Brak certyfikatu RDP

Brak certyfikatu RDP (dla szyfrowanego połączenia pulpitu zdalnego) wskazuje na niewygenerowany lub wygasły certyfikat na serwerze docelowym — wymaga jego odnowienia po stronie hosta RDP.

Brak certyfikatu RDP — czym jest ten problem

Brak certyfikatu RDP oznacza, że usługa Pulpitu zdalnego nie może użyć prawidłowego certyfikatu do zabezpieczenia sesji. Certyfikat jest elementem uwierzytelniania hosta oraz szyfrowania komunikacji między urządzeniem, z którego następuje logowanie, a komputerem docelowym. Gdy nie został utworzony, został usunięty, utracił ważność albo nie jest dostępny dla usługi RDP, podczas próby połączenia może pojawić się ostrzeżenie dotyczące tożsamości komputera, błąd negocjacji zabezpieczeń lub komunikat informujący o braku możliwości ustanowienia bezpiecznej sesji.

Nie zawsze oznacza to całkowity brak pliku certyfikatu w systemie. Przyczyną może być również nieprawidłowe przypisanie certyfikatu do usługi, brak dostępu usługi do klucza prywatnego, uszkodzenie lokalnego magazynu certyfikatów albo problem z uprawnieniami konta, na którym działa RDP. Znaczenie mają także ustawienia zasad zabezpieczeń, sposób uwierzytelniania oraz zgodność parametrów kryptograficznych po obu stronach połączenia.

Znaczenie certyfikatu w połączeniu zdalnym

Podczas zestawiania sesji RDP sprawdzana jest tożsamość hosta, a następnie uzgadniane są mechanizmy ochrony transmisji. Certyfikat pozwala klientowi ocenić, z jakim komputerem nawiązywane jest połączenie, oraz wykorzystać klucz publiczny do rozpoczęcia bezpiecznej wymiany danych. Jeżeli certyfikat jest samopodpisany, nie musi oznaczać awarii, ale może powodować ostrzeżenie, ponieważ nie pochodzi z urzędu zaufanego przez komputer kliencki. Inna sytuacja występuje wtedy, gdy certyfikat jest wygasły, ma nieprawidłową nazwę hosta albo nie zawiera właściwego klucza prywatnego.

W środowisku lokalnym problem może ujawnić się dopiero po zmianie nazwy komputera, odtworzeniu systemu z kopii, aktualizacji składników zabezpieczeń lub zmianie zasad grupy. W większej infrastrukturze dodatkowe znaczenie ma zaufanie do urzędu certyfikacji, synchronizacja czasu oraz prawidłowa dystrybucja certyfikatów. Różnica między ostrzeżeniem o niezaufanym wystawcy a komunikatem o braku certyfikatu jest istotna, ponieważ pierwsza sytuacja może dotyczyć wyłącznie zaufania po stronie klienta, natomiast druga często wskazuje na konfigurację samej usługi RDP.

Nie powinno się wyłączać kontroli certyfikatów bez ustalenia przyczyny. Takie działanie może ukryć problem z tożsamością hosta i zwiększyć ryzyko zaakceptowania połączenia z niewłaściwym komputerem. Bezpieczniejsze jest sprawdzenie certyfikatu przypisanego do usługi, jego okresu ważności, nazwy podmiotu, obecności klucza prywatnego oraz uprawnień wymaganych do jego użycia.

Typowe przyczyny i objawy braku certyfikatu RDP

Jednym z częstych powodów jest nieudane automatyczne wygenerowanie certyfikatu po instalacji lub ponownym uruchomieniu składników Pulpitu zdalnego. Podobny skutek może wywołać ręczne usunięcie certyfikatu, przywrócenie systemu do wcześniejszego stanu albo migracja profilu komputera bez przeniesienia odpowiedniego klucza prywatnego. Zdarza się również, że certyfikat istnieje w magazynie, lecz usługa nie ma prawa odczytać klucza lub wskazano niewłaściwy wpis konfiguracyjny.

Objawy mogą obejmować przerywanie logowania, wielokrotne wyświetlanie ostrzeżenia o certyfikacie, brak możliwości ustanowienia sesji po aktualizacji, komunikaty o błędzie zabezpieczeń transportu oraz różne zachowanie w zależności od używanego klienta RDP. Warto odróżnić ten problem od niedostępności portu, blokady zapory, błędnego hasła, braku uprawnień użytkownika czy wyłączonej usługi. Sam komunikat o certyfikacie nie potwierdza jeszcze, że sieć działa prawidłowo ani że konto ma prawo do zdalnego logowania.

Diagnostyka powinna objąć dzienniki zdarzeń związane z usługą zdalnego pulpitu, magazyn certyfikatów komputera lokalnego, przypisanie certyfikatu do usługi oraz stan usług odpowiedzialnych za obsługę sesji. Należy także sprawdzić datę i czas, ponieważ znaczna rozbieżność może powodować uznanie prawidłowego certyfikatu za nieważny. Po wymianie certyfikatu może być konieczne ponowne uruchomienie właściwej usługi, odświeżenie zasad albo ponowne nawiązanie połączenia z klienta.

W przypadku certyfikatu wystawionego przez wewnętrzny urząd certyfikacji trzeba potwierdzić, czy certyfikat urzędu nadrzędnego jest zaufany na komputerze, z którego wykonywane jest logowanie. Przy certyfikacie samopodpisanym należy świadomie ocenić, czy ostrzeżenie jest spodziewane i czy nazwa hosta odpowiada komputerowi, z którym ma zostać nawiązana sesja.

Kiedy warto zgłosić brak certyfikatu RDP do serwisu

Zgłoszenie do serwisu jest uzasadnione, gdy problem pojawia się na kilku kontach, uniemożliwia pracę zdalną, powraca po odtworzeniu konfiguracji albo wystąpił po zmianach systemowych i nie wiadomo, który element został naruszony. Weryfikacji wymaga także sytuacja, w której certyfikat wygląda na prawidłowy, lecz usługa nadal zgłasza brak zabezpieczenia. Przydatne jest przekazanie dokładnej treści komunikatu, informacji o momencie wystąpienia problemu oraz wskazania, czy połączenie nie działa z jednego, czy z wielu komputerów.

W Warszawskim Pogotowiu Komputerowym 24/7 można zlecić sprawdzenie konfiguracji RDP, magazynu certyfikatów, uprawnień klucza prywatnego, dzienników zdarzeń i podstawowych zależności sieciowych. W przypadku laptopa dostępna jest darmowa diagnoza LAPTOPA, co pozwala najpierw ustalić, czy źródłem kłopotu jest sam komputer, ustawienia połączenia, czy host pulpitu zdalnego.

Po naprawie powinno zostać potwierdzone, że certyfikat jest przypisany do właściwej usługi, ma poprawny okres ważności, a klient RDP otrzymuje oczekiwaną odpowiedź podczas negocjowania zabezpieczeń. Warto również sprawdzić ponowne logowanie po restarcie oraz zachowanie połączenia z kontem, które wcześniej zgłaszało błąd. Dzięki temu można odróżnić jednorazowe odtworzenie certyfikatu od trwałego usunięcia przyczyny problemu.