certmgr.msc (Zarządzanie certyfikatami)

certmgr.msc (Zarządzanie certyfikatami) to przystawka MMC umożliwiająca przeglądanie i zarządzanie certyfikatami w magazynach systemowych.

certmgr.msc – czym jest Zarządzanie certyfikatami

certmgr.msc to polecenie uruchamiające przystawkę systemu Windows służącą do pracy z certyfikatami cyfrowymi zapisanymi w magazynach przypisanych do bieżącego użytkownika. Narzędzie jest częścią konsoli MMC, czyli mechanizmu pozwalającego otwierać różne moduły administracyjne w jednym środowisku. Po wpisaniu nazwy certmgr.msc w oknie uruchamiania, wyszukiwarce systemowej albo w wierszu polecenia można przejść do widoku certyfikatów związanych z konkretnym kontem.

Certyfikat cyfrowy można porównać do elektronicznego dokumentu potwierdzającego tożsamość podmiotu lub pochodzenie określonego klucza kryptograficznego. Sam certyfikat nie jest zwykłym plikiem z informacją tekstową. Zawiera między innymi nazwę podmiotu, nazwę wystawcy, okres ważności, przeznaczenie, numer seryjny oraz klucz publiczny. W systemie Windows takie dane są uporządkowane w magazynach, a certmgr.msc pozwala je przeglądać, filtrować, eksportować i w wybranych przypadkach usuwać.

Znaczenie tej przystawki zależy od tego, kto korzysta z certyfikatu. Certyfikat może służyć do uwierzytelniania użytkownika, ochrony poczty elektronicznej, podpisywania dokumentów, potwierdzania tożsamości witryny internetowej albo szyfrowania danych. W codziennej pracy certmgr.msc bywa używane do sprawdzania, czy dany certyfikat został poprawnie zainstalowany, czy nie utracił ważności oraz czy system rozpoznaje łańcuch zaufania prowadzący do urzędu certyfikacji.

certmgr.msc i magazyny certyfikatów – kontekst techniczny

Najważniejszą cechą certmgr.msc jest rozdzielenie certyfikatów według magazynów i ich przeznaczenia. Wśród często spotykanych kategorii znajduje się magazyn osobisty, w którym przechowywane są certyfikaty przypisane do użytkownika. Obok niego występują między innymi magazyny urzędów certyfikacji pośrednich, głównych urzędów certyfikacji, zaufanych wydawców oraz certyfikatów, którym odmówiono zaufania. Taki podział pomaga systemowi podjąć decyzję, czy określony podpis, połączenie lub podmiot powinien zostać uznany za wiarygodny.

Warto odróżnić certyfikaty użytkownika od certyfikatów komputera. Polecenie certmgr.msc pokazuje magazyny bieżącego użytkownika. Certyfikaty używane przez cały komputer, przez usługi systemowe albo przez inne konta mogą znajdować się w osobnej gałęzi dostępnej przez konsolę MMC z dodanym modułem certyfikatów dla konta komputera. Z tego powodu sytuacja, w której certyfikat jest widoczny w jednym miejscu, a niewidoczny w innym, nie musi oznaczać jego uszkodzenia. Często wskazuje jedynie na wybór niewłaściwego zakresu magazynu.

Każdy certyfikat ma właściwości, które warto przeanalizować przed wykonaniem zmian. W zakładce ogólnej można odczytać, dla kogo certyfikat został wydany i przez kogo. W polu dotyczącym ważności widoczne są daty początku oraz końca obowiązywania. W szczegółach znajdują się rozszerzenia opisujące zastosowanie klucza, alternatywne nazwy podmiotu, identyfikatory algorytmów oraz informacje potrzebne do zbudowania łańcucha. Zakładka ścieżki certyfikacji pokazuje relację między certyfikatem a kolejnymi urzędami, aż do certyfikatu głównego.

Nie należy utożsamiać certyfikatu z kluczem prywatnym. Certyfikat zawiera klucz publiczny i dane identyfikacyjne, natomiast klucz prywatny powinien być chroniony przed dostępem osób nieuprawnionych. Przy eksporcie może pojawić się pytanie, czy razem z certyfikatem ma zostać przeniesiony klucz prywatny. Wybór zależy od celu operacji. Sam certyfikat często wystarcza do udostępnienia części publicznej, lecz przeniesienie certyfikatu przeznaczonego do podpisywania lub uwierzytelniania może wymagać zachowania odpowiedniego klucza prywatnego.

certmgr.msc – typowe problemy z certyfikatami

Jednym z najczęstszych problemów jest komunikat o nieważnym albo wygasłym certyfikacie. Przyczyną może być przekroczona data ważności, nieprawidłowa data i godzina ustawiona w systemie lub brak certyfikatu urzędu, który wystawił dany dokument. Samo usunięcie ostrzeżenia z poziomu przeglądarki nie rozwiązuje przyczyny. Najpierw należy sprawdzić szczegóły certyfikatu, jego ścieżkę oraz zakres zastosowania.

Inny przypadek dotyczy komunikatu o nieznanym wystawcy lub braku zaufania. System może nie mieć odpowiedniego certyfikatu głównego albo pośredniego, przez co nie jest w stanie potwierdzić całej ścieżki. Niekiedy certyfikat został zapisany w magazynie użytkownika, choć aplikacja oczekuje go w magazynie komputera, albo odwrotnie. W takich sytuacjach pomocne jest porównanie miejsca instalacji z instrukcją programu, dostawcy usługi lub urządzenia.

Problemy mogą dotyczyć również niewłaściwego przeznaczenia certyfikatu. Certyfikat przeznaczony do identyfikacji serwera nie zawsze nadaje się do uwierzytelniania użytkownika, a certyfikat służący do podpisu może nie być akceptowany przy szyfrowaniu. Informacje o zastosowaniu znajdują się w rozszerzeniach dotyczących użycia klucza oraz rozszerzonego użycia klucza. Niezgodność tych parametrów może powodować błędy mimo poprawnej daty ważności i prawidłowego wyglądu dokumentu.

Trudność może wynikać także z braku klucza prywatnego. Przy certyfikacie przeznaczonym do podpisywania, uwierzytelniania albo odszyfrowywania danych sama obecność części publicznej może nie wystarczyć. Właściwości certyfikatu mogą zawierać informację, że system posiada odpowiadający mu klucz prywatny. Jeżeli takiej informacji brakuje, przyczyną może być niepełny import, usunięcie klucza, instalacja w innym profilu albo odtworzenie systemu bez odpowiedniej kopii zapasowej.

Ostrożności wymaga także ręczne usuwanie certyfikatów z magazynów zaufania. Nieznany certyfikat nie powinien być automatycznie kasowany, ponieważ może być wymagany przez konkretną aplikację. Z kolei dodanie obcego certyfikatu do zaufanych urzędów może zmienić sposób weryfikacji połączeń i podpisów. Przed zmianą warto ustalić źródło certyfikatu, jego przeznaczenie oraz użytkowników, których może dotyczyć.

certmgr.msc – praktyczne wskazówki bezpiecznej obsługi

Przed rozpoczęciem pracy dobrze jest zanotować nazwę certyfikatu, jego wystawcę, numer seryjny i datę ważności. Przy większej liczbie podobnych pozycji takie dane ułatwiają rozpoznanie właściwego wpisu. Wyszukiwanie można prowadzić według nazwy podmiotu, wystawcy albo przeznaczenia, ale przed usunięciem należy otworzyć właściwości i potwierdzić wszystkie informacje.

Eksport certyfikatu powinien być dobierany do celu. Format zawierający wyłącznie część publiczną może być używany do przekazania certyfikatu innemu użytkownikowi lub aplikacji, która ma go jedynie odczytać. Format obejmujący klucz prywatny wymaga dodatkowej ochrony hasłem i bezpiecznego miejsca przechowywania. Pliku z kluczem prywatnym nie powinno się wysyłać przypadkowym kanałem ani pozostawiać w ogólnodostępnym katalogu.

Przy imporcie należy zwrócić uwagę na proponowany magazyn. Automatyczny wybór bywa wygodny, lecz nie zawsze odpowiada wymaganiom programu. Jeżeli aplikacja korzysta z certyfikatu w imieniu bieżącego użytkownika, potrzebny może być magazyn osobisty tego konta. Jeżeli certyfikatu potrzebuje usługa uruchamiana niezależnie od zalogowania, właściwy może być magazyn komputera oraz uprawnienie usługi do użycia klucza prywatnego. Sam import nie nadaje aplikacji prawa do odczytu klucza.

Po każdej zmianie warto ponownie uruchomić program, który korzysta z certyfikatu, a w razie potrzeby także odpowiednią usługę. Niektóre aplikacje odczytują magazyny tylko przy starcie i nie zauważają zmian wykonanych w trakcie działania. Jeżeli błąd nadal występuje, należy sprawdzić dzienniki systemowe, ustawienia aplikacji, konto, na którym działa program, oraz to, czy używany jest właściwy magazyn.

W przypadku ważnych certyfikatów rozsądne jest zachowanie kopii zapasowej zgodnej z zasadami bezpieczeństwa. Kopia powinna być opisana, chroniona i przechowywana w sposób ograniczający dostęp osób postronnych. Nie zaleca się tworzenia wielu niekontrolowanych kopii klucza prywatnego, ponieważ utrudnia to ocenę, gdzie znajduje się aktualny i zaufany egzemplarz.

certmgr.msc – kiedy zgłosić się do serwisu

Do serwisu warto zgłosić się wtedy, gdy certmgr.msc nie uruchamia się, konsola MMC zgłasza błąd, certyfikat znika po ponownym uruchomieniu systemu albo aplikacja nie potrafi znaleźć poprawnie zainstalowanego wpisu. Pomoc może być potrzebna także przy problemach z rozróżnieniem magazynu użytkownika i komputera, brakiem klucza prywatnego, niepełnym łańcuchem zaufania lub nieudanym importem kopii zapasowej.

Przed przekazaniem komputera dobrze jest opisać objaw, nazwę programu, moment wystąpienia problemu oraz czynności wykonane wcześniej. Przydatne mogą być zrzuty komunikatów i informacje o tym, czy błąd występuje na jednym koncie, czy na wszystkich kontach. Nie należy przekazywać klucza prywatnego bez wyraźnej potrzeby ani usuwać certyfikatów metodą prób. W Warszawskim Pogotowiu Komputerowym 24/7 można skonsultować problem z magazynami certyfikatów, instalacją przystawki i bezpiecznym uporządkowaniem konfiguracji.

Jeżeli certmgr.msc pokazuje certyfikat, lecz określona usługa nadal go nie wykorzystuje, przyczyną może być konfiguracja uprawnień, profil użytkownika, brak dostępu do klucza prywatnego albo wymagania samej aplikacji. W takiej sytuacji skuteczne rozpoznanie wymaga sprawdzenia całego łańcucha: od magazynu i właściwości certyfikatu, przez konto uruchamiające program, aż po komunikaty zapisane w systemie. Takie podejście ogranicza ryzyko przypadkowego usunięcia potrzebnych danych i pozwala ustalić, czy problem dotyczy certyfikatu, systemu, czy programu, który z niego korzysta.