Доверенные корневые центры сертификации где находится

Доверенные корневые центры сертификации для доверия федерации

Чтобы установить доверительное отношение федерации между организацией Microsoft Exchange Server 2013 и системой проверки подлинности Microsoft Entra, необходимо установить цифровой сертификат, установленный на сервере Exchange Server, используемом для создания доверия. Настоятельно рекомендуется использовать самозаверяющий сертификат. Самозаверяющий сертификат создается и устанавливается автоматически при использовании мастера включения доверия федерации в Центре администрирования Exchange (EAC).

Если вы не хотите использовать самозаверяющий сертификат, необходимо запросить и установить сертификат X.509 SSL из центра сертификации, которому доверяет корпорация Майкрософт. Хотя сертификаты, выданные другими центрами сертификации, также могут использоваться для установления доверия федерации с системой проверки подлинности Microsoft Entra, на сегодняшний день они не сертифицированы корпорацией Майкрософт.

В таблице ниже перечислены центры сертификации, которые в настоящее время являются доверенными в корпорации Майкрософт. Для этих центров сертификации была проверена правильность работы с Exchange 2013.

Понятное имя центра сертификации	Выдан	Назначения
Autoridade Certificadora Raiz Brasileira	Autoridade Certificadora Raiz Brasileira	Проверка подлинности сервера, проверка подлинности клиента
Comodo	Центр сертификации Comodo	Проверка подлинности сервера, проверка подлинности клиента
CyberTrust	Центр выдачи корневых сертификатов Baltimore CyberTrust	Проверка подлинности сервера, проверка подлинности клиента
DigiCert	Корневой центр сертификации Digicert Global	Проверка подлинности сервера, проверка подлинности клиента
Сертификат Digicert высокой надежности	Корневой центр сертификации Digicert Global	Проверка подлинности сервера, проверка подлинности клиента
Entrust	Центр сертификации Entrust.net Secure Server	Проверка подлинности сервера, проверка подлинности клиента
Entrust (2048)	Центр сертификации Entrust.net Secure Server	Проверка подлинности сервера, проверка подлинности клиента
Equifax	Центр сертификации Equifax Secure	Проверка подлинности сервера, проверка подлинности клиента
GlobalSign	Центр сертификации GlobalSign	Проверка подлинности сервера, проверка подлинности клиента
Go Daddy	Центр сертификации Go Daddy Class 2	Проверка подлинности сервера, проверка подлинности клиента
Network Solutions	Центр сертификации Network Solutions	Проверка подлинности сервера, проверка подлинности клиента
PositiveSSL	Центр сертификации Comodo	Проверка подлинности сервера, проверка подлинности клиента
SECOM	Центр сертификации SECOM Trust Systems	Проверка подлинности сервера, проверка подлинности клиента
UTN-UserFirst-Hardware	Центр сертификации Comodo	Проверка подлинности сервера, проверка подлинности клиента
Verisign	Центр сертификации Class 3 Public Primary	Проверка подлинности сервера, проверка подлинности клиента
Verisign	VeriSign Trust Network	Проверка подлинности сервера, проверка подлинности клиента

Дополнительные сведения о требованиях к сертификатам для федерации см. в разделе Федерация.

Хранилище сертификатов доверенных корневых центров сертификации

Начиная с Windows Vista диспетчер Plug and Play (PnP) выполняет проверку подписи драйвера во время установки устройства и драйвера. Проверка выполняется успешно, если:

Сертификат подписи, который использовался для создания подписи, был выдан центром сертификации (ЦС).
Соответствующий корневой сертификат для ЦС устанавливается в хранилище сертификатов доверенных корневых центров сертификации. Таким образом, хранилище сертификатов доверенных корневых центров сертификации содержит корневые сертификаты всех ЦС, которым доверяет Windows.

По умолчанию хранилище сертификатов Доверенных корневых центров сертификации настроено с набором общедоступных центров сертификации, удовлетворяющих требованиям Программы корневых сертификатов Майкрософт. Администраторы могут настроить набор доверенных ЦС по умолчанию и установить собственный частный ЦС для проверки программного обеспечения.

Примечание Частный ЦС вряд ли будет доверенным за пределами сетевой среды.

Наличие действительной цифровой подписи гарантирует подлинность и целостность пакета драйвера. Однако это не означает, что конечный пользователь или системный администратор неявно доверяет издателю программного обеспечения. Пользователь или администратор должен решить, следует ли устанавливать или запускать приложение в индивидуальном порядке, основываясь на своих знаниях об издателе и приложении программного обеспечения. По умолчанию издатель является доверенным, только если его сертификат установлен в хранилище сертификатов доверенных издателей.

Имя хранилища сертификатов доверенных корневых центров сертификации — root. Корневой сертификат частного ЦС можно вручную установить в хранилище сертификатов доверенных корневых центров сертификации на компьютере с помощью средства CertMgr .

Примечание Политика проверки подписи драйвера, используемая диспетчером PnP, требует, чтобы корневой сертификат частного ЦС был ранее установлен в версии локального компьютера хранилища сертификатов корневых центров сертификации. Дополнительные сведения см. в статье Хранилища сертификатов «Локальный компьютер» и «Текущий пользователь».

Дополнительные сведения о подписи драйверов см. в разделе Политика подписывания драйверов.

Совместная работа с нами на GitHub

Источник этого содержимого можно найти на GitHub, где также можно создавать и просматривать проблемы и запросы на вытягивание. Дополнительные сведения см. в нашем руководстве для участников.

Windows driver documentation

Где в Windows хранятся корневые сертификаты Центров Сертификации (CA)

Если вы задаётесь вопросом, в какой папке хранятся сертификаты в Windows, то правильный ответ в том, что в Windows сертификаты хранятся в реестре. Причём они записаны в виде бессмысленных бинарных данных. Чуть ниже будут перечислены ветки реестра, где размещены сертификаты, а пока давайте познакомимся с программой для просмотра и управления сертификатами в Windows.

В Windows просмотр и управление доверенными корневыми сертификатами осуществляется в программе Менеджер Сертификатов.

Чтобы открыть Менеджер Сертификатов нажмите Win+r, введите в открывшееся поле и нажмите Enter:

certmgr.msc

Перейдите в раздел «Доверенные корневые центры сертификации» → «Сертификаты»:

Здесь для каждого сертификата вы можете просматривать свойства, экспортировать и удалять.

Просмотр сертификатов в PowerShell

Чтобы просмотреть список сертификатов с помощью PowerShell:

Get-ChildItem cert:\LocalMachine\root | format-list

Чтобы найти определённый сертификат выполните команду вида (замените «HackWare» на часть искомого имени в поле Subject):

Get-ChildItem cert:\LocalMachine\root | Where | format-list

Теперь рассмотрим, где физически храняться корневые CA сертификаты в Windows. Сертификаты хранятся в реестре Windows в следующих ветках:

Сертификаты уровня пользователей:

HKEY_CURRENT_USER\Software\Microsoft\SystemCertificates — содержит настройки сертификатов для текущего пользователя
HKEY_CURRENT_USER\Software\Policies\Microsoft\SystemCertificates — как и предыдущее расположение, но это соответствует сертификатам пользователей, развёрнутым объектом групповой политики (GPO (Group Policy))
HKEY_USERS\SID-User\Software\Microsoft\SystemCertificates — соответствует настройке определённых пользовательских сертификатов. У каждого пользователя есть своя ветка в реестре с SID (идентификатор безопасности).

Сертификаты уровня компьютера:

HKEY_LOCAL_MACHINE\Software\Microsoft\SystemCertificates — содержит настройки для всех пользователей компьютера
HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\SystemCertificates — как и предыдущее расположение, но это соответствует сертификатам компьютера, развёрнутым объектом групповой политики (GPO (Group Policy))

Сертификаты уровня служб:

HKEY_LOCAL_MACHINE\Software\Microsoft\Cryptography\Services\ServiceName\SystemCertificates — содержит настройки сертификатов для всех служб компьютера

Сертификаты уровня Active Directory:

HKEY_LOCAL_MACHINE\Software\Microsoft\EnterpriseCertificates — сертификаты, выданные на уровне Active Directory.

И есть несколько папок и файлов, соответствующих хранилищу сертификатов Windows. Папки скрыты, а открытый и закрытый ключи расположены в разных папках.

Пользовательские сертификаты (файлы):

%APPDATA%\Microsoft\SystemCertificates\My\Certificates
%USERPROFILE%\AppData\Roaming\Microsoft\Crypto\RSA\SID
%USERPROFILE%\AppData\Roaming\Microsoft\Credentials
%USERPROFILE%\AppData\Roaming\Microsoft\Protect\SID

Компьютерные сертификаты (файлы):

C:\ProgramData\Microsoft\Crypto\RSA\MachineKeys

Рассмотрим теперь где хранятся корневые CA сертификаты веб-браузеров.

Google Chrome

Использует общесистемные доверенные корневые центры сертификации.

Чтобы перейти к списку сертификатов из веб браузера:

Настройки → Приватность и Защита → Безопасность → Управление сертификатами → Просмотр сертификатов → Центры сертификации → Доверенные корневые центры сертификации:

Opera

Чтобы перейти к списку сертификатов из веб браузера: Настройки → Перейти к настройкам браузера → Дополнительно → Безопасность → Ещё → Настроить сертификаты → Доверенные корневые центры сертификации:

Firefox

Приватность и Защита → Сертификаты → Просмотр сертификатов → Центры сертификации:

Для глубокого понимания OpenSSL смотрите также полное руководство: «OpenSSL: принципы работы, создание сертификатов, аудит».

Связанные статьи:

Как добавить сертификат Центра Сертификации (CA) в доверенные в Windows (99.4%)
Как включить DNS через HTTPS (DoH) в веб-браузерах (58%)
Как в Windows 11 поменять веб-браузер по умолчанию (52.5%)
Почему Windows 10 использует так много трафика и как это исправить (50.8%)
Программное обеспечение для компьютерной криминалистики на Windows (50.8%)
Бесплатная программа для показа подробной информации об оборудовании компьютера (RANDOM — 50%)

Установка корневых и промежуточных сертификатов УЦ

Что такое корневые сертификаты, списки отозванных и зачем они нужны?

Корневой сертификат (CA) — это файл, в котором указана информация об удостоверяющем центре. Для корректной работы личного сертификата необходимо установить корневые сертификаты (а именно «промежуточный», выданный Удостоверяющему центру, и «головной корневой» сертификаты, называемые «цепочкой доверия») Удостоверяющего центра, который выпустил данный сертификат. Списки отозванных сертификатов (CRL)– список аннулированных сертификатов. Корневые сертификаты и списки отозванных необходимы для проверки информации о действительности и подлинности электронной подписи пользователя.

Где скачать корневые сертификаты?

Корневые сертификаты зависят от Удостоверяющего центра, выдавшего сертификат. Посмотреть, кем выдан сертификат, можно в открытой части сертификата (файл с расширением .cer). Информация указана в поле «Кем выдан» на вкладке «Общие».
Если сертификат выдан УЦ:

ООО «Такском» – сертификаты можно загрузить в разделе «Какие корневые сертификаты нужны для работы с сертификатами УЦ «Такском» данной статьи или с помощью «Мастера настройки».
Федеральная налоговая служба – можно загрузить с сайта ФНС.
Для других – необходимо обратиться в Удостоверяющий центр, выдавший сертификат.

Какие корневые сертификаты нужны для работы с сертификатами УЦ «Такском»?

«Корневой сертификат Минкомсвязи России (ГОСТ 2012)» от 6.07.2018 («Минкомсвязь России»), необходимо установить в хранилище «Доверенные корневые центры сертификации»;
«Корневой сертификат Минкомсвязи России (ГОСТ 2012)» от 02.07.2021 («Минкомсвязь России»), необходимо установить в хранилище «Доверенные корневые центры сертификации»;
«Корневой сертификат Минцифры России (ГОСТ 2012)» от 08.01.2022 (Минцифры России) установить в хранилище «Доверенные корневые центры сертификации»;
«Промежуточный сертификат ООО «Такском» 2018 (ГОСТ 34.10-2012)» от 16.08.2018 («ООО «Такском»), необходимо установить в хранилище «Промежуточные центры сертификации»;
«Промежуточный сертификат ООО «Такском» 2020 (ГОСТ 34.10-2012)» от 17.12.2020 («ООО «Такском»), необходимо установить в хранилище «Промежуточные центры сертификации».
«Промежуточный сертификат ООО «Такском» 2021 (ГОСТ 34.10.2012» от 09.06.2021 («ООО «Такском»), необходимо установить в хранилище «Промежуточные центры сертификации»;
«Промежуточный сертификат ООО «Такском» 2021 (ГОСТ 34.10.2012» от 30.07.2021 («ООО «Такском»), необходимо установить в хранилище «Промежуточные центры сертификации»;
«Промежуточный сертификат ООО «Такском» 2022 (ГОСТ 34.10.2012» от 28.02.2022 («ООО «Такском»), необходимо установить в хранилище «Промежуточные центры сертификации».
«Промежуточный сертификат ООО «Такском» 2023 (ГОСТ 34.10.2012» от 16.06.2023 («ООО «Такском»), необходимо установить в хранилище «Промежуточные центры сертификации».

«корневой сертификат Головного удостоверяющего центра» от 20.07.2012 («Головной удостоверяющий центр»), необходимо установить в хранилище «Доверенные корневые центры сертификации»;
«промежуточный сертификат ООО «Такском» (2018)» от 8.02.2018 («ООО «Такском»), необходимо установить в хранилище «Промежуточные центры сертификации».

В браузере открыть «Панель управления» — «Свойства браузера» — «Содержание» — «Сертификаты»;
Нажать на необходимый сертификат двойным кликом и выбрать вкладку «Состав»;
Проверить строку «Алгоритм подписи».

Как проверить, установлены ли корневые сертификаты?

Необходимо открыть сертификат (файл с расширением .cer) и перейти на вкладку «Путь сертификации». Установка 1.png
Пример корректно установленной цепочки доверия Если «цепочка доверия» установлена некорректно, на каком-либо сертификате или на самой цепочке могут быть красные «крестики» (пример на скриншоте ниже). Установка 2.png
Пример некорректно установленной цепочки доверия

Как установить корневые сертификаты и списки отозванных?

Для установки списка отозванных сертификатов воспользуйтесь инструкцией по установке списка отозванных сертификатов. Установить корневые сертификаты можно несколькими способами: Способ 1 (автоматически) Откройте «Мастер настройки рабочего места», нажмите «Настроить» и следуйте подсказкам системы. Инструкция по работе с «Мастером настройки». Способ 2 (ручная установка) Важно при установке сертификата обязательно выбирать только соответствующую папку:

корневые сертификаты необходимо устанавливать в папку «Доверенные корневые центры сертификации»;
промежуточные – в «Промежуточные центры сертификации».

Установка корневых сертификатов ОС Windows

Откройте файл корневого сертификата, дважды нажав на него левой кнопкой мыши;
В открывшемся окне нажмите «Установить сертификат»;
Нажмите «Далее»;
Выберите пункт «Поместить все сертификаты в следующее хранилище» и нажмите «Обзор»;
В новом окне выберите хранилище «Доверенные корневые центры сертификации» и нажмите «ОК»;
В окне «Мастера импорта сертификатов» нажмите «Далее»;
Нажмите «Готово»;
Сертификат успешно установлен. Нажмите «ОК» в появившемся окне, чтобы закрыть «Мастер импорта сертификатов»;
Закройте окно сертификата, нажав «ОК».

ОС Linux Чтобы установить корневые сертификаты в хранилище на ОС Linux, рекомендуем использовать «КриптоПро CSP». «КриптоПро» версии 5.0

Откройте утилиту «Инструменты КриптоПро (cptools)»;
Перейдите на вкладку «Сертификаты», выберите хранилище «Доверенные корневые центры сертификации» и нажмите «Установить сертификаты».
Найдите загруженный корневой сертификат, выберите его и нажмите «Открыть»;
Если появится предупреждение, нажмите «ОК»;
Сертификат успешно установлен. Закройте окно утилиты.

«КриптоПро» версии 4.0

Откройте утилиту «Терминал»;
В терминале введите команду sudo /opt/cprocsp/bin/amd64/certmgr -inst -store root -f ;

В примере используется сертификат Корневой_СА_ООО_Такском.crt, который находится в папке «Загрузки» пользователя.
Если появится предупреждение, нажмите «ОК»;
Сертификат успешно установлен. Закройте «Терминал».

Установка промежуточных сертификатов ОС Windows

Откройте файл промежуточного сертификата, дважды нажав на него левой кнопкой мыши;
В открывшемся окне нажмите «Установить сертификат»;
В открывшемся окне нажмите «Далее»;
Выберите пункт «Поместить все сертификаты в следующее хранилище» и нажмите «Обзор»;
В новом окне выберите хранилище «Промежуточные центры сертификации» и нажмите «ОК»;
В окне «Мастера импорта сертификатов» нажмите «Далее»;
Нажмите «Готово»;
Сертификат успешно установлен. Нажмите «ОК» в появившемся окне, чтобы закрыть «Мастер импорта сертификатов»;
Закройте окно сертификата, нажав «ОК».

ОС Linux Чтобы установить промежуточные сертификаты в хранилище на ОС Linux, рекомендуем использовать «КриптоПро CSP». «КриптоПро» версии 5.0

Откройте утилиту «Инструменты КриптоПро — cptools»;
Перейдите на вкладку «Сертификаты», выберите хранилище «Промежуточные центры сертификации» и нажмите «Установить сертификаты»;
Выберите нужный сертификат для установки и нажмите «Открыть»;
Сертификат установлен. Закройте окно утилиты.