывает запросы сертификатов интерактивно. Чтобы получить сведения о создании и отправке запросов сертификатов с помощью файлов PKCS #10, щелкните ссылку «См. также».

См. также


Запрос сертификата с помощью файлов PKCS #10 или PKCS #7

Чтобы запросить сертификат с помощью файла PKCS #10 или PKCS #7

  1. Откройте обозреватель Internet Explorer.
  2. В поле Адрес введитеhttp://имя_сервера/certsrv, где имя_сервера — это имя веб-сервера Windows 2000, на котором размещен центр сертификации, к которому необходимо обратиться.
  3. Установите переключатель в положение Certificate Request и нажмите кнопку Next. Установите переключатель в положение Advanced request и нажмите кнопку Next.
  4. Выберите Submit a certificate request using a Base-64-encoded PKCS #10 file or a renewal request using a PKCS #7 file и нажмите кнопку Next.
  5. Выполните одно из следующих действий.
    • Откройте блокнот. В меню Файл выберите команду Открыть. Выберите файл PKCS #10 или PKCS #7 и нажмите кнопку Открыть. Выберите в меню Правка команду Выделить все, а затем выберите в меню Правка команду Копировать. На веб-странице щелкните область прокрутки Saved request. В меню Правка выберите команду Вставить, чтобы вставить содержимое запроса сертификата в область прокрутки.
    • Нажмите кнопку Обзор, чтобы найти файл, который будет использоваться для запроса сертификата. Если получено предупреждение об элементе управления ActiveX, нажмите кнопку Да, чтобы разрешить его запуск, и нажмите кнопку Обзор. После поиска и выбора файла, используемого для запроса сертификата, нажмите Read!. На веб-странице нажмите кнопку Read! для вставки содержимого файла в область прокрутки. См. примечание об использовании кнопки Обзор.
  6. Если подключение произведено к центру сертификации предприятия, выберите используемый шаблон сертификата.
  7. Нажмите кнопку Submit.
  8. Выполните одно из следующих действий.
    • Если выведена веб-страница Certificate Pending, щелкните ссылку «См. также» для получения сведений о процедуре проверки отложенных сертификатов.
    • Если выведена веб-страница Certificate Issued, нажмите кнопку Download certificate. Выберите сохранение файла на жестком диске и затем импортируйте сертификат в хранилище сертификатов. Для получения описания процедуры импорта сертификата щелкните ссылку «См. также».

Примечания

  • XOX
  • XOX
  • Обычно файл PKCS #10 используется для отправки запроса нового сертификата, а файл PKCS #7 — для отправки запроса на обновление существующего сертификата. Отправка запросов с помощью файлов полезна, если запрашивающее сертификат лицо не может выполнить интерактивный запрос к центру сертификации.
  • При использовании файла PKCS #7 для отправки запроса на обновление существующего сертификата обновленный файл запроса формирует программа. Эта процедура не будет работать с файлом PKCS #7, который явно содержит экспортированные сертификаты.
  • Чтобы просматривать файлы на жестком диске компьютера, может возникнуть необходимость объявить узел http://имя_сервера доверенным узлом для Internet Explorer. Чтобы сделать узел http://имя_сервера доверенным узлом, в Internet Explorer откройте меню Сервис, выберите команду Свойства обозревателя, перейдите на вкладку Безопасность, укажите Надежные узлы и нажмите кнопку Узлы. Введите http://имя_сервера и нажмите кнопку OK.
  • Если запрос отправлен и немедленно получено сообщение, запрашивающее подтверждение отправки запроса, даже если он не содержит тегов «BEGIN» или «END», нажмите кнопку OK.
  • Для получения описания процедур экспорта сертификата для создания файла PKCS #7 щелкните ссылку «См. также».

См. также


Сохранение запроса сертификата в файле PKCS #10

Чтобы сохранить запрос сертификата в файле PKCS #10

  1. Откройте обозреватель Internet Explorer.
  2. В поле Адрес введите: http://имя_сервера/certsrv, где имя_сервера — это имя веб-сервера Windows 2000, на котором размещен центр сертификации, к которому необходимо обратиться.
  3. Установите переключатель в положение Request a certificate и нажмите кнопку Next.
  4. Установите переключатель в положение Advanced request и нажмите кнопку Next.
  5. Установите переключатель в положение Submit a certificate request to this CA using a form и нажмите кнопку Next.
  6. В списках Certificate Template и Key Options выберите параметры для запроса сертификата.
  7. В группе Additional Options установите флажок Save request to a PKCS #10 file.
  8. В поле File name введите имя для файла и нажмите кнопку Save.
  9. Если использование веб-страниц службы сертификации завершено, закройте Internet Explorer.

Примечание

  • XOX
  • Файл будет сохранен на рабочем столе компьютера.

См. также


Проверка запроса на сертификат, находящегося в состоянии ожидания

Чтобы проверить отложенный запрос сертификата

  1. Откройте обозреватель Internet Explorer.
  2. В поле Адрес введите: http://имя_сервера/certsrv, где имя_сервера — это имя веб-сервера Windows 2000, на котором размещен центр сертификации, к которому необходимо обратиться.
  3. Установите переключатель в положение Check on a pending certificate и нажмите кнопку Next.
  4. Если отложенные запросы сертификата отсутствуют, будет выдано сообщение об этом. В противном случае, выберите запрос для проверки и нажмите кнопку Next, после чего выполнится проверка состояния отложенного запроса сертификата.
  5. Если использование веб-страниц службы сертификации завершено, закройте Internet Explorer.

Примечание

  • XOX
  • Доступны следующие состояния.
    • Still pending. Необходимо ждать, пока администратор центра сертификации выдаст сертификат. Чтобы удалить запрос сертификата, нажмите кнопку Remove.
    • Issued. Чтобы установить сертификат, нажмите кнопку Install this certificate.
    • Denied. За дополнительными сведениями обратитесь к администратору центра сертификации.
См. также


Получение сертификата центра сертификации

Чтобы получить сертификат центра сертификации

  1. Откройте обозреватель Internet Explorer.
  2. В поле Адрес введите http://имя_сервера/certsrv, где имя_сервера — это имя веб-сервера Windows 2000, на котором размещен центр сертификации, к которому необходимо обратиться.
  3. Установите переключатель в положение Retrieve the CA certificate or certificate revocation list и нажмите кнопку Next.
  4. Выполните одно из следующих действий.
    • Чтобы разрешить доверять всем сертификатам, выданным этим центром сертификации (ЦС), нажмите кнопку Install this CA certification path.
    • Если центр сертификации был обновлен, нужно будет выбрать загружаемую версию сертификата ЦС.
      • В списке Сhoose file to download выберите сертификат ЦС, который нужно загрузить, и нажмите кнопку Download CA Certificate.
      • В диалоговом окне File Download установите переключатель Open this file from its current location и нажмите кнопку OK.
      • Когда появится диалоговое окно Certificate, нажмите кнопку Install certificate.
      • В мастере импорта сертификатов выберите Автоматически выбрать хранилище на основе типа сертификата.
  5. Если использование веб-страниц службы сертификации завершено, закройте Internet Explorer.

Примечания

  • XOX
  • Выбор Install this CA certification path полезен, когда необходимо установить доверие к подчиненному центру сертификации, но в настоящий момент в хранилище сертификатов отсутствует сертификат корневого центра сертификации в иерархии сертификации.
См. также


Извлечение списка отзыва сертификатов

Чтобы получить список отзыва сертификатов

  1. Откройте обозреватель Internet Explorer.
  2. В поле Адрес введите http://имя_сервера/certsrv, где имя_сервера — это имя веб-сервера Windows 2000, на котором размещен центр сертификации, к которому необходимо обратиться.
  3. Установите переключатель в положение Retrieve the CA certificate or certificate revocation list (CRL) и нажмите кнопку Next.
  4. Нажмите кнопку Download last certificate revocation list.
  5. Когда появится диалоговое окно Загрузить файл, нажмите кнопку Сохранить файл на диске, а затем — кнопку OK. Выберите папку на компьютере, в которой будет храниться файл .crl, и нажмите кнопку Сохранить, затем кнопку Закрыть.
  6. Откройте обозреватель Windows Explorer и найдите только что сохраненный файл .crl.
  7. Щелкните правой кнопкой мыши файл .crl и выберите из контекстного меню Установить список отзыва (CRL).
  8. В мастере импорта сертификатов выберите Автоматически выбрать хранилище на основе типа сертификата.
  9. После завершения работы мастера импорта сертификатов закройте Internet Explorer, если использование веб-страниц службы сертификации завершено.

Примечание

  • XOX
  • XOX
См. также


Управление доверием сертификатов

  • Включение автоматического обновления сертификатов доверенного корневого центра
  • Отключение автоматического обновления сертификатов доверенного корневого центра


Включение автоматического обновления сертификатов доверенного корневого центра

Чтобы включить автоматическое обновление сертификатов доверенного корневого центра

  1. На панели управления откройте компонент Установка и удаление программ.
  2. Нажмите кнопку Добавление и удаление компонентов Windows.
  3. Установите флажок Обновление корневых сертификатов.
  4. Нажмите кнопку Далее, а затем нажмите кнопку Готово.

Примечание

  • XOX

См. также


Отключение автоматического обновления сертификатов доверенного корневого центра

Чтобы отключить автоматическое обновление сертификатов доверенного корневого центра

  1. На панели управления откройте компонент Установка и удаление программ.
  2. Нажмите кнопку Добавление и удаление компонентов Windows.
  3. Снимите флажок Обновление корневых сертификатов.
  4. Нажмите кнопку Далее, а затем нажмите кнопку Готово.

Примечание

  • XOX

См. также


Основные понятия

В этом разделе собраны сведения общего характера об оснастке «Сертификаты».

  • Общие сведения о сертификатах
  • Общее представление о сертификатах
  • Использование сертификатов
  • Ресурсы: инфраструктура открытого ключа


Основные сведения о сертификатах

Сертификаты

Сертификат открытого ключа, обычно называемый просто сертификатом, — это документ с цифровой подписью, связывающий значение открытого ключа с удостоверением пользователя, устройства или службы, которым принадлежит соответствующий закрытый ключ. Большинство широко используемых сертификатов базируются на стандарте сертификата X.509v3. Ссылки на дополнительные сведения о криптографии открытого ключа см. в разделе Ресурсы: ифраструктура открытого ключа

Сертификаты могут выдаваться для различных целей, таких, как проверка подлинности пользователя Интернета, проверка подлинности веб-сервера, защита электронной почты (протокол S/MIME), безопасность IP (IPSec), безопасность на уровне транзакций (TLS) и подписание кода. Кроме того, центры сертификации выдают сертификаты другим центрам сертификации для создания иерархии сертификации.

Сертификат выдается так называемому субъекту сертификата. Выдачу и подписание сертификата осуществляет центр сертификации.

Как правило, сертификаты содержат следующие сведения.

  • Значение открытого ключа субъекта.
  • Сведения об идентификации субъекта, такие, как имя и адрес электронной почты.
  • Срок действия (время, в течение которого сертификат считается действительным).
  • Сведения для идентификации поставщика.
  • цифровая подпись поставщика, заверяющая действительность связи между общим ключом субъекта и сведениями для его идентификации.

Сертификат действителен только в течение указанного в нем периода; каждый сертификат содержит даты начала и окончания срока действия. По окончании срока действия сертификата субъект устаревающего сертификата должен запросить новый сертификат.

В случаях, когда требуется отменить заверенную в сертификате связь, поставщик может отозвать сертификат. Каждый поставщик ведет список отозванных сертификатов, который может использоваться программами при проверке действительности любого сертификата.

Одно из основных преимуществ использования сертификатов состоит в устранении необходимости использования на узлах паролей для отдельных субъектов, для предоставления доступа которым необходимо выполнять проверку их подлинности. Вместо этого узел просто устанавливает доверительные отношения с поставщиком сертификата.

Когда узел, такой, как безопасный веб-сервер, назначает поставщика в качестве корневого доверенного центра сертификации, он безоговорочно доверяет политикам, которые были использованы поставщиком для установки привязок выдаваемых им сертификатов. По сути дела, узел передоверяет поставщику проверку подлинности субъекта сертификата. Узел назначает поставщика доверенным корневым центром сертификации, помещая в локальное хранилище сертификатов доверенных корневых центров сертификации сертификат поставщика, подписанный им самим и содержащий его открытый ключ. Промежуточные и подчиненные центры сертификации являются доверенными только при наличии у них допустимого пути сертификации от доверенного корневого центра сертификации.

Дополнительные сведения о сертификатах см. в разделе Общие сведения о сертификатах.

Использование сертификата

Поскольку сертификаты обычно используются, чтобы установить идентификацию и создать доверительные отношения для безопасного обмена информацией, центры сертификации могут выпускать сертификаты для пользователей, для устройств (таких, как компьютеры) и для служб, выполняющихся на компьютерах (таких, как IPSec).

В некоторых случаях требуется обеспечить обмен информацией между компьютерами с высокой степенью уверенности в идентификации другого устройства, службы или пользователя, участвующего в транзакции. В некоторых случаях пользователю требуется обеспечить обмен информацией с высокой степенью уверенности в идентификации другого пользователя, компьютера или службы, участвующей в транзакции. Приложениям и службам, выполняющимся на компьютерах, также часто требуется проверка, что они получают доступ к информации из доверенного источника.

В ситуациях, когда два участника — такие, как устройства, пользователи, либо приложения или службы — пытаются установить идентификацию и доверительные отношения, доверительные отношения с одним центром сертификации позволяют установить взаимную идентификацию и доверительные отношения. После того как субъект представил сертификат, выпущенный доверенным центром сертификации, участник, пытающийся установить доверительные отношения, может продолжать обмен информацией, сохранив сертификат субъекта сертификации в собственном хранилище сертификатов, и, по мере применения, использовать открытый ключ, содержащийся в сертификате, для шифрования ключа сеанса, чтобы сделать безопасной всю последующую связь с субъектом сертификата.

Например, для интерактивных банковских операций через Интернет важно знать, что веб-обозреватель пользователя поддерживает прямую и безопасную связь с веб-сервером банка. Веб-обозреватель пользователя должен быть способен проверять идентификацию веб-сервера перед выполнением безопасной транзакции. Это означает, что веб-сервер должен доказать свою идентичность веб-обозревателю пользователя перед выполнением транзакции. Microsoft Internet Explorer использует протокол SSL (Secure Sockets Layer) для шифрования сообщений и их безопасной передачи через Интернет, как это делает большинство современных веб-обозревателей и веб-серверов.

При подключении с помощью обозревателя с включенным SSL к интерактивному банковскому веб-серверу, имеющему сертификат сервера от центра сертификации, такого, как Verisign, возникают следующие события.

  • Пользователь получает доступ к собственной защищенной веб-странице входа в банк через веб-обозреватель. Если используется Internet Explorer, в правом нижнем углу окна в строке состояния обозревателя появляется значок висячего замка, показывающий, что обозреватель подключен к защищенному веб-узлу. Другие обозреватели могут обозначать защищенное подключение по-другому.
  • Веб-сервер банка автоматически отправляет сертификат сервера вашему веб-обозревателю.
  • Чтобы проверить подлинность веб-сервера, веб-обозреватель проверяет хранилище сертификатов на вашем компьютере. Если центр сертификации, выдавший сертификат банку, является доверенным, транзакция может выполняться и сертификат банка сохраняется в вашем хранилище сертификатов.
  • Для шифрования всех операций связи с банковским веб-сервером ваш веб-обозреватель создает уникальный ключ сеанса. Веб-обозреватель пользователя шифрует ключ сеанса с помощью сертификата банковского веб-сервера таким образом, что только банковский веб-сервер может читать сообщения, отправленные вашим обозревателем. (Некоторые из этих сообщений будут содержать ваши имя пользователя и пароль, а также другие секретные сведения, поэтому такой уровень безопасности является необходимым.)
  • Устанавливается защищенный сеанс, в котором секретная информация может передаваться между веб-обозревателем клиента и банковским веб-сервером в безопасном режиме.

Дополнительные сведения см. в разделе Обеспечение безопасности с помощью сертификатов.

Кроме того, сертификаты могут использоваться для проверки подлинности программного обеспечения, которое загружается из Интернета, устанавливается из интрасети организации или устанавливается на компьютер с компакт-диска. Неподписанное программное обеспечение — т. е. не имеющее действительного сертификата издателя — может представлять опасность для компьютера и сохраняемой на нем информации.

Когда программное обеспечение подписано с действительным сертификатом от доверенного центра сертификации, есть уверенность, что программное обеспечение не было искажено и его установка на компьютер является безопасной. В процессе установки программного обеспечения пользователю выводится приглашение подтвердить доверие к его изготовителю (например, корпорации Майкрософт). Иногда также предоставляется параметр, предлагающий всегда доверять программному обеспечению данного изготовителя. Если пользователь выбирает параметр доверия к содержимому от этого изготовителя, то сертификат изготовителя поступает в хранилище сертификатов пользователя и следующие операции установки программного обеспечения выполняются в условиях установленного доверия. В условиях установленного доверия пользователь может устанавливать программное обеспечение этого изготовителя без приглашения подтвердить доверие. Сертификат на компьютере пользователя устанавливает доверие к изготовителю программного обеспечения.

Что касается других сертификатов, то сертификаты, используемые для подтверждения подлинности программного обеспечения и идентификации изготовителя программного обеспечения, могут иметь другое предназначение. Например, когда оснастка «Сертификаты» устанавливается для просмотра сертификатов по назначению, папка «Подписывание кода» может содержать сертификат, выданный службе совместимости Microsoft Windows Hardware Compatibility корневым центром Microsoft Root Authority. Сертификат имеет три назначения:

  • подтверждает поступление программного обеспечения от изготовителя;
  • защищает программное обеспечение от изменения после его публикации;
  • подтверждает проверку драйвера аппаратуры Windows.

Использование сертификатов в организациях

Многие организации устанавливают собственные центры сертификации и, создавая более безопасную компьютерную среду, выдают сертификаты на внутренние устройства, службы и сотрудников. Большие организации могут иметь несколько центров сертификации, образующих иерархию, которая ведет в корневой центр сертификации. Таким образом, сотрудник организации может иметь в своем хранилище несколько сертификатов, выданных разными внутренними центрами сертификации, причем все эти сертификаты имеют общую доверительную связь через путь к корневому центру сертификации.

Когда сотрудник входит в сеть организации из дома, используя витруальное частное подключение (VPN), сервер VPN представляет сертификат сервера, чтобы идентифицировать его. Поскольку корневой центр сертификации организации является доверенным и этот центр выдает сертификат серверу VPN, клиентский компьютер может выполнять подключение, при котором сотрудник знает, что его компьютер действительно подключен к северу виртуальной частной сети (VPN).

Сервер VPN также должен иметь возможность проверять подлинность клиента VPN до обмена данными через подключение VPN. Проверка подлинности выполняется либо на уровне компьютеров с обменом сертификатами компьютеров, либо на уровне пользователей с использованием проверки подлинности по протоколу PPP. Для безопасных подключений по протоколу L2TP (Layer 2 Tunneling Protocol)/IPSec сертификаты компьютера требуются и для клиента и для сервера.

Сертификат клиентского компьютера может иметь разные предназначения, большинство из которых связано с проверкой подлинности, позволяя клиенту использовать многие ресурсы организации без необходимости получать отдельные сертификаты на каждый ресурс. Например, клиентский сертификат может позволять подключаться к сети VPN, а также обеспечивать доступ к узлу хранилища интрасети, к серверам продуктов и к базе данных сведений о персонале.

Сертификат сервера VPN также может иметь несколько предназначений. Один и тот же сертификат может обеспечивать проверку идентичности почтовых серверов, веб-серверов и серверов приложений. Назначение каждого сертификата определяется центром сертификации, который выдает сертификат.

Сертификаты, выданные пользователям

Индивидуальный пользователь имеет возможность приобрести сертификат в коммерческом центре сертификации, таком, как Verisign, для отправки личных сообщений электронной почты, зашифрованных для безопасности или содержащих цифровую подпись, доказывающую их подлинность.

Если сертификат приобретен и использован для цифровой подписи сообщения электронной почты, то получатель сообщения сможет проверить, что сообщение не было изменено в процессе доставки и что сообщение пришло именно от отправителя — разумеется, при условии, что получатель сообщения доверяет центру сертификации, выдавшему сертификат.

Когда сообщение электронной почты зашифровано, никто не сможет прочитать сообщение в процессе его доставки, а расшифровать и прочитать сообщение сможет только его получатель.

Сертификаты и приложения

Большинство клиентов электронной почты позволяют автоматически подписывать и шифровать сообщения электронной почты или конкретные сообщения. Приложения корпорации Майкрософт, которые позволяют подписывать и шифровать сообщения электронной почты, — Microsoft Outlook 2000, Microsoft Outlook Express и Microsoft Outlook 98.

Много приложений Windows используют сертификаты. Ниже перечислены некоторые ссылки и сведения об использовании сертификатов с информационными службами Интернета (IIS) 5.1 корпорации Майкрософт, Microsoft Outlook 2000, Microsoft Outlook Express, Microsoft Outlook 98 и Microsoft Internet Explorer.

Сведения об информационных службах Интернет (IIS) 5.1

Хранилище сертификатов IIS сейчас объединено с хранилищем CryptoAPI/. Только оснастка «Сертификаты» дает доступ к хранилищам администратора, а также возможность архивации и настройки сертификатов серверов.

IIS снабжена тремя новыми мастерами безопасности, которые упрощает большинство задач безопасности, необходимых для подключения к защищенному веб-узлу. Мастер сертификатов веб-сервера управляет настройками протокола SSL в службах IIS и сертификатами серверов. Сертификаты используются для согласования защищенного канала связи между сервером и клиентским обозревателем. Мастер CTL управляет списками доверия сертификатов (CTLs). Списки доверия сертификатов — это списки доверенных центров сертификации для каждого веб-узла и виртуальной папки. Мастер разрешений ISS назначает веб- и NTFS разрешения на доступ к веб-узлам, виртуальным папкам, и файлам на сервере.

Дополнительная информация об использовании сертификатов в ISS см. на веб-узле корпорации Майкрософт (http://support.microsoft.com/).

Сведения о сертификатах Outlook 2000
  • «Установка безопасности для сообщений электронной почты Интернета» на веб-узле корпорации Майкрософт (http://support.microsoft.com/).
  • «Как получить копию сертификата другого пользователя?» Что необходимо сделать для отправки зашифрованных сообщений электронной почты в Outlook 2000 на веб-узеле корпорации Майкрософт (http://officeupdate.microsoft.com/)
  • «Пошаговое руководство для средств открытого ключа в Outlolk 2000» на веб-узле корпорации Майкрософт (http://www.microsoft.com/).
Сведения о сертификатах Outlook 98
  • «Защита сообщений в Интернете» на веб-узле корпорации Майкрософт (http://officeupdate.microsoft.com).
Сведения о сертификатах Outlook Express 5.x и более поздних версий
  • «Пошаговое руководство для средств открытого ключа в Outlolk 5.0» на веб-узле корпорации Майкрософт (http://www.microsoft.com/).
Сведения о сертификатах Internet Explorer
  • «Пошаговое руководство для проверки подлинности клиетнов с помощью средств открытого ключа в Internet Explorer» на веб-узле корпорации Майкрософт (http://www.microsoft.com/).

Другие ресурсы корпорации Майкрософт про сертификатам включают следующие статьи в базе знаний Knowledge Base.

  • «Описание симметричного и ассиметричного шифрования» на веб-узле корпорации Майкрософт (http://support.microsoft.com).
  • «Информация об обновлении сертификатов центром сертификации в Windows 2000» на веб-узле корпорации Майкрософт (http://support.microsoft.com).
  • «Использование центра сертификации для службы шифрования файлов» на веб-узле корпорации Майкрософт (http://support.microsoft.com).
  • «Как восстановить шифрованную файловую систему закрытого ключа для политики восстановления шифрованных данных» на веб-узле корпорации Майкрософт (http://support.microsoft.com).
  • «Советы и рекомендации для шифрованной файловой системы» на веб-узле корпорации Майкрософт (http://support.microsoft.com).
  • «Регистрация для получения сертификатов DSS» на веб-узле корпорации Майкрософт (http://support.microsoft.com).

Примечание

  • XOX

Импорт и экспорт сертификатов

Если имеются сертификаты, которые требуется использовать на других компьютерах, можно их экспортировать для импорта на другие компьютеры. Дополнительные сведения см. в разделах Импортирование и экспортирование сертификатов и Импорт и экспорт сертификатов.

Хранилище сертификатов

На компьютер пользователя сертификаты попадают из четырех основных источников.

  • Сертификат включается в установку Windows XP и поступает на компакт-диске Windows XP.
  • Пользователь с помощью приложения, такого, как обозреватель Интернета, устанавливает сеанс SSL, во время которого сертификаты сохраняются на компьютере после установки доверия.
  • Пользователь в явном виде принимает сертификат во время установки программного обеспечения либо при получении зашифрованного или подписанного сообщения электронной почты.
  • Пользователь запрашивает сертификат в центре сертификации, например сертификат, необходимый для доступа к некоторым ресурсам организации.

Со временем, по мере использования Интернета и подключения к серверам, которые используют сертификаты для проверки подлинности и других целей, хранилище сертификатов на вашем компьютере будет пополняться. Некоторые сертификаты могут иметь одно назначение, например проверку подлинности сервера или клиента, тогда как другие могут иметь несколько назначений. Центр сертификации, выдавший сертификат, определяет назначение сертификата.

Хотя Internet Explorer и Windows сохраняют сертификаты в одних и тех же хранилищах сертификатов, они позволяют по-разному просматривать хранилища сертификатов. Дополнительные сведения см. в разделах Как просмотреть сертификаты безопасности в справке Internet Explorer Help и Задание параметров отображения в оснастке «Сертификаты» в справке программы «Сертификаты». Чтобы понять, каким образом в оснастке «Сертификаты» отображаются хранилища сертификатов, см. раздел хранилища сертификатов.

С помощью оснастки «Сертификаты» можно просматривать сертификаты по их логическому распределению или по предназначению. Если просматривать сертификаты по их предназначению, то сертификат, имеющий несколько предназначений, будет перечислен в каждой папке, определяющей назначение сертификатов.

Оснастка «Сертификаты»

Оснастка «Сертификаты» позволяет управлять сертификатами пользователей, компьютеров или служб.

Пользователи и администраторы могут использовать оснастку «Сертификаты» для запроса новых сертификатов из центров сертификации предприятия Windows 2000. Кроме того, пользователи могут выполнять поиск, просмотр, импорт и экспорт сертификатов в хранилищах сертификатов. Однако в большинстве случаев пользователям нет необходимости лично управлять своими сертификатами и хранилищами сертификатов. Управление может осуществляться администраторами с помощью параметров политики, а также программами, которые используют сертификаты.

Администраторы являются основными пользователями оснастки «Сертификаты» и в качестве таковых способны выполнять широкий спектр задач по управлению сертификатами в своих личных хранилищах сертификатов, а также в хранилищах сертификатов для любых компьютеров или служб, которые они имеют право администрировать.

См. также Запрос сертификтатов


Общее представление о сертификатах

В данном разделе собраны сведения по следующим вопросам.

  • Сертификаты и центры сертификации
  • Создание ключей шифрования и запросы сертификатов
  • Хранилища сертификатов
  • Обеспечение безопасности с помощью сертификатов


Сертификаты и центры сертификации

Когда сертификат предоставляется как средство идентификации держателя сертификата (субъект сертификата), он полезен, если только объект, который получает сертификат, доверяет организации, выдавшей сертификат. Такие организации часто называют центрами сертификации.

Доверие к центру сертификации означает, что имеется уверенность в том, что центр сертификации проводит правильную политику при оценке запросов на сертификаты и объекты, не соответствующие этой политике, не получат сертификаты. Кроме того, имеется уверенность в том, что центр сертификации будет отзывать сертификаты, которые не должны больше рассматриваться как допустимые, публикуя обновляемый список отзыва сертификатов. Списки отзыва сертификатов считаются правильными, пока не истечет срок их действия. Поэтому даже если центр сертификации публикует новый список отзыва сертификатов с новыми отозванными сертификатами, все клиенты, имеющие старый список отзыва сертификатов, не будут извлекать новый список, пока не истечет срок действия старого или он не будет удален. Клиенты могут использовать веб-страницы центров сертификации для извлечения, в случае необходимости, текущих списков отзыва сертификатов вручную.

Для пользователей, компьютеров и служб Windows отношения доверия с центром сертификации устанавливается при получении копии корневого сертификата из хранилища доверенного корневого центра сертификации, а также при получении допустимого пути сертификации, означающего, что ни один из сертификатов в пути сертификации не был отозван и ни у одного из них не истек срок действия. Путь сертификации включает все сертификаты, выданные центрам сертификации в иерархии сертификации (от подчиненного центра сертификации до корневого). Например, для корневого центра сертификации путь сертификации включает один сертификат — подписанный им самим сертификат. Для подчиненного центра сертификации, расположенного сразу под корневым центром в иерархии, путь сертификации включает 2 сертификата — собственный сертификат и сертификат корневого центра сертификации.

Иерархия сертификации

Если организация использует Active Directory, отношения доверия с центром сертификации организации обычно устанавливаются автоматически, на основании решений и настроек, сделанных системным администратором.

Близко связано с этими вопросами понятие наследования хранилищ сертификатов. Если сертификат корневого центра сертификации помещен в хранилище доверенных корневых центров сертификации на компьютере или в доверенное хранилище предприятия, любой пользователь компьютера будет видеть его в собственном хранилище доверенных корневых центров сертификации или в доверенном хранилище предприятия, даже если корневой сертификат в действительности находится в хранилище компьютера. По существу, пользователи будут доверять любому центру сертификации, которому доверяют их компьютеры. Наследование хранилищ сертификатов не работает в обратном направлении: сертификаты в пользовательском хранилище доверенных корневых служб сертификации и в доверенном хранилище предприятия не наследуются компьютером.

Если организация использует версию службы сертификации Windows 2000 для запуска центра сертификации, то центр сертификации может относиться к одному из двух типов. Различия между этими двумя стандартными типами центров сертификации Windows 2000 для пользователей сертификатов и заявителей собраны в приведенных ниже разделах.

Центр сертификации предприятия

Центр сертификации предприятия зависит от существующей Active Directory.

Можно использовать мастер запроса сертификата (который запускается из оснастки «Сертификаты»), а также веб-страницы центра сертификации, для запроса сертификатов в центре сертификации предприятия.

Центр сертификации предприятия предлагает заявителю различные типы сертификатов на основании перечня сертификатов, которые его настройки позволяют выдавать, и разрешений безопасности, которые имеет заявитель. Центр сертификации предприятия использует доступные сведения из Active Directory для проверки подлинности заявителя. Центр сертификации предприятия публикует свой список отзыва сертификатов в Active Directory, а также в общей папке.

Самостоятельный центр сертификации

Самостоятельный центр сертификации менее автоматизирован для пользователя, чем центр сертификации предприятия, поскольку он не зависит от использования Active Directory.

По умолчанию пользователи могут запрашивать сертификаты в самостоятельном центре сертификации только через веб-страницы.

Самостоятельные центры сертификации, которые не используют Active Directory, обычно должны запросить у заявителя более полные сведения, подтверждающие подлинность. Самостоятельные центры сертификации размещают свой список отзыва сертификатов в общей папке или в Active Directory, если имеется такая возможность.

Примечания

  • Дополнительные сведения о модулях политики и выхода службы сертификации, которые определяют, является ли центр сертификации Windows самостоятельным или это центр сертификации предприятия, см. в разделе Модули политики и выхода.
  • Можно настроить центр сертификации Windows модулем политики, отличающимся от входящего в поставку Windows. В этом случае центр сертификации не является ни самостоятельным, ни центром сертификации предприятия, но может обладать качествами первого или второго. Для получения дополнительных сведений о настройке центров сертификации Windows в своей организации обратитесь к системному администратору центра сертификации.

Дополнительные сведения см. в разделах Запрос сертификатов, Использование веб-страниц «Службы сертификации» Windows, Хранилища сертификатов, и Ресурсы: инфраструктура открытого ключа.


Создание ключей шифрования и запросы сертификатов

Запрос и получение сертификата зависит от политик и процессов центра сертификации (ЦС), который выдает сертификат. Например,у некоторых центров сертификации есть веб-страницы, куда можно послать запрос. Или, если организация открывает Active Directory и службы сертификатов, можно использовать оснастку «Сертификаты» для запроста сертификата при условии, что компьютер входит в домен и запрос сертификатов разрешен.

В любом случае, при формировании запроса на новый сертификат сведения из этого запроса сначала передаются запрашивающей программой интерфейсу CryptoAPI. CryptoAPI передаст соответствующие данные программе, называемой поставщиком службы криптографии (CSP), которая установлена на компьютере или на устройстве, доступном компьютеру. Если CSP реализован программно, он создаст на компьютере открытый ключ и закрытый ключ, часто называемые парой ключей. Если CSP реализован аппаратно, например в виде смарт-карты CSP, он отдаст команду аппаратному блоку на создание пары ключей.

После создания ключей программный CSP шифрует и защищает закрытый ключ в реестре компьютера. CSP на смарт-карте хранит закрытый ключ в смарт-карте, и смарт-карта управляет доступом к ключу. Открытый ключ направляется центру сертификации (CA) вместе со сведениями о заявителе. Проверив запрос сертификата на соответствие своей политике, центр сертификации будет использовать свой собственный закрытый ключ для создания цифровой подписи в сертификате, а затем выдаст сертификат заявителю. Заявителю после этого будет предоставлен сертификат от центра сертификации и возможность установить его в соответствующее хранилище сертификатов на компьютере или на аппаратном средстве.

Дополнительные сведения о ключах и сертификатах см. в разделе Ресурсы: инфраструктура открытого ключа


Хранилища сертификатов

Windows XP хранит сертификат локально на компьютере или устройстве, которые запросили его, или, в случае пользователя, на компьютере или устройстве, которые пользователь использовал для запроса сертификата. Это место на запоминающем устройстве называется хранилищем сертификатов. Хранилище сертификатов часто содержит многочисленные сертификаты, возможно, полученные от различных центров сертификации.

С помощью оснастки «Сертификаты» можно отобразить хранилище сертификатов для пользователя, компьютера или службы в соответствии с целью, для которой сертификаты были выданы, или по категориям логических хранилищ. Когда сертификаты отображаются в соответствии с их категориями хранилища, можно также выбрать отображение физических хранилищ, показывая иерархию хранилищ сертификатов. (Это рекомендуется делать только опытным пользователям.)

Если пользователь имеет соответствующие права, он может импортировать или экспортировать сертификаты из любой папки хранилища сертификатов. Кроме того, если закрытый ключ, связанный с сертификатом, помечен как доступный для экспорта, можно экспортировать и сертификат и ключ в файл PKCS #12.

Операционная система Windows может также публиковать сертификаты в Active Directory. Опубликование сертификата в Active Directory позволяет всем пользователям и компьютерам, имеющим соответствующие разрешения, извлекать сертификат по мере необходимости.

Сертификаты могут быть отображены по назначению и по логическим хранилищам, как показано на приведенной ниже таблице. Отображение сертификатов по логическим хранилищам является установкой оснастки «Сертификаты» по умолчанию. (Обратите внимание, что список хранилищ назначений не включает все возможные хранилища назначений.)

Режим отображения | Имя папки | Содержание
Логическое хранилище Личные

Сертификаты, связанные с закрытыми ключами, к которым имеется доступ. Сертификаты, которые были выданы вам либо компьютеру или службе, для которых вы выполняете управление сертификатами.

Примечание для администраторов: компьютеры в домене Windows 2000 Active Directory могут иметь сертификаты, автоматически располагающиеся в этом хранилище при использовании групповой политики автоматического назначения сертификатов. Параметры автоматического запроса сертификатов
Доверенные корневые центры сертификации Косвенно доверенные центры сертификации. Все сертификаты в хранилище корневых центров сертификации независимых поставщиков плюс корневые сертификаты от вашей организации и корпорации Майкрософт.

Системный администратор может добавить сертификаты стороннего центра сертификации к этому хранилищу для всех компьютеров в домене Windows 2000 Active Directory, используя групповую политику для распространения доверенных сертификатов в организации. См. раздел Политика доверенных корневых центров сертификации.
Доверительные отношения в предприятии | Контейнер для списков доверия сертификатов. Список доверия сертификатов обеспечивает механизм установления доверия сертификатам от других организаций, подписанным ими самими, и ограничения назначений этих сертификатов. Дополнительная информация о доверительный отношениях на предприятии в разделе Политика доверия предприятия.
Промежуточные центры сертификации | Сертификаты, выданные подчиненным центрам сертификации.
Доверенные пользователи | Сертификаты, выданные пользователям или конечным субъектам, которым явно выражено доверие. Чаще всего такими сертификатами являются сертификаты с собственной подписью или сертификаты, которым явно выражено доверие в приложении, таком как Micrsoft Outlook.
Другие пользователи | Сертификаты, выданные пользователям или конечным субъектам, которым неявно выражено доверие. Эти сертификаты должны быть частью иерархии доверенных сертификатов. Чаще всего такими сертификатами являются кэшированные сертификаты для служб, например для шифрованной файловой системы, в которых сертификаты используются для создания авторизации файла дешифрования и шифрования.
Доверенные издатели | Сертификаты центров сертификации, которые являются доверенными политик ограничения программ.
Запрещенные сертификаты | Сертификаты, которым явно выражено недоверие либо с помощью политики ограничений для программных компонентов, либо с помощью параметра «Не доверять этому сертификату», когда выбор делается в почтовой программе или в веб-обозревателе.
Корневой центр сертификации независимого поставщика | Доверенные корневые сертификаты от центров сертификации, отличных от корпорации Майкрософт и вашей организации.
Запрос на сертификат | Отложенные или отвергнутые запросы сертификата.
Объект пользователя Active Directory | Сертификаты, связанные с объектом пользователя и опубликованные в Active Directory.
Назначение | Проверка подлинности сервера | Сертификаты, которые программы на сервере используют для доказательства клиентам своей подлинности.
Проверка подлинности клиента | Сертификаты, которые клиентские программы используют для доказательства серверу своей подлинности.
Подписывание кода | Сертификаты, связанные с парой ключей, используемой для подписи активного содержимого.
Защищенная электронная почта | Сертификаты, связанные с парой ключей, используемой для подписи сообщений электронной почты.
Шифрованная файловая система | Сертификаты, связанные с парой ключей, которая шифрует и дешифрует симметричный ключ, используемый для шифрования и расшифровывания данных шифрованной файловой системой.
Восстановление файлов | Сертификаты, связанные с парой ключей, которая шифрует и дешифрует симметричный ключ, используемый для восстановления зашифрованных данных шифрованной файловой системой.

При просмотре содержимого хранилища сертификатов в режиме «Логическое хранилище» в некоторых случаях отображаются две копии одного сертификата из хранилища. Это происходит потому, что один и тот же сертификат хранится в разных физических хранилищах внутри одного логического, например в физических хранилищах «Реестр» и «Предприятие» в логическом хранилище «Доверенные корневые центры сертификации». При объединении содержимого физических хранилищ сертификатов в одно представление логического хранилища отображаются все экземпляры одного и того же сертификата.

Чтобы убедиться, что приведенная причина верна, настройте параметр просмотра для отображения физических хранилищ сертификатов; после этого видно, что в отдельных физических хранилищах сертификатов в одном логическом хранилище хранится один и тот же сертификат. Чтобы убедиться, что это один и тот же сертификат, сравните серийные номера.

Дополнительные сведения см. в разделах Создание ключей шифрования и запросов сертификатов, Импортирование и экспортирование сертификатов, Чтобы просмотреть хранилища сертификатов в режиме «Назначение», Чтобы просмотреть хранилища сертификатов в режиме «Логическое хранилище», Чтобы отобразить архив сертификатов, и Чтобы отобразить структуры хранилищ сертификатов.


Обеспечение безопасности с помощью сертификатов

Сертификаты полезны для различных служб безопасности. Сертификаты могут использоваться для выполнения следующих задач.

  • Проверка подлинности. Проверка удостоверения кого-либо или чего-либо.
  • Секретность. Гарантия доступности сведений только для указанной аудитории.
  • Шифрование. Изменение сведений таким образом, чтобы их было невозможно расшифровать при попытке несанкционированного прочтения.
  • Цифровые подписи. Обеспечение целостности и невозможности отрицания авторства сообщений.


Проверка подлинности

Проверка подлинности имеет решающее значение для установки безопасного подключения. Пользователи должны иметь возможность доказать свою подлинность тем, с кем они соединяются, и должны иметь возможность проверить подлинность других пользователей. Проверка подлинности по сети довольно сложна, поскольку пользователи, устанавливающие соединение, физически не встречаются. Это может позволить кому-нибудь перехватывать сообщения и выдавать себя за другое лицо.

Цифровой сертификат является общими личными сведениями пользователя, которые обеспечивают средства проверки подлинности. Сертификаты используют технологию криптографии, направленную на устранение недостатка физического контакта между пользователями, устанавливающими соединение. Использование этих технологий ограничивает возможности злоумышленников перехватывать, изменять или подделывать сообщения. Эти технологии криптографии затрудняют изменение сертификатов. Тем самым затрудняется возможность выдавать себя за другое лицо.

Данные в сертификате включают открытый криптографический ключ из пары ключей (открытого и закрытого) владельца сертификата. Подлинность сообщения, подписанного закрытым ключом отправителя, может быть проверена получателем сообщения с помощью открытого ключа отправителя. Этот ключ может быть найден в копии сертификата отправителя. Проверка подписи открытым ключом из сертификата доказывает, что подпись была получена с помощью закрытого ключа владельца сертификата. Если отправитель был бдителен и держал свой закрытый ключ в секрете, получатель может быть уверен в подлинности отправителя сообщения.

Некоторые из способов использования сертификатов для проверки подлинности приведены ниже.

  • Проверка подлинности пользователя веб-узлом через протоколы TLS (Transport Layer Security) и SSL (Secure Sockets Layer).
  • Проверка подлинности сервера пользователем через TLS.
  • Вход в домен Windows 2000. (Не применимо к Windows XP Home Edition.)

Дополнительные сведения о проверке подлинности и сертификатах см. в разделах Общие сведения о сертификатах и Ресурсы: ифраструктура открытого ключа.


Секретность

Соединения по сети, например через Интернет, являются объектом возможного наблюдения со стороны злоумышленников. Общие сети ненадежны для незашифрованных конфиденциальных сведений, поскольку любой пользователь может получить доступ к сети и анализировать данные, передаваемые между двумя компьютерами. Даже частные локальные сети уязвимы для решительных усилий со стороны злоумышленников по получению физического доступа к сети. Следовательно, если конфиденциальная информация передается между двумя вычислительными устройствами по сети любого типа, пользователи захотят использовать какой-либо вид шифрования для сохранения секретности своих данных.

Шифрование открытым ключом не используется для шифрования больших объемов данных. Вместо этого данные защищаются шифрованием секретным ключом и, в свою очередь, секретный ключ шифруется открытым ключом получателя данных. Зашифрованный секретный ключ будет затем передан получателю вместе с зашифрованными данными. Получатель будет использовать закрытый ключ для расшифровки секретного ключа. Секретный ключ затем будет использован для расшифровки сообщения.

Сертификаты обеспечивают секретность передаваемых данных различными способами. Ниже приведены некоторые из часто используемых протоколов обеспечения секретности с помощью сертификатов.

  • Протокол S/MIME.
  • Безопасность TLS.
  • IP-безопасность (IPSEC). Дополнительные сведения см. в разделе Основные сведения о политике безопасности IPSec.

Дополнительные сведения о секретности и сертификатах см. в разделе Ресурсы: инфраструктура открытого ключа


Шифрование

Шифрование можно представить как запирание ценностей в сейф под ключ. И наоборот, расшифровывание аналогично открыванию сейфа и извлечению ценностей. На компьютерах конфиденциальные данные в форме сообщений электронной почты, файлов на диске и файлов, передаваемых по сети, могут быть зашифрованы с помощью ключа. Зашифрованные данные и ключ, используемый для шифрования данных, нельзя расшифровать.

Шифрование открытым ключом обычно не используется для шифрования больших объемов данных. Шифрование открытым ключом не предлагает эффективного способа передачи кому-либо секретного ключа, который используется в операции симметричного шифрования с большим объемом данных.

Например, предположим, что Сергей хочет передать Ольге большое число зашифрованных файлов. Для шифрования данных из соображений быстродействия он будет использовать алгоритм шифрования симметричным ключом, например стандарт DES. Чтобы передать зашифрованные данные и секретный ключ DES, необходимый для расшифровки данных, Сергей зашифрует секретный ключ открытым ключом Ольги, полученным из ее сертификата. Поскольку ее открытый ключ был использован для шифрования секретного ключа, только Ольга с помощью своего закрытого ключа сможет расшифровать секретный ключ DES и расшифровать данные, зашифрованные по алгоритму DES.

Дополнительные сведения содержатся в разделе Основные сведения о шифровании файлов. Дополнительные сведения о секретности и сертификатах см. в разделе Ресурсы: инфраструктура открытого ключа


Цифровые подписи

Цифровая подпись является способом, гарантирующим целостность и происхождение данных. Цифровая подпись обеспечивает убедительные доказательства, что данные не были изменены после подписания, и подтверждает подлинность пользователя или элемента, подписавшего данные. Это создает такие возможности системы безопасности, как целостность и неотрекаемость, которые важны для безопасных электронных торговых операций.

Цифровые подписи обычно используют при распространении данных в виде скрытого текста или в незашифрованной форме. В этих случаях, хотя уязвимость сообщения не является основанием для шифрования, могут быть важные причины гарантировать, что данные находятся в исходном виде и не были отправлены самозванцем. Это связано с тем, что в распределенных вычислительных средах незашифрованный текст может быть прочитан и изменен любым лицом с соответствующим доступом (санкционированным или нет).

Дополнительные сведения о цифровых подписях и сертификатах см. в разделе Ресурсы: инфраструктура открытого ключа


Использование сертификатов

В данном разделе собраны сведения по следующим вопросам.

  • Запуск оснастки «Сертификаты»
  • Запрос сертификатов
  • Обновление сертификатов
  • Импортирование и экспортирование сертификатов
  • Просмотр сведений сертификата
  • Использование веб-страниц служб сертификации Windows 2000
  • Автоматическое обновление доверенных корневых центров


Запуск оснастки «Сертификаты»

Для управления сертификатами открытого ключа используется оснастка «Сертификаты» консоли MMC.

Администратор компьютера при добавлении оснастки «Сертификаты» к консоли MMC имеет возможность выбора управления сертификатами, которые выданы:

  • пользователю (переключатель в положении моей учетной записи пользователя);
  • компьютеру (переключатель в положении учетной записи компьютера);
  • локальной службе (переключатель в положении учетной записи службы).

Когда пользователь добавляет оснастку к консоли MMC, он может управлять сертификатами только для своей учетной записи.

Отдельный экземпляр оснастки должен быть загружен для каждого объекта, сертификатами которого планируется управлять.

Дополнительные сведения см. в разделах Чтобы управлять сертификатами учетной записи пользователя, Чтобы управлять сетификатами компьютера, Чтобы управлять сертификатами службы и Общие сведения о сертификатах.


Запрос сертификатов

Запросы сертификатов должны быть сделаны пользователем, компьютером или службой, имеющими доступ к закрытому ключу, связанному с открытым ключом, который будет частью сертификата. В зависимости от политики открытого ключа, установленной системным администратором, компьютеры и службы могут автоматически запрашивать сертификаты без вмешательства пользователя. Кроме того, администраторы могут запрашивать сертификаты пользователей смарт-карт и сертификаты смарт-карт для входа в систему от лица других пользователей с помощью сертификата агента подачи заявок.

Существует два основных способа явного запроса сертификатов в Windows.

Запрос сертификата с помощью мастера запроса сертификата

Когда сертификаты запрашиваются в центре сертификации предприятия Windows, можно использовать мастер запроса сертификата, расположенный в оснастке «Сертификаты». Этот мастер поможет выполнить следующие шаги.

  • Выбор центра сертификации, которому будет направлен запрос.

    Только центры сертификации предприятия, доступные в домене Windows, смогут выдать сертификат с помощью мастера запроса сертификата.

  • Выбор соответствующего шаблона сертификата для создания нового сертификата.

    Шаблоны сертификата представляют собой заранее определенные конфигурации, обеспечивающие распространенные настройки запроса сертификата. Шаблоны сертификата описывают цель, для которой запрашиваемый сертификат будет использоваться. Список доступных шаблонов сертификатов определяется типами сертификатов, на выдачу которых настроен центр сертификации, и наличием прав доступа к шаблонам сертификата, предоставленных системным администратором.

  • (Необязательно.) Использование Дополнительных возможностей в мастере запроса сертификата для выбора поставщика службы криптографии (CSP) для пары ключей, связанных с запросом сертификата.

Только сертификаты базовой шифрованной файловой системы (EFS) и агента восстановления EFS имеют закрытые ключи, помеченные как доступные для экспорта, при использовании мастера запроса сертификатов. Если необходимо запросить другой тип сертификата и иметь возможность экспортировать закрытый ключ в файл PKCS #12, необходимо использовать веб-страницу Дополнительный запрос службы сертификации Windows.

Указания по запуску и использованию мастера запроса сертификата см. в разделе Чтобы запросить сертификат.

Также можно использовать мастер запроса сертификата для запроса у центра сертификации предприятия нового сертификата с помощью существующей пары ключей, уже связанной с другим сертификатом. См. Чтобы запросить сертификат с прежним ключом.

Запрос сертификатов с помощью веб-страниц службы сертификации Windows

Каждый центр сертификации, установленный на сервере, имеет веб-страницы, к которым пользователь может обратиться для отправки основного и дополнительного запроса сертификата. По умолчанию эти страницы расположены по адресу http://имя_сервера/certsrv, где имя_сервера — имя сервера, на котором размещен центр сертификации.

При запросе сертификатов в самостоятельном центре сертификации используются веб-страницы службы сертификации. Веб-страницы также могут быть использованы для запроса сертификатов в центре сертификации предприятия, если необходимо установить необязательные параметры запроса, недоступные в мастере запроса сертификата, например пометку ключей как экспортируемых, указание длины ключа, выбор алгоритма хеширования или сохранение запроса в файле PKCS #10.

Дополнительные сведения об использовании веб-страниц службы сертификации см. в разделе Использование веб-страниц службы сертификации.

Обработка запросов на сертификат

Когда запрос сертификата отправляется центру сертификации предприятия, он обрабатывается незамедлительно, в отличие от установки состояния «отложено». Запрос сертификата немедленно будет отвергнут или разрешен. Если запрос разрешен, выдается сертификат и появляется подсказка, предлагающая установить его.

Когда запрос сертификата отправляется самостоятельному центру сертификации, он или обрабатывается немедленно, или (по умолчанию) считается отложенным, пока администратор центра сертификации не утвердит или не отвергнет запрос. В случае отложенного запроса заявитель должен использовать веб-страницы службы сертификации для проверки состояния отложенных сертификатов. См. Чтобы проверить отложенный запрос сертификата.

Дополнительные сведения о сертификатах и центрах сертификации см. в разделе Сертификаты и центры сертификации.


Обновление сертификатов

Каждый сертификат имеет срок действия. По окончании срока действия сертификат больше не рассматривается как приемлемое удостоверение личности. Оснастка «Сертификаты» позволяет обновлять сертификат, выданный центром сертификации предприятия в Windows 2000, перед окончанием или после окончания срока действия сертификата с помощью мастера обновления сертификатов.

Можно обновить сертификат или с тем же набором ключей, который использовался ранее, или с новым набором ключей. Сведения по вопросам повторного использования набора ключей и создания нового набора ключей для обновления сертификата см. в разделе Ресурсы: инфраструктура открытого ключа.

Перед обновлением сертификата необходимо знать следующее.

  • Центр сертификации, выдавший сертификат.
  • (Необязательно.) Поставщика службы криптографии (CSP), которого следует использовать для создания пары ключей, если для сертификата необходима новая пара из открытого ключа и закрытого ключа.

Дополнительные сведения по данному вопросу см. в разделе Чтобы обновить сертификат с новым ключом и Чтобы обновить сертификат с прежним ключом.

Кроме того, можно обновить сертификаты, выданные и центрами сертификации предприятия Windows 2000 и самостоятельными центрами сертификации Windows 2000, с помощью веб-страниц службы сертификации, вставляя их в содержимое файла PKCS #7. Дополнительные сведения см. в разделе Запрос сертификата с помощью файлов PKCS #10 или PKCS #7.


Импортирование и экспортирование сертификатов

Оснастка «Сертификаты» предоставляет административные средства для экспорта и импорта сертификатов, включая их пути сертификации и закрытые ключи, если это необходимо. Экспорт и импорт сертификатов может быть выполнен через файлы PKCS #12, файлы PKCS #7 и двоично-кодированные файлы сертификатов X.509.

Импортирование сертификата

Импорт сертификата может понадобиться для выполнения перечисленных ниже задач.

  • Установка сертификата, который был отправлен в файле другим пользователем, компьютером или центром сертификации.
  • Восстановление поврежденного или утерянного сертификата, заархивированного ранее.
  • Установка сертификата и связанного с ним закрытого ключа с компьютера, на котором владелец сертификата его использовал ранее.

Когда сертификат импортируется, он копируется из файла, который использует стандартный формат хранения сертификата, в хранилище сертификатов для учетной записи пользователя или учетной записи компьютера.

Экспортирование сертификата

Экспорт сертификата может понадобиться для выполнения перечисленных ниже задач.

  • Архивирование сертификата.
  • Архивирование сертификата и связанного с ним закрытого ключа.
  • Копирование сертификата для использования на другом компьютере.
  • Удаление сертификата и его закрытого ключа с компьютера владельца сертификата для установки на другом компьютере.

Когда сертификат экспортируется, он копируется из хранилища сертификатов в файл, использующий стандартный формат хранения сертификатов.

Стандартные форматы файла сертификата

Экспорт и импорт сертификатов можно выполнять в следующих форматах.

  • Файл обмена личной информацией (PKCS #12)

    Формат файла обмена личной информацией (PFX, также называемый PKCS #12) позволяет выполнять перенос сертификатов и их закрытых ключей с одного компьютера на другой или с компьютера на съемный носитель.

    PKCS #12 является промышленным форматом, удобным для переноса или архивирования и восстановления сертификата и его закрытого ключа. Перенос возможен между программными продуктами одного поставщика или разных поставщиков.

    Чтобы использовать формат PKCS #12, поставщик службы криптографии (CSP) должен распознавать сертификат и ключи как экспортируемые. Если сертификат был выдан центром сертификации Windows 2000, закрытый ключ для такого сертификата является экспортируемым, если выполняется одно из приведенных ниже условий.

    • Сертификат используется для шифрованной файловой системы (EFS) или для восстановления EFS.
    • Сертификат был запрошен через веб-страницу дополнительного запроса сертификата центра сертификации при установленном флажке Пометить ключ как экспортируемый.

    Поскольку экспорт закрытого ключа может раскрыть его посторонним, формат PKCS #12 является единственным форматом, поддерживаемым в Windows 2000 для экспорта сертификата и его закрытого ключа.

  • Стандарт Cryptographic Message Syntax (PKCS #7)

    Формат PKCS #7 позволяет передавать сертификат и все сертификаты на пути сертификации с одного компьютера на другой или с компьютера на съемный носитель. Файлы PKCS #7 обычно используют расширение .p7b и совместимый с ним стандарт ITU-T X.509.

    Формат PKCS#7 разрешает связь таких атрибутов, как удостоверяющие подписи, с обычными подписями. Для таких атрибутов, как подписывание времени, можно выполнить проверку подлинности вместе с содержимым сообщения.

    Дополнительные сведения о формате PKCS #7 см. страницу PKCS #7 на веб-узле лабораторий RSA.

  • DER-шифрованный файл X.509

    DER (Distinguished Encoding Rules) для ASN.1, как определено в рекомендации ITU-T Recommendation X.509, — более ограниченный стандарт кодирования, чем альтернативный BER (Basic Encoding Rules) для ASN.1, определенный в рекомендации ITU-T Recommendation X.209, на котором основан DER. И BER, и DER обеспечивают независимый от платформы метод кодирования объектов (таких, как сертификаты и сообщения) для трансмиссии между устройствами и приложениями.

    При кодировании сертификата большинство приложений используют стандарт DER, т. к. сертификат (сведения о запросе сертификата) должен быть закодирован с помощью DER и подписан.

    Этот формат может быть использован центрами сертификации, которые расположены на серверах не под управлением Windows 2000, и поддерживается для совместимости. Файлы сертификатов DER используют расширение .cer.

    Дополнительную ифромацию см. в «ITU-T Recommendation X.509, Information Technology — Open Systems Interconnection — The Directory: Authentication Framework» веб-узел союза International Telecommunication Union (ITU).

  • Base64-шифрованный формат X.509

    Этот метод кодирования создан для работы с протоколом S/MIME, который популярен для передачи двоичных файлов через Интернет. Base64 кодирует файлы в текстовый формат ASCII, при этом файлы повреждаются каждый раз при прохождении через шлюз, в то время как S/MIME обладает некоторыми криптографическими службами безопасности для элекронных приложений сообщений, включая целостность происходения и использование цифровых подписей, секретность и безопаспость данных при помощи кодирования, процесса проверки подлинности и невозможности отрицания авторства сообщений.

    MIME (Multipurpose Internet Mail Extensions) спецификации (RFC 1341 and successors) определяет механизмы кодирования произвольных двоичных данных для передачи по электронной почте.

    Т. к. все MIME-совместимые клиенты могут декодировать файлы Base64, этот формат может использоваться центрами сертификации, которые расположены на серверах не под управлением Windows 2000, и поддерживается для совместимости. Файлы сертификатов Base64 используют расширение .cer.

    Дополнительные сведения см. в «RFC 2633 S/MIME Version 3 Message Specification, 1999» на веб-узле Internet Engineering Task Force (IETF) и в «A Layman's Guide to a Subset of ASN.1, BER and DER» в RSA лаборатории.

Выбор формата экспортирования

При экспортировании сертификатов для импорта на компьютер с Windows наиболее предпочтительный формат экспорта — PKCS #7, в первую очередь потому, что этот формат обеспечивает сохранение цепочки центров сертификации, или пути сертификации, любого сертификата, который включает учетные подписи, соответствующие подписям.

При экспорте сертификатов для импорта на компьютер с другой операционной системой может поддерживаться формат PKCS #7. Если же он не поддерживается, взаимодействие осуществляют двоичный формат кодирования DER или формат Base64.

Дополнительные сведения см. в разделах Чтобы импортировать сертификат, Чтобы экспортировать сертификат, Чтобы экспортировать сертификат с закрытым ключом, Чтобы посмотреть сетификат в файле PKCS #7.

XOX


Просмотр сведений сертификата

С помощью оснастки «Сертификаты» можно просмотреть сведения о полях, расширениях и свойствах, которые определяют выданный сертификат. Для этого дважды щелкните любой сертификат, отображенный в хранилище сертификатов.

Чтобы просмотреть | Смотрите
Общие сведения об информации сертификата | Вкладка Общие
Поддерживаемые способы использования сертификата | Вкладка Общие
Кому сертификат выдан | Вкладка Общие
Срок действия сертификата | Вкладка Общие
Путь сертификата к доверенному корневому центру сертификации | Вкладка Путь сертификации
Корневой сертификат | Вкладка Путь сертификации
Сертификаты подчиненных центров сертификации | Вкладка Путь сертификации
Является ли корневой центр сертификации доверенным | Вкладка Путь сертификации
Состояние сертификата | Вкладка Путь сертификации

Вкладка Состав предоставляет следующие сведения о сертификате.

Поле сертификата | Описание
Версия | Номер версии протокола X.509.
Серийный номер | Уникальный серийный номер, присвоенный сертификату центром сертификации. Серийный номер уникален для всех сертификатов, выданных определенным центром сертификации.
Алгоритм подписи | Алгоритм хеширования, который центр сертификации использует для цифровой подписи сертификата.
Поставщик | Сведения о центре сертификации, выдавшем сертификат.
Действителен с | Начальная дата срока действия сертификата.
Действителен по | Конечная дата срока действия сертификата.
Субъект | Имя лица или центра сертификации, которым выдан сертификат. Если центр сертификации находится на сервере члена домена предприятия, это будет отличительное имя в предприятии. В противном случае это может быть полное имя и адрес электронной почты или другой идентификатор.
Открытый ключ | Длина и тип открытого ключа, связанного с сертификатом.
Алгоритм печати | Алгоритм хеширования, который генерирует сводку данных (или отпечаток) для цифровых подписей.
Печать | Сводка (или отпечаток) данных сертификата.
Понятное имя | (Необязательно.) Понятное (или общеупотребительное) имя того, кто указан в поле «Субъект».
Улучшенный ключ | (Необязательно.) Назначения, для которых сертификат может быть использован.

Существуют дополнительные возможные расширения X.509v3, которые могут присутствовать в сертификате. Если они имеются, они также будут отображены.

Процедуру, описывающую просмотр свойств сертификата, см. в разделе Просмотр сертификата.


Использование веб-страниц службы сертификации Windows 2000

Использование веб-страниц служб сертификации Windows 2000

По умолчанию у каждого центра сертификации, который находится на сервере с Windows 2000, есть веб-страницы, доступные и для пользователей, и для администраторов. Они используются для выполнения множества задач, связанных с запросами сертификатов. Эти страницы расположены по адресу: http://имя_сервера/certsrv, где имя_сервера — имя сервера Windows 2000, на котором размещен центр сертификации. Часть certsrv адреса URL всегда должна вводиться строчными буквами; в противном случае у пользователей могут быть затруднения при проверке и извлечении отложенных сертификатов. Пользователи могут обращаться к этим веб-страницам с помощью обозревателей Microsoft Internet Explorer версии 4.0 и последующих или Netscape Navigator версии 3.01 и последующих.

Веб-страницы являются единственным способом для пользователей запросить сертификаты у самостоятельного центра сертификации. Они необязательны для пользователей, которые хотят запросить сертификаты у центра сертификации предприятия. Дополнительные сведения о центрах сертификации см. в разделе Сертификаты и центры сертификации.

Если имеются разрешения доступа, с этих веб-страниц можно выполнять ряд задач.

  • Запрос основного сертификата. См. Чтобы отправить запрос сертификата пользователя через Интернет.
  • Запрос сертификата с дополнительными возможностями. См. Чтобы отправить запрос сертификата с дополнительными возможностями через Интернет.

    Они дают больший контроль за запросом сертификата. Некоторые из выбираемых пользователем возможностей, доступных в дополнительном запросе сертификата, приведены ниже.

    • Параметры поставщика службы криптографии (CSP). Имя поставщика службы криптографии, размер ключа (512, 1024 и т. д.), алгоритм хеширования (SHA/RSA, SHA/DSA, MD2, MD5) и спецификация ключа (обмен или подпись).
    • Параметры генерации ключа. Создание нового набора ключей или использование существующего, пометка ключей как экспортируемых, разрешение усиленной защиты ключа и использование хранилища локального компьютера для создания ключа.
    • Дополнительные параметры. Сохранение запроса в файле PKCS #10 или добавление любых специальных атрибутов к сертификату.

    Клиенты Netscape не могут использовать дополнительные возможности веб-страниц.

  • Проверка запроса на сертификат, находящегося в состоянии ожидания

    Если самостоятельному центру сертификации был отправлен запрос сертификата, возникнет необходимость проверять состояние отложенного запроса, чтобы увидеть, что центр сертификации выдал сертификат. Если сертификат был выдан, он будет доступен для установки.

  • Извлечение сертификата центра сертификации для помещения в корневом доверенном хранилище. См. Чтобы извлечь сертификат центра сертификации.
  • Извлечение текущего списка отзыва сертификатов. См. Чтобы извлечь список отзыва сертификатов.
  • Запрос сертификата с помощью файлов PKCS #10 или PKCS #7. Дополнительные сведения см. в разделе Чтобы запросить сертификат с помощью файлов PKCS #10 или PKCS #7.
  • (Только для администраторов.) Запрос сертификата для смарт-карты от имени другого пользователя. См. Чтобы настроить смарт-карту для входа пользователей в систему.


Автоматическое обновление доверенных корневых центров

Сертификат обычно используется при загрузке защищенного веб-узла или при отправке и получении защищенной электронной почты. Теоретически, кто угодно может выдать сертификат, но для действительно безопасных операций сертификаты должны выдаваться только доверенным лицом или организацией. Корпорация Майкрософт составила список — для Windows XP и других продуктов — компаний и организаций, которых, по мнению Майкрософт, можно считать доверенными центрами.

Обычно, если имеется сертификат, выданный центром, который не входит в список доверенных центров, предложенный обозревателем или операционной системой, предлагается установить отношение доверия к этому центру сертификации. Многие пользователи не хотят устанавливать отношение доверия к центру этим спосом, т. к. их ресурсы для проверки доверия и политик выдачи центра сертификации ограничены.

В Windows XP для этого можно использовать функцию обновления корневого сертификата. При установке Windows XP обновление корневого сертификата включается по умолчанию. При таком включении при получении сертификата, выданного центром сертификации, с которым не установлены отношения доверия, компьютер, взаимодействуя с веб-узлом Windows Update, проверяет, был ли добавлен этот ЦС в список доверенных центров Майкрософт. При добавлении центра в список доверенных ЦС Майкрософт сертификаты, выданные этим центром, автоматически добавляются в доверенное хранилище сертификатов.

Дополнительные сведения см. в разделах.Отключение автоматического обновления сертификатов доверенного корневого центра, Включение автоматического обновления сертификатов довренного корневого центра, Хранилища сертификатов.


Ресурсы: инфраструктура открытого ключа

Подробное описание сертификатов, центров сертификации, шифрования открытого ключа и инфраструктуры открытого ключа (PKI) см. в следующих книгах.

  • Adams, Carlisle and Steve Lloyd, Understanding the Public-Key Infrastructure. New Riders Publishing, November 1999.
  • Austin, Thomas, PKI:A Wiley Tech Brief. John Wiley & Sons, December 2000.
  • Feghhi, Jalal and Jalil Feghhi, Secure Networking with Windows 2000 and Trust Services. Addison-Wesley Pub Co., February 2001.
  • Ford, Warwick and Michael S. Baum, Secure Electronic Commerce: Building the Infrastructure for Digital Signatures and Encryption. Prentice Hall Press, April 1997.
  • Garfinkel, Simon and Gene Spafford, Web Security & Commerce. O'Reilly & Associates, June 1997.
  • Grant, Gail L., Understanding Digital Signatures: Establishing Trust over the Internet and Other Networks. Computing McGraw-Hill, November 1997.
  • Howard, Michael, Designing Secure Web-Based Applications for Microsoft Windows 2000. Microsoft Press, August 2000.
  • Schneier, Bruce, Applied Cryptography: Protocols, Algorithms, and Source Code in C. John Wiley & Sons, December 1995.

В следующих источниках содержится полная информация о планировании, внедрении и использовании инфраструктуры открытого ключа с помощью службы сертификатов Windows.

  • Ресурсы Windows 2000 Resource Kits на веб-узле корпорации Майкрософт (http://www.microsoft.com/)
  • «Планирование и развертывание Windows 2000» на веб-узле корпорации Майкрософт (http://www.microsoft.com)
  • Служба безопасности коррпорации Майкрософт на веб-узле корпорации Майкрософт (http://www.microsoft.com)

Подробнее о настройке службы сертификации Windows см. в руководстве.

  • Пакет Windows Platform Software Development Kits на веб-узле корпорации Майкрософт (http://www.microsoft.com/)

Последние технические сведения см.

  • Microsoft TechNet на веб-узле корпорации Майкрософт (http://www.microsoft.com/)
  • Последние технические сведения на веб-узле корпорации Майкрософт.