Certyfikat został usunięty – brak dostępu do sieci

Certyfikat został usunięty, co powoduje brak dostępu do sieci 802.1X wskazuje na przypadkowe lub celowe skasowanie certyfikatu z magazynu — trzeba go zaimportować ponownie od administratora sieci.

Czym jest komunikat „Certyfikat został usunięty – brak dostępu do sieci”

Komunikat „Certyfikat został usunięty – brak dostępu do sieci” oznacza, że komputer nie może zakończyć uwierzytelniania wymaganego przez daną sieć bezprzewodową lub przewodową. W wielu środowiskach dostęp nie odbywa się wyłącznie na podstawie nazwy sieci i hasła. Do potwierdzenia tożsamości urządzenia albo konta wykorzystywany jest również certyfikat zapisany w systemowym magazynie certyfikatów.

Po usunięciu takiego pliku, wygaśnięciu certyfikatu albo utracie powiązanego klucza prywatnego system nadal może wykrywać sieć, ale nie przejdzie pełnej procedury logowania. W efekcie pojawia się brak dostępu do internetu lub zasobów lokalnych, mimo że karta sieciowa działa, sieć jest widoczna, a hasło może być wpisywane prawidłowo.

Certyfikat może służyć do uwierzytelniania urządzenia, konta albo obu tych elementów jednocześnie. Znaczenie ma także jego przeznaczenie, wystawca, okres ważności oraz zgodność z metodą EAP skonfigurowaną dla konkretnego połączenia. Samo ponowne wpisanie hasła zazwyczaj nie wystarcza, jeżeli sieć wymaga certyfikatu klienta lub zaufania do określonego urzędu certyfikacji.

Jak działa uwierzytelnianie certyfikatem i czym różni się od zwykłego Wi-Fi

W prostych sieciach domowych dostęp jest zwykle chroniony jednym wspólnym hasłem. Po jego podaniu urządzenie wykonuje uzgodnienie zabezpieczeń z punktem dostępowym i otrzymuje możliwość korzystania z sieci. W sieciach wykorzystujących standard 802.1X każdy komputer może być sprawdzany indywidualnie. Procedura odbywa się z udziałem mechanizmu EAP, a w zależności od konfiguracji stosowane są certyfikaty, dane konta lub oba sposoby naraz.

W wariancie opartym na EAP-TLS komputer przedstawia certyfikat klienta oraz dowód posiadania odpowiadającego mu klucza prywatnego. Druga strona weryfikuje podpis, datę ważności i łańcuch zaufania. Jeżeli certyfikat został usunięty z magazynu, klucz prywatny nie jest dostępny albo certyfikat urzędu wystawiającego nie jest zaufany, proces zostaje przerwany przed przyznaniem dostępu.

Warto odróżnić certyfikat klienta od certyfikatu używanego do potwierdzenia wiarygodności drugiej strony. Brak pierwszego może uniemożliwić przedstawienie tożsamości urządzenia. Brak drugiego może spowodować ostrzeżenie lub odrzucenie połączenia, ponieważ system nie potrafi potwierdzić, z kim się łączy. Podobny efekt może wystąpić po odtworzeniu systemu z kopii, zmianie profilu sieciowego, aktualizacji zasad bezpieczeństwa albo migracji ustawień na inny komputer.

W systemie należy sprawdzić między innymi:

• czy właściwy certyfikat znajduje się w magazynie komputera lub bieżącego konta,
• czy nie upłynął jego termin ważności,
• czy obecny jest odpowiadający mu klucz prywatny,
• czy certyfikat zawiera przeznaczenie pozwalające na uwierzytelnianie klienta,
• czy zainstalowany jest właściwy certyfikat urzędu certyfikacji,
• czy profil sieci wskazuje odpowiednią metodę EAP i właściwy magazyn certyfikatów.

Typowe problemy prowadzące do usunięcia certyfikatu lub odrzucenia połączenia

Najczęstszą przyczyną jest ręczne skasowanie certyfikatu podczas porządkowania magazynu zabezpieczeń. Do pomyłki może dojść również przy usuwaniu starego profilu sieci, czyszczeniu ustawień logowania lub odinstalowywaniu oprogramowania, które wcześniej dostarczyło certyfikat. Jeżeli usunięto także klucz prywatny, samo skopiowanie pliku certyfikatu może nie przywrócić działania.

Problemy bywają następstwem przywrócenia systemu z obrazu, wymiany dysku, resetu ustawień zabezpieczeń lub utworzenia nowego profilu użytkownika. Certyfikat zapisany wcześniej w magazynie bieżącego konta może nie być dostępny po zalogowaniu na inne konto. Odmienny rezultat daje instalacja certyfikatu w magazynie komputera, a odmienny w magazynie użytkownika, dlatego miejsce importu ma znaczenie.

Brak połączenia może wynikać także z przyczyny powiązanej, ale innej niż samo usunięcie certyfikatu. Należy brać pod uwagę:

• certyfikat nieważny, odwołany lub wystawiony dla innej tożsamości,
• niezgodność nazwy sieci z zapisanym profilem,
• błędną datę i godzinę w systemie, przez co certyfikat jest uznawany za jeszcze nieważny albo już wygasły,
• brak certyfikatu głównego lub pośredniego urzędu certyfikacji,
• wyłączoną usługę odpowiedzialną za obsługę autokonfiguracji sieci bezprzewodowej,
• uszkodzony profil połączenia,
• zmianę zasad uwierzytelniania po stronie administratora,
• problem ze sterownikiem karty sieciowej, jeżeli równocześnie znikają inne dostępne sieci.

Bezpieczna naprawa wymaga ustalenia źródła właściwego certyfikatu. Nie powinno się pobierać przypadkowych plików z internetu ani akceptować niezaufanych certyfikatów tylko po to, aby ominąć komunikat. Certyfikat powinien zostać przekazany przez administratora sieci lub pochodzić z zatwierdzonego pakietu konfiguracyjnego. Po imporcie trzeba jeszcze dopasować ustawienia profilu, a następnie usunąć zapisane, nieaktualne dane logowania, jeśli powodują powtarzanie błędnej próby.

Kiedy najlepiej zlecić diagnozę specjalistom - Certyfikat został usunięty – brak dostępu do sieci

Do serwisu warto zgłosić problem wtedy, gdy certyfikat został przypadkowo usunięty, nie wiadomo, w którym magazynie powinien się znajdować, albo po jego imporcie połączenie nadal jest odrzucane. Szczególnej ostrożności wymaga sytuacja, w której dostęp do sieci jest potrzebny do pracy, a jednocześnie nie ma możliwości pobrania profilu konfiguracyjnego lub skontaktowania się z administratorem. Diagnoza powinna objąć stan magazynów certyfikatów, obecność klucza prywatnego, profil sieci, usługi systemowe oraz kartę sieciową.

Przed przekazaniem urządzenia dobrze przygotować nazwę sieci, informację o tym, czy problem dotyczy tylko jednego komputera, oraz dane kontaktowe administratora odpowiedzialnego za wydanie certyfikatu. Nie należy przekazywać haseł w treści zgłoszenia, jeśli nie jest to konieczne. W razie potrzeby można wykonać kopię ustawień, usunąć wadliwy profil, ponownie zainstalować zaufany certyfikat i skonfigurować uwierzytelnianie zgodnie z wymaganiami danej sieci.

W Warszawskim Pogotowiu Komputerowym 24/7 można zgłosić laptop lub komputer, w którym po usunięciu certyfikatu utracono dostęp do sieci; naprawy są zazwyczaj realizowane w ciągu 3 dni roboczych. Zakres czynności powinien zostać ustalony po sprawdzeniu, czy problem dotyczy certyfikatu, profilu połączenia, konta, usług systemowych czy sprzętowej obsługi sieci.

Po przywróceniu certyfikatu należy ponownie zweryfikować połączenie po restarcie komputera, sprawdzić dostęp do wymaganych zasobów i upewnić się, że system nie wyświetla ostrzeżeń dotyczących zaufania. Jeżeli certyfikat został wydany przez administratora na określony czas, warto zapisać termin jego odnowienia, aby podobna przerwa w dostępie nie powtórzyła się przy kolejnym wygaśnięciu.