Certmgr

Certmgr to skrót nazwy narzędzia Zarządzanie certyfikatami (certmgr.msc) — konsoli MMC do przeglądania i zarządzania certyfikatami cyfrowymi zainstalowanymi na koncie użytkownika lub komputera.

Czym jest Certmgr i do czego służy

Certmgr to skrót używany w odniesieniu do systemowego narzędzia dostępnego w środowisku Windows pod nazwą certmgr.msc. Jest to przystawka konsoli MMC przeznaczona do przeglądania, porządkowania i kontrolowania certyfikatów cyfrowych zapisanych w systemie. Certyfikat można potraktować jako elektroniczne potwierdzenie tożsamości określonej witryny, usługi, użytkownika albo urządzenia. Zawiera on między innymi nazwę podmiotu, dane wystawcy, okres ważności oraz informacje o zastosowaniu klucza.

Po uruchomieniu certmgr wyświetlane są magazyny certyfikatów przypisane do bieżącego konta użytkownika. W zależności od konfiguracji systemu można spotkać między innymi magazyny certyfikatów osobistych, zaufanych głównych urzędów certyfikacji, pośrednich urzędów certyfikacji oraz zaufanych wydawców. Poszczególne lokalizacje pełnią różne funkcje. Certyfikat w magazynie osobistym może służyć do identyfikacji użytkownika lub komputera, natomiast certyfikat urzędu certyfikacji pozwala systemowi ocenić, czy podpis albo połączenie zostały wystawione przez zaufane źródło.

W praktyce certmgr pozwala sprawdzić szczegóły wybranego certyfikatu, w tym jego datę rozpoczęcia i zakończenia ważności, nazwę wystawcy, nazwę podmiotu, przeznaczenie oraz informacje o powiązanym kluczu prywatnym. Dostępne są także operacje eksportu i importu, dzięki którym certyfikat może zostać przeniesiony do innego profilu lub wykorzystany w określonej konfiguracji systemowej. Samo wyświetlenie certyfikatu nie oznacza jednak, że połączenie zostanie automatycznie uznane za bezpieczne. Znaczenie mają również kompletność łańcucha zaufania, zgodność nazwy, ważność oraz zastosowanie certyfikatu.

Kontekst techniczny i różnice między magazynami certyfikatów

Certmgr działa w ramach infrastruktury certyfikatów systemu Windows. Podstawą oceny certyfikatu jest łańcuch zaufania, czyli powiązanie certyfikatu końcowego z certyfikatem pośrednim i głównym urzędu certyfikacji, któremu system ufa. Jeżeli któregoś elementu brakuje, jest uszkodzony albo został zapisany w niewłaściwym magazynie, może pojawić się komunikat o nieznanym wystawcy lub niepełnym łańcuchu. Nie zawsze oznacza to awarię samego certyfikatu, ponieważ przyczyną bywa również nieprawidłowa konfiguracja magazynu.

Warto odróżnić magazyn bieżącego użytkownika od magazynu komputera lokalnego. Certyfikat zapisany dla użytkownika może być dostępny wyłącznie po zalogowaniu na konkretne konto, podczas gdy certyfikat komputera może być wykorzystywany przez usługi działające niezależnie od tego, kto aktualnie korzysta z systemu. Do zarządzania certyfikatami komputera często potrzebne są podwyższone uprawnienia. Zmiana właściwego zakresu jest istotna przy konfiguracji połączeń, podpisu cyfrowego, uwierzytelniania urządzenia lub dostępu do zasobów wymagających certyfikatu.

Podczas analizy trzeba także rozróżnić certyfikat publiczny od klucza prywatnego. Certyfikat może być widoczny na liście, ale bez dostępnego klucza prywatnego jego zastosowanie może być ograniczone. Dotyczy to zwłaszcza certyfikatów używanych do podpisywania, uwierzytelniania albo szyfrowania. Właściwości certyfikatu pokazują, czy klucz prywatny jest obecny, jednak nie należy eksportować go bez wyraźnej potrzeby i odpowiedniego zabezpieczenia. Plik zawierający certyfikat wraz z kluczem prywatnym powinien być traktowany jako poufny.

Na ocenę działania certyfikatu wpływają również rozszerzenia określające dozwolone zastosowanie, nazwy domen, algorytmy kryptograficzne oraz sposób podpisania. Certyfikat może być formalnie ważny, ale niepasujący do konkretnego zadania. Przykładowo certyfikat wystawiony dla jednej nazwy witryny nie musi być odpowiedni dla innej nazwy, a certyfikat przeznaczony do podpisu niekoniecznie może służyć do uwierzytelniania połączenia. Dlatego samo przeniesienie pliku certyfikatu do systemu nie stanowi pełnej konfiguracji.

Typowe problemy związane z certmgr

Jednym z częstszych problemów jest wygaśnięcie certyfikatu. W takim przypadku przeglądarka, aplikacja lub usługa może przestać ufać połączeniu, nawet jeśli wcześniej działało ono poprawnie. Podobny efekt występuje przed datą rozpoczęcia ważności, gdy zegar systemowy wskazuje nieprawidłowy dzień lub godzinę. Błędny czas systemowy może więc powodować objawy przypominające problem z certyfikatem, mimo że sam plik nie został uszkodzony.

Inną przyczyną ostrzeżeń jest brak certyfikatu urzędu pośredniego albo niewłaściwe rozmieszczenie elementów łańcucha. Warto wtedy sprawdzić szczegóły certyfikatu, przejść do informacji o ścieżce certyfikacji i ustalić, na którym poziomie pojawia się błąd. Problem może dotyczyć także certyfikatu głównego, którego system nie uznaje za zaufany. Dodawanie nieznanego certyfikatu do magazynu zaufanych głównych urzędów certyfikacji wymaga ostrożności, ponieważ zmienia sposób weryfikowania przyszłych połączeń.

Problemy mogą wynikać również z braku dostępu do klucza prywatnego, uszkodzenia profilu użytkownika, nieprawidłowych uprawnień albo użycia niewłaściwego magazynu. Certyfikat może być widoczny w koncie użytkownika, lecz niedostępny dla programu uruchomionego jako usługa systemowa. Zdarza się także, że po imporcie certyfikat trafia do magazynu, którego dana aplikacja nie sprawdza. W takiej sytuacji konieczne jest ustalenie, z jakiego profilu i kontekstu zabezpieczeń korzysta konkretna aplikacja.

Odrębny rodzaj błędów dotyczy niezgodności nazwy, przeznaczenia lub parametrów kryptograficznych. Komunikaty mogą wskazywać na nieprawidłową nazwę podmiotu, nieodpowiednie zastosowanie klucza, brak zaufania albo niemożność zbudowania ścieżki certyfikacji. Niekiedy zgłoszenie problemu pojawia się po aktualizacji systemu, zmianie przeglądarki, migracji profilu lub przywróceniu kopii zapasowej. Przed usunięciem certyfikatu warto ustalić, czy nie jest on używany przez inną aplikację lub usługę.

Nie należy usuwać certyfikatów przypadkowo. Skasowanie certyfikatu użytkownika, certyfikatu zaufanego urzędu albo elementu wymaganego przez konkretny program może spowodować utratę dostępu, błędy podpisu lub kolejne ostrzeżenia bezpieczeństwa. Bezpieczniejsze postępowanie obejmuje najpierw wykonanie kopii informacji, sprawdzenie wystawcy i zastosowania, a dopiero później zmianę magazynu, ponowny import albo usunięcie niepotrzebnego wpisu.

W jakich sytuacjach warto zgłosić sprzęt do serwisu - Certmgr

Pomoc serwisowa jest uzasadniona, gdy certmgr pokazuje błędy, których nie da się powiązać z samą datą ważności, gdy aplikacja nie widzi poprawnie zaimportowanego certyfikatu albo gdy nie wiadomo, czy problem dotyczy użytkownika, komputera, klucza prywatnego czy łańcucha zaufania. Warto zgłosić także sytuację, w której po zmianie certyfikatów przestało działać logowanie, podpisywanie dokumentów, szyfrowanie lub połączenie z określoną usługą. Szczególnej ostrożności wymaga przypadek, gdy system wyświetla ostrzeżenie dotyczące zaufania do nieznanego wystawcy.

W ramach zgłoszenia przydatne jest przekazanie dokładnego komunikatu, nazwy programu, informacji o tym, czy certyfikat znajduje się w magazynie użytkownika czy komputera, oraz danych widocznych w zakładkach szczegółów i ścieżki certyfikacji. Nie powinno się przesyłać klucza prywatnego ani plików zawierających poufne dane bez uzgodnienia bezpiecznego sposobu obsługi. Na miejscu można zweryfikować magazyny, uprawnienia, obecność klucza prywatnego, zgodność przeznaczenia i kompletność łańcucha, a następnie dobrać zmianę ograniczoną do rzeczywistej przyczyny.

W Warszawie takie zgłoszenia przyjmuje Warszawskie Pogotowie Komputerowe 24/7, gdzie przed rozpoczęciem dalszych czynności wykonywana jest darmowa diagnoza laptopa. W przypadku problemów z certmgr pozwala to najpierw ustalić, czy źródłem trudności jest konfiguracja Windows, profil użytkownika, uprawnienia, aplikacja korzystająca z certyfikatu czy sam certyfikat, a dopiero potem zaplanować bezpieczne działania naprawcze.