Brak certyfikatu PKI na urządzeniu

Brak certyfikatu PKI na urządzeniu wymaga jego zainstalowania z serwera certyfikacji organizacji — wykorzystywany jest do uwierzytelniania w sieciach firmowych, VPN i podpisywania dokumentów.

Brak certyfikatu PKI na urządzeniu — co oznacza

Brak certyfikatu PKI na urządzeniu oznacza, że komputer, laptop, telefon lub inne urządzenie nie posiada cyfrowego poświadczenia potrzebnego do potwierdzenia jego tożsamości w określonym środowisku informatycznym. Certyfikat jest plikiem powiązanym z kluczem kryptograficznym i wystawionym przez zaufany urząd certyfikacji. Dzięki niemu możliwe jest sprawdzenie, czy dane urządzenie albo użytkownik ma prawo korzystać z określonej usługi, sieci lub aplikacji.

W praktyce problem może pojawić się po reinstalacji systemu, wymianie dysku, przywróceniu ustawień fabrycznych, zmianie profilu użytkownika albo usunięciu magazynu certyfikatów. Czasami certyfikat znajduje się na urządzeniu, lecz został zapisany w niewłaściwym magazynie, utracił ważność lub nie jest powiązany z odpowiednim kluczem prywatnym. Z tego powodu sam komunikat o braku certyfikatu nie zawsze oznacza fizyczne usunięcie pliku. Niezbędne może być sprawdzenie całego łańcucha zaufania, uprawnień oraz zgodności certyfikatu z usługą, która próbuje go wykorzystać.

Certyfikaty PKI mogą służyć między innymi do uwierzytelniania urządzeń, logowania użytkowników, zestawiania bezpiecznych połączeń, ochrony poczty elektronicznej, podpisywania dokumentów i szyfrowania komunikacji. Ich zastosowanie zależy od zasad przyjętych w danym środowisku. Wymagane poświadczenie może być przypisane do konkretnego komputera, konta użytkownika, karty kryptograficznej lub modułu zabezpieczeń.

Certyfikat PKI a zwykłe hasło i inne mechanizmy uwierzytelniania

Hasło potwierdza znajomość określonego ciągu znaków, natomiast certyfikat opiera się na parze kluczy kryptograficznych i podpisie wystawcy. Weryfikacja nie polega wyłącznie na sprawdzeniu, czy certyfikat istnieje. Analizuje się także jego datę ważności, nazwę podmiotu, przeznaczenie, podpis urzędu certyfikacji oraz możliwość potwierdzenia zaufania do wystawcy. Jeśli którykolwiek z tych elementów nie pasuje do wymagań usługi, połączenie lub logowanie może zostać odrzucone.

Ważną rolę odgrywa klucz prywatny. Certyfikat publiczny może być widoczny w magazynie systemowym, lecz bez odpowiadającego mu klucza prywatnego nie będzie możliwe wykonanie operacji wymagającej podpisu lub uwierzytelnienia. Taka sytuacja występuje na przykład po przeniesieniu samego pliku certyfikatu na inny komputer bez eksportu pełnego zestawu kluczy. Problem może też wynikać z niewłaściwych uprawnień do klucza prywatnego, uszkodzenia profilu użytkownika albo działania programu ochronnego blokującego dostęp do magazynu.

Znaczenie ma również miejsce instalacji. Certyfikat zapisany w magazynie użytkownika może nie być dostępny dla usługi działającej w kontekście systemu, a poświadczenie przeznaczone dla komputera może nie pojawić się w profilu konkretnego użytkownika. W systemach Windows sprawdza się między innymi magazyny osobiste, zaufane urzędy certyfikacji oraz poświadczenia komputera lokalnego. W innych systemach podobne funkcje mogą być realizowane przez odrębne magazyny, moduły kryptograficzne lub profile aplikacji.

Nie należy również zakładać, że instalacja dowolnego certyfikatu rozwiąże problem. Poświadczenie musi pochodzić z właściwego źródła i mieć odpowiednie przeznaczenie. Wgranie przypadkowego pliku może nie tylko nie przywrócić dostępu, ale także doprowadzić do błędów zaufania albo naruszyć zasady bezpieczeństwa. Źródło certyfikatu, sposób jego dystrybucji i wymagania dotyczące klucza prywatnego powinny zostać potwierdzone przed rozpoczęciem konfiguracji.

Typowe problemy związane z brakiem certyfikatu

Jednym z częstszych objawów jest komunikat informujący o braku wymaganego certyfikatu podczas próby połączenia z zabezpieczoną siecią lub usługą. Może pojawić się także odmowa logowania, wielokrotne żądanie wybrania certyfikatu, ostrzeżenie o niezaufanym wystawcy albo błąd wskazujący na niemożność znalezienia klucza prywatnego. W aplikacji do podpisu elektronicznego dokument może nie zostać podpisany, mimo że certyfikat jest widoczny na liście dostępnych poświadczeń.

Przyczyną bywa usunięcie certyfikatu podczas czyszczenia systemu, aktualizacji oprogramowania lub zmiany profilu. Zdarza się też, że certyfikat wygasł, został unieważniony albo jego nazwa nie odpowiada aktualnej konfiguracji. Jeżeli urządzenie korzysta z karty kryptograficznej lub zewnętrznego nośnika, problem może dotyczyć sterownika, oprogramowania pośredniczącego, czytnika albo samego dostępu do urządzenia kryptograficznego.

Inny scenariusz występuje po zmianie daty i godziny. Certyfikat ważny w rzeczywistym czasie może zostać uznany za nieważny, gdy zegar systemowy wskazuje przeszłość lub przyszłość. Weryfikacja może również zakończyć się błędem, gdy brakuje certyfikatu pośredniego lub głównego urzędu certyfikacji. Wtedy użytkownik widzi poświadczenie, ale system nie potrafi zbudować poprawnego łańcucha zaufania.

Warto zwrócić uwagę na różnicę między brakiem certyfikatu a błędem aplikacji. Jeśli certyfikat jest obecny i poprawny, lecz program nie może go odczytać, przyczyną może być niezgodna wersja komponentu kryptograficznego, ograniczenie uprawnień, uszkodzona konfiguracja przeglądarki albo konflikt między kilkoma poświadczeniami. Diagnostyka powinna obejmować komunikat błędu, dzienniki systemowe, daty ważności, przeznaczenie certyfikatu oraz obecność odpowiadającego klucza prywatnego.

Nie powinno się usuwać wszystkich certyfikatów z magazynu bez wcześniejszego ustalenia, które z nich są wykorzystywane. Taka operacja może spowodować utratę dostępu do usług, problemy z podpisywaniem lub konieczność ponownego wydania poświadczenia. Bezpieczniejszym rozwiązaniem jest wykonanie kopii zgodnej z polityką organizacji, zapisanie informacji o aktualnej konfiguracji i dopiero potem przeprowadzenie kontrolowanej instalacji właściwego certyfikatu.

Kiedy warto poprosić o ocenę stanu sprzętu - Brak certyfikatu PKI na urządzeniu

Zgłoszenie do serwisu jest uzasadnione, gdy certyfikat został utracony po awarii systemu, po wymianie podzespołów nie działa dostęp do wymaganej usługi, pojawia się błąd klucza prywatnego albo nie wiadomo, w którym magazynie powinno znajdować się poświadczenie. Pomoc może być potrzebna także wtedy, gdy kilka aplikacji zgłasza różne komunikaty, certyfikat jest widoczny tylko dla jednego użytkownika lub próby instalacji kończą się ostrzeżeniem o braku zaufania.

W ramach diagnostyki można sprawdzić stan systemu, magazyny certyfikatów, datę i godzinę, sterowniki, dostęp do klucza prywatnego oraz zgodność konfiguracji z wymaganiami używanej usługi. Jeżeli poświadczenie powinno zostać wydane ponownie przez właściwy urząd certyfikacji, można przygotować urządzenie do bezpiecznej instalacji, bez zastępowania certyfikatu przypadkowym plikiem. Przed przekazaniem sprzętu warto opisać moment wystąpienia problemu, podać dokładny komunikat i wskazać, czy wcześniej wykonywano reinstalację, aktualizację lub zmianę dysku.

W Warszawie takie przypadki można przekazać do Warszawskiego Pogotowia Komputerowego 24/7, gdzie naprawy są zazwyczaj realizowane w ciągu do 3 dni roboczych. Przy pracy z certyfikatami należy zachować szczególną ostrożność i nie udostępniać osobom postronnym haseł, kodów PIN ani niezaszyfrowanych kopii klucza prywatnego. Jeżeli poświadczenie znajduje się na karcie lub innym zabezpieczonym nośniku, najlepiej przekazać również informacje o używanym czytniku i oprogramowaniu, lecz sam kod dostępu podawać wyłącznie wtedy, gdy jest to konieczne i odbywa się w bezpiecznych warunkach.