Windows ile çalışan her kuruluşta dijital sertifikalar, sürücü imzaları ve şifreleme cihazları yaygın hale gelmiştir. İster birkaç bilgisayarı ister tüm bir etki alanını yönetin, güvenlik, güçlü kimlik doğrulama ve yüklü yazılımlar üzerinde kontrol istiyorsanız, bu ekosistemin nasıl çalıştığını anlamanız gerekir.
Vergi daireleri veya sosyal güvenlik kurumları tarafından istenen tipik sertifikalara ek olarak, profesyonel ortamlarda kullanıcı sertifikalarını, denetleyici sertifikalarını, dahili sertifika otoritelerini ve Adobe, tarayıcılar ve token'lar gibi araçları nasıl yöneteceğinizi bilmek çok önemlidir . Kulağa karmaşık geliyor, ancak adım adım incelersek, kavramları anladığınız ve belirli en iyi uygulamaları izlediğiniz takdirde oldukça yönetilebilir olduğunu göreceksiniz.
Dijital sertifika nedir ve Windows'ta neden bu kadar önemlidir?
Dijital sertifika, özünde çevrimiçi kimlik kartınız gibi işlev gören elektronik bir belgedir . Tanınmış bir Sertifika Otoritesi (CA) tarafından verilir. Bir kişiyi, şirketi, hatta bir sunucuyu veya web sitesini benzersiz bir şekilde tanımlamaya yarar.
Bu sertifika, sertifika yetkilisi tarafından önceden doğrulanmış olan sahibinin kimlik bilgilerini (isim, vergi kimlik numarası, kuruluş vb.) içerir. Bu sayede, belgeleri imzalamak, devlet kurumlarına kimliğimizi doğrulamak veya bir web sitesinin veya denetleyicinin güvenilir olduğunu doğrulamak için kullanabiliriz.
Windows dünyasında bu sertifikalar, belgeleri, programları ve sürücüleri elektronik olarak imzalamanıza ve güvenli bağlantılar kurmanıza olanak tanır . Bu nedenle, bunları doğru şekilde yönetmek çok önemlidir: ait oldukları yere yükleyin, süreleri dolmadan önce yenileyin, yedeklerini dışa aktarın, sorunlar varsa iptal edin ve rastgele silmeyin.
Neredeyse her şey için sertifikalar mevcuttur: kişisel, işletme, web sitesi, denetleyici, kök, ara, istemci, sunucu ve daha birçokları. Windows bunları Edge, Chrome, Adobe Reader, AutoFirma ve yönetim araçları gibi uygulamalar tarafından erişilen farklı "depolarda" saklar.
Karşılaşabileceğiniz dijital sertifika türleri
Windows ekosisteminde, kullanım amaçlarına ve sahiplerine bağlı olarak farklı türde sertifikalarla karşılaşacaksınız . Bunlar şunlardır:
- kişisel sertifikalarBunlar bir bireyin adına düzenlenir. Bunları çevrimiçi işlemlerde kendimizi tanıtmak, PDF belgelerini imzalamak, İspanya Vergi Dairesi (AEAT), İspanya Trafik Dairesi (DGT), Sosyal Güvenlik Kurumu vb. kurumlara erişmek için kullanırız.
- Kuruluş sertifikaları. Bunlar bir şirket, dernek veya kuruluşla ilgili belgelerdir. Belge yetkili bir temsilci tarafından kullanılsa bile, kuruluşun kendisi imzalar veya kendini tanıtır. Şirket vergilerini beyan etmek, kurumsal belgeleri imzalamak veya kuruluş adına devlet kurumlarıyla iletişim kurmak için kullanılırlar.
- Elektronik merkez ofis sertifikalarıResmi bir web sitesini veya portalı kamu idaresine veya kuruluşuna ait olarak tanımlayarak, sitenin meşru olduğunu ve iletişimin korunduğunu garanti altına alırlar.
Windows sertifika deposunda ayrıca Güvenilir Kök Yetkilendirme Kurumları, Aracı Kurumlar, Diğer Kullanıcılar, İstemci Kimlik Doğrulaması ve "kaldırılamayan sertifikalar" gibi kategoriler de göreceksiniz . Bunlar, nihai sertifikaları doğrulamanıza olanak tanıyan güven zincirinin bileşenleridir.
Windows'ta kod imzalama sertifikaları ve sürücü imzalama
Windows'ta sürücüler ve yazılımlar söz konusu olduğunda, kod imzalama sertifikaları devreye girer . Bu sertifikaların işlevi, bir programın veya sürücünün belirli bir yayıncı tarafından yayınlandığını ve imzalandığı tarihten bu yana değiştirilmediğini garanti etmektir.
Çekirdek modu sürücüleri söz konusu olduğunda, Windows özellikle katıdır. Windows 7 (SHA-256 için yamalanmış) ve Windows 8'den başlayarak ve Windows 10 ile daha da fazla olmak üzere, sürücülerin güvenli algoritmalarla (SHA-256 gibi) ve birçok durumda Genişletilmiş Doğrulama (EV) kod imzalama sertifikalarıyla imzalanması gerekir.
Windows SDK'nın bir parçası olan SignTool , genellikle sürücüleri imzalamak için kullanılır . Sertifika, PFX parolası, karma algoritması, ek sertifikalar (örneğin, Microsoft çapraz sertifikası) ve zaman damgası sunucusu gibi seçenekleri belirtmenize olanak tanır.
SignTool'un temel parametreleri şunlardır: PFX dosyasını belirtmek için /f, parola için /p, karma algoritması için /fd (örneğin, /fd sha256), çapraz sertifika eklemek için /ac, RFC 3161 zaman damgası sunucusunu yapılandırmak için /tr ve ortak adına göre depodan belirli bir sertifikayı seçmek için /n.
Sürücü ikili dosyaları (genellikle .sys ve .cat dosyaları) imzalandıktan sonra, `signtool verify -v -kp` komutuyla imzayı doğrulayabilirsiniz ; bu komut, çekirdek modu sürücüleri için belirli kriterlere göre doğrulama yapar. Ek doğrulama araçları için sigcheck kılavuzuna bakın . Her şey doğruysa, Windows sürücüyü yükleyecek ve yayıncıyı "bilinen ve güvenilir" olarak gösterecektir.
Önkoşullar: Donanım Geliştirici Programı ve EV sertifikaları
Microsoft ekosistemi üzerinden sürücü yayınlayacaksanız, donanım için İş Ortağı Merkezi yöneticisi olarak , kuruluşunuzla ilişkili kod imzalama sertifikalarını ekleme, güncelleme ve kaldırma işlemlerini yönetmeniz gerekecektir.
İlk adım, Microsoft Donanım Geliştiricileri Programına kaydolmaktır . Şirket hesabınız henüz mevcut değilse, adımları izleyerek ve kuruluşunuzu bağlayarak kayıt işlemini tamamlamanız gerekecektir.
Sürücüleri yüklemek ve imzalamak için, tercihen güvenilir bir sağlayıcı tarafından verilmiş bir kod imzalama sertifikasına (EV) ihtiyacınız vardır . Şirketinizin zaten geçerli bir sertifikası varsa, onu yeniden kullanabilirsiniz. Aksi takdirde, tanınmış bir Sertifika Otoritesi (CA) aracılığıyla bir sertifika edinmeniz gerekecektir. CA, şirketinizin kimliğini (belgeler, iletişim bilgileri, telefon numarası vb.) doğrulayacak ve onaylandıktan sonra sertifikayı indirme talimatlarını sağlayacaktır.
Modern ortamlarda, SHA-2 (SHA-256) tabanlı sertifikalar ve zaman damgalarıyla çalışmak şarttır . Kod imzalama sertifikaları ve zaman damgalama sunucuları gibi daha yeni uygulamalar için SHA-1 desteği pratikte aşamalı olarak kaldırılmaktadır.
İş Ortağı Merkezi'nde kod imzalama sertifikalarını nasıl ekleyebilir, yenileyebilir veya iptal edebilirsiniz?
EV veya standart sertifikası zaten verilmişse, bir sonraki adım, Microsoft'un sürücülerinizi imzalarken ve doğrularken bunu tanıması için Partner Center'daki donanım paneline eklemektir . İşte adımlar:
- Portala giriş yapın. donanım hesabı yöneticisi kimlik bilgileriOradan, sağ üst köşedeki dişli çark simgesine erişin ve hesap ayarları veya geliştirici ayarları bölümüne girin.
- Seçeneğe tıklayın “Sertifikaları yönet” (yan menüde).
- seçmek “Yeni bir sertifika ekle” seçeneğine tıklayın ve sihirbazı kullanarak devam edin.Portal, yerel olarak SignTool kullanarak kod imzalama sertifikanızla imzalamanız gereken ikili bir dosyayı (genellikle Signablefile.bin) indirmenize olanak tanıyacaktır. Geçerli bir SHA-2 zaman damgasıyla birlikte SHA-256 algoritması.
- Nihayet Sertifikayı İş Ortağı Merkezine geri yükleyin.Microsoft, imzanın kuruluşunuz tarafından verilmiş bir sertifikayla eşleştiğini doğrulayacak ve her şey doğruysa, bu sertifikayı hesabınız için kabul edilen kod imzalama sertifikaları listesine ekleyecektir.
Windows'ta yüklü sertifikaları nasıl görüntüleyebilir ve yönetebilirsiniz?
Yüklediğiniz tüm sertifikalar (hem kişisel hem de sistem sertifikaları) Windows Sertifika Yöneticisi'nde saklanır . Uygulamalar buradan kimlik doğrulama, imzalama veya şifreleme için hangi sertifikaların kullanılabilir olduğunu kontrol eder.
Sistem ve birçok hizmet tarafından kullanılan bilgisayar (makine düzeyinde) sertifikalarını incelemek için , arama çubuğundan veya Çalıştır iletişim kutusundan (Win + R) certlm.msc komutunu kullanabilirsiniz . Bu, amaçlarına göre kategorize edilmiş çeşitli klasörler içeren Yerel Bilgisayar Sertifikaları konsolunu açacaktır.
Kişisel kullanıcı sertifikalarınızı görüntülemek için certmgr.msc aracını kullanın . Burada yalnızca Windows profilinizle bağlantılı sertifikaları bulacaksınız: yönetimsel görevler için kullandığınız sertifikalar, iş sertifikaları, belirli uygulamalar veya tarayıcılar tarafından yüklenen sertifikalar vb.
Daha ileri düzey kullanıcılar için, Windows Kayıt Defteri'nde sertifikaların varlığını kontrol etmek de mümkündür . Örneğin, geçerli kullanıcının sertifikaları HKEY_CURRENT_USER/Software/Microsoft/SystemCertificates/CA/Certificates gibi yollarda saklanırken, Grup İlkesi Nesneleri (GPO'lar) ile ilişkili sertifikalar HKCU/Software/Policies/Microsoft/SystemCertificates altındaki dallarda bulunur.
Çoğu durumda Kayıt Defteri'nde herhangi bir şeye dokunmaya gerek yoktur, ancak sertifika yükleme, yinelenen kayıtlar veya etki alanı tarafından uygulanan politikalarla ilgili sorunları teşhis etmeniz gerekiyorsa, bu konuda bilgi sahibi olmak faydalıdır.
Windows'ta sertifikaları dışa aktarma, yedekleme ve silme
Sık sık sertifikalarla çalışıyorsanız, yedekleme stratejisine sahip olmak çok önemlidir . Yedekleme olmadan bir sertifikayı kaybetmek, tüm başvuru ve şahsen akreditasyon sürecini tekrarlamak anlamına gelebilir.
Windows, Sertifika Yöneticisi'nden sertifikaları dışa aktarmanıza olanak tanır . Sertifikayı klasöründe bulun, sağ tıklayın, "Tüm Görevler"e gidin ve "Dışa Aktar"ı seçin. Açılan sihirbaz, özel anahtarı dahil etmek isteyip istemediğinizi ve hangi dışa aktarma biçimini tercih ettiğinizi soracaktır.
Kişisel sertifikayı başka bir bilgisayara taşımak veya USB belleğe kaydetmek için genellikle parola korumalı bir PFX/P12 dosyası oluşturulur . Bu şekilde, başka bir bilgisayarda çift tıklayarak ve parolayı girerek sertifikayı ve ilgili özel anahtarını yükleyebilirsiniz.
Silme işlemi konusunda özellikle dikkatli olmalısınız. Aynı sertifika yöneticisinde, bir sertifikayı seçip silme seçeneğini belirlemek, sertifikayı sertifika deposundan kaldırır ve Windows ile herhangi bir uygulama için kullanılamaz hale getirir . Bir hata yaparsanız, kimlik doğrulamasını bozabilir, programların kullanımını engelleyebilir veya hatta sistem kararlılığını etkileyebilirsiniz.
Bu nedenle, sistem sertifikalarını rastgele silmemeniz ve özellikle her birinin amacından emin değilseniz, her zaman önceden yedekleme yapmanız önerilir . Aynı durum, hala geçerli olan ve daha sonra ihtiyaç duyabileceğiniz kullanıcı sertifikaları için de geçerlidir.
Akıllı kartlar, kriptografik tokenlar ve Bit4id PKI Yöneticisi
Birçok şirket ve kamu kuruluşunda sertifikalar bilgisayarın sabit diskinde değil, akıllı kartlarda veya kriptografik USB token'larda saklanır . Bu, özel anahtarın fiziksel cihazdan asla ayrılmaması nedeniyle ek bir güvenlik katmanı sağlar.
Bu cihazları yönetmek için kullanılan yaygın araçlardan biri , token'lar ve kartlarla iletişim kurarak kilidi açma, PIN/PUK değiştirme, sertifikaları içe aktarma, genel anahtarları dışa aktarma ve daha birçok işlemi gerçekleştiren Bit4id PKI Manager'dır . Varsayılan olarak kullanıcı modunda çalışır, ancak Ctrl + A klavye kısayolu ile gelişmiş seçenekleri etkinleştirebilirsiniz.
Cihaz panelinden okuyucu, kart, PIN ve PUK durumu ile kayıtlı kullanıcı ve CA sertifikalarının listesini görüntüleyebilirsiniz . PIN kilitliyse veya hatırlamıyorsanız, maksimum deneme sayısına ulaşmadıysanız PUK kilidi açma işlevini kullanabilirsiniz.
Ayrıca, PKI Yöneticisi, başkasının bildiğinden şüpheleniyorsanız PIN kodunu değiştirmenize , PUK kodunu değiştirmenize, cihaza giriş ve çıkış yapmanıza, yeni sertifikaları görüntülemek için içeriği güncellemenize ve daha iyi tanımlama için cihazı yeniden adlandırmanıza olanak tanır.
Sertifikaların karta aktarılması genellikle özel anahtarı içeren .p12 veya .pfx dosyaları kullanılarak yapılır. Cihaz PIN'ini, PFX dosyası için parolayı ve isteğe bağlı olarak, belirli PKCS#11 uygulamaları için yararlı olan bir CKA_ID tanımlayıcısını belirtmeniz gerekir.
Dışa aktarma işleminde yalnızca .cer formatındaki genel anahtar çıkarılır , özel anahtar asla çıkarılmaz . Bu, sertifikayı üçüncü taraflarla paylaşmak veya imzaları veya kimlik doğrulamalarını doğrulamak için gereken yere genel anahtarı yüklemek için kullanışlıdır. ( Bilinmeyen USB sürücülerini bağlamanın risklerine bakın ).
Gelişmiş yapılandırma ve sertifika yükleme kontrolleri
Bit4id PKI Yöneticisi araç çubuğunda, entegrasyon etkinleştirilmişse kart sertifikalarının kullanıcının "Kişisel" klasörüne nasıl kopyalandığını görebileceğiniz Windows sertifika deposuna bir kısayol da bulacaksınız .
Ara katman yapılandırma paneli , P12/PFX'ten CA sertifikalarının otomatik içe aktarılması, günlük oluşturma, ara katman önbelleğinin temizlenmesi ve Microsoft'un CryptoAPI/CSP'si ile entegrasyon gibi parametreleri ayarlamanıza olanak tanır . Bu son seçenek, Windows uygulamalarının (Edge veya Chrome dahil) token sertifikalarını doğrudan görmesini istiyorsanız çok önemlidir.
Sorun yaşıyorsanız, birkaç kontrol yapmanızda fayda var :
- Sertifikaların certmgr.msc (kullanıcı) üzerinde göründüğünü doğrulayın.
- Bu sertifikaların Firefox'ta (dahili deposunda) yüklü olduğundan veya Edge ya da Chrome'un sertifika bölümünden bunları görebildiğinden emin olun.
- Adobe Reader'ın Windows dijital kimliklerini algıladığını doğrulayın.
Örneğin Adobe'de, kart sertifikasının doğru şekilde görüntülendiğini doğrulamak için "Windows Dijital Kimlikleri" ni listeleyebilirsiniz. Görünmüyorsa, sorun ara yazılımda, okuyucuda, PIN'de veya bazı sistem entegrasyon ayarlarında olabilir.
Yardımcı programlar ve mesleki sertifika yöneticileri
Sertifikalar tek başına mucizeler yaratmaz. Onlardan en iyi şekilde yararlanmak için, kimlik doğrulama, belge imzalama, şifreleme veya kamu hizmetlerine bağlanma için bunları kullanan uygulamalara ihtiyacınız vardır . İspanya'da, neredeyse zorunlu olan çeşitli programlar mevcuttur.
Bir yandan, anahtar oluşturmayı ve FNMT sertifikalarını edinmeyi kolaylaştıran FNMT-RCM Yapılandırıcısı var . Ayrıca , Maliye Bakanlığı tarafından geliştirilen ve devlet tarayıcıları ve web siteleriyle entegre olarak formları ve belgeleri elektronik olarak imzalamayı sağlayan AutoFirma da oldukça biliniyor .
Bu uygulamaların çoğu Java Çalışma Ortamı'na (JRE) dayanmaktadır . Herhangi bir sürüm yeterli olmaz: bazen belirli sürüm aralıkları önerilir (örneğin, 8. sürüm Güncelleme 45'ten sonraki bazı sürümlere kadar). Her portalın gereksinimlerini kontrol etmek her zaman iyi bir fikirdir.
Ayrıca CERES Sertifika Yönetimi, PKCS#11 kriptografik modülleri ve kriptografik kartlarla çalışmak için özel sürücüler gibi yardımcı programlar da mevcuttur ; bunlar Firefox ve diğer ortamlarla uyumluluk sağlar veya PIN değişikliklerini, sertifikaların kilidini açmayı ve görüntülenmesini kolaylaştırır.
Profesyonel ortamlarda, onlarca veya yüzlerce sertifikanın yönetildiği durumlarda (danışmanlık firmaları, yönetim şirketleri, hukuk büroları vb.), DigiCert Certificate Utility for Windows veya ADMCert gibi özel yazılımlar kullanılır . Bu programlar, sertifikaların envanterini çıkarmaya, kullanım politikaları uygulamaya, kimin, nereden ve hangi amaçla kullandığını kontrol etmeye ve yapılandırma sorunlarını veya yaklaşan süre sonlarını tespit etmeye olanak tanır.
Bu gibi araçlarla, kullanıcılara veya Active Directory gruplarına, zamanlamalara, kaynak IP adreslerine veya sertifikayı çağıran uygulamalara göre kurallar yapılandırabilirsiniz . Sertifikaların artık sadece belirli kullanıcılar için olmadığı durumlarda, düzeni ve güvenliği sağlamak için bu çok önemlidir.
Active Directory Sertifika Hizmetleri ve dahili sertifika yetkilisi
Kurumsal Windows ortamlarında, Active Directory Sertifika Hizmetleri (AD CS) kullanarak dahili bir Sertifika Yetkilisi (CA) kurmak çok yaygındır . Bu, harici bir CA'ya her zaman bağımlı kalmadan kullanıcılar, bilgisayarlar, sunucular, VPN'ler, kurumsal Wi-Fi, dahili kod imzalama vb. için sertifikalar düzenlemenizi sağlar.
Kurulum, Sunucu Yöneticisi'nden Active Directory Sertifika Hizmetleri rolünü ekleyerek gerçekleştirilir . Sihirbaz sizden sunucuyu seçmenizi, Sertifika Yetkilisi rolünü ve isteğe bağlı olarak CA Web Kaydı rolünü işaretlemenizi isteyecektir; bu da IIS gibi özelliklerin eklenmesini gerektirecektir.
Rolü yükledikten sonra, AD CS yapılandırma sihirbazını çalıştırmanız gerekir. Burada yapılandırılacak rolleri (CA ve CA Web Kaydı), CA türünü (genellikle kurumsal) ve varlık türünü (ilk CA ise genellikle kök CA) seçersiniz. Yeni bir özel anahtar oluşturup oluşturmayacağınıza, şifreleme algoritmasına (SHA-256 önerilir) ve anahtar boyutuna, ayrıca CA adına ve kök sertifikanın geçerlilik süresine karar vermeniz gerekecektir.
Yapılandırma ayrıca sertifika veritabanının ve günlüklerin saklanacağı yolları da içerir . Bu yolların iyi belgelenmiş olması tavsiye edilir, çünkü gelecekteki yedeklemeler, geri yüklemeler ve geçişler için bunlara ihtiyacınız olacaktır.
CA yapılandırıldıktan sonra, sertifika şablonları oluşturabilir, GPO aracılığıyla kaydı otomatikleştirebilir , Active Directory'de bilgisayar ve kullanıcı sertifikalarını yayınlayabilir ve etki alanlarınızla entegre edilmiş eksiksiz bir dahili sertifika ekosistemi oluşturabilirsiniz.
Bu genel bakış ışığında, Windows'ta sertifikaları ve sürücü imzalarını yönetmek, temellerin net bir şekilde anlaşılmasını gerektirir. Her zaman en iyi uygulamaları uygulamak çok önemlidir: anahtarları asla paylaşmayın, yedeklemeler oluşturun, son kullanma tarihlerini izleyin, bir sorun olduğundan şüpheleniyorsanız sertifikaları iptal edin ve ne olduğunu bilmeden hiçbir şeyi silmekten kaçının . Bu temel ile, bu alanda gezinmek bir baş ağrısı olmaktan çıkar ve günlük sistem yönetiminin basit bir parçası haline gelir.
