Nie działa import certyfikatu

Niedziałający import certyfikatu wskazuje na brak uprawnień do docelowego magazynu certyfikatów (Osobisty, Zaufane główne urzędy certyfikacji).

Nie działa import certyfikatu – na czym polega problem

Komunikat „Nie działa import certyfikatu” oznacza, że system, przeglądarka albo konkretna aplikacja nie może poprawnie dodać pliku certyfikatu do wybranego magazynu. Samo posiadanie pliku nie zawsze wystarcza. Znaczenie ma jego format, sposób zabezpieczenia, obecność klucza prywatnego, przeznaczenie certyfikatu oraz miejsce, w którym ma zostać zapisany. Inaczej przebiega import certyfikatu używanego do logowania, inaczej certyfikatu służącego do szyfrowania poczty, a jeszcze inaczej certyfikatu zaufanego urzędu.

W systemie Windows certyfikaty są porządkowane według magazynów. Do najczęściej spotykanych należą magazyn osobisty użytkownika, magazyn zaufanych głównych urzędów certyfikacji, magazyn pośrednich urzędów oraz magazyn certyfikatów innych osób. Wybranie niewłaściwego miejsca może spowodować, że import zostanie odrzucony albo zakończy się pozornie poprawnie, lecz certyfikat nie będzie widoczny tam, gdzie oczekuje go dana aplikacja. W przypadku certyfikatu osobistego ważne jest również to, czy wraz z certyfikatem dostępny jest klucz prywatny.

Niepowodzenie może wynikać z braku uprawnień do zapisu, blokady narzuconej przez zasady systemowe, uszkodzenia pliku lub niezgodności między certyfikatem a wybranym narzędziem. Warto odróżnić błąd samego importu od sytuacji, w której certyfikat został dodany, ale nie jest później wykrywany przez program. W drugim przypadku przyczyną może być odczytywanie innego magazynu, brak pełnego łańcucha zaufania albo niezgodne przeznaczenie klucza.

Import certyfikatu a magazyn, format i uprawnienia

Jednym z pierwszych elementów do sprawdzenia jest rozszerzenie pliku. Certyfikat bez klucza prywatnego często występuje jako plik CER lub CRT i może być używany do weryfikowania tożsamości określonego podmiotu. Plik PFX albo P12 może zawierać certyfikat wraz z kluczem prywatnym i zwykle jest chroniony hasłem. Próba otwarcia takiego pliku z błędnym hasłem kończy się odrzuceniem importu. Nie powinno się zmieniać rozszerzenia pliku wyłącznie po to, aby wymusić jego otwarcie, ponieważ rozszerzenie nie zmienia rzeczywistej zawartości ani sposobu zabezpieczenia.

Podczas importu należy zwrócić uwagę na wybór użytkownika oraz zakres zapisu. Certyfikat dodany do magazynu bieżącego użytkownika może nie być dostępny dla innego konta. Z kolei zapis w magazynie komputera wymaga zwykle podwyższonych uprawnień. Jeżeli okno importu nie pozwala wybrać właściwego magazynu lub pojawia się odmowa dostępu, przydatne może być uruchomienie narzędzia zarządzania certyfikatami z uprawnieniami administratora. Nie należy jednak nadawać szerokich uprawnień bez sprawdzenia, czy są rzeczywiście potrzebne.

W przypadku pliku zawierającego klucz prywatny może pojawić się opcja umożliwiająca oznaczenie klucza jako eksportowalnego albo określenie sposobu ochrony. Takie ustawienia wpływają na bezpieczeństwo. Klucz prywatny powinien być przechowywany w miejscu kontrolowanym, a hasło do pliku nie powinno być zapisywane razem z nim. Jeżeli certyfikat ma służyć do podpisu elektronicznego, sama obecność certyfikatu w magazynie nie wystarczy, gdy system nie widzi odpowiadającego mu klucza prywatnego.

Niektóre certyfikaty są przeznaczone wyłącznie do określonych zastosowań. Informacje o przeznaczeniu można sprawdzić w szczegółach certyfikatu, zwłaszcza w polach dotyczących zastosowania klucza i rozszerzonego zastosowania klucza. Certyfikat do uwierzytelniania może nie nadawać się do podpisywania dokumentów, a certyfikat urzędu zaufania nie jest tym samym co certyfikat osobisty. Umieszczenie go w niewłaściwym magazynie nie rozwiąże problemu z działaniem aplikacji.

Nieudany import certyfikatu i typowe komunikaty

Komunikat o nieprawidłowym haśle może oznaczać rzeczywistą pomyłkę, ale również uszkodzenie pliku, niepełne pobranie albo użycie innej wersji pliku niż ta, do której podano hasło. Gdy pojawia się informacja o braku zaufania, zwykle trzeba sprawdzić łańcuch certyfikatów. Certyfikat końcowy może wymagać certyfikatu urzędu pośredniego lub głównego, aby system mógł zweryfikować jego wystawcę.

Odmowa dostępu wskazuje na ograniczenia konta albo na zapis do magazynu, do którego bieżący użytkownik nie ma prawa. W takiej sytuacji warto sprawdzić, czy import odbywa się do profilu użytkownika, czy do magazynu całego komputera. Niekiedy ograniczenie wynika z oprogramowania ochronnego, ustawień kontroli konta lub lokalnych zasad bezpieczeństwa. Wyłączanie ochrony bez rozpoznania przyczyny nie jest właściwym pierwszym krokiem, ponieważ może zwiększyć ryzyko uruchomienia niebezpiecznego pliku.

Jeżeli certyfikat został dodany, ale nie jest widoczny, trzeba odświeżyć narzędzie, zamknąć i ponownie uruchomić aplikację albo sprawdzić inny magazyn. Programy korzystające z certyfikatów mogą mieć własne ustawienia i nie zawsze odczytują magazyny systemowe w taki sam sposób. Dotyczy to również przeglądarek, klientów pocztowych, programów do podpisywania dokumentów oraz aplikacji wymagających logowania certyfikatem.

Warto też sprawdzić ważność certyfikatu, nazwę podmiotu, wystawcę i przeznaczenie. Certyfikat nieważny, cofnięty albo przeznaczony dla innej usługi może zostać technicznie zaimportowany, ale nie będzie działał w praktyce. Należy zachować ostrożność przy akceptowaniu nieznanych certyfikatów głównych, ponieważ dodanie takiego certyfikatu do zaufanych urzędów zmienia sposób, w jaki system ocenia bezpieczeństwo połączeń.

Jak przygotować się do importu certyfikatu

Przed rozpoczęciem warto ustalić, do czego certyfikat ma być używany i przez jaki program. Następnie należy sprawdzić, czy otrzymano właściwy plik oraz czy przekazane hasło dotyczy właśnie tego pliku. Dobrą praktyką jest zapisanie kopii w bezpiecznym miejscu, bez zmieniania nazwy i rozszerzenia. Jeżeli plik był wysyłany pocztą albo pobierany ze strony internetowej, można ponowić pobieranie z zaufanego źródła i porównać rezultat.

Przydatne jest zanotowanie dokładnego komunikatu, nazwy aplikacji, konta użytkownika oraz magazynu wybranego podczas importu. Takie informacje ułatwiają rozróżnienie problemu z plikiem od problemu z konfiguracją systemu. W razie potrzeby można otworzyć właściwości certyfikatu i sprawdzić, czy system rozpoznaje jego wystawcę, okres ważności oraz dostępność klucza prywatnego.

Jeśli import ma służyć do podpisu elektronicznego, należy upewnić się, że program podpisujący korzysta z tego samego profilu użytkownika, w którym zapisano certyfikat. W przypadku logowania certyfikatem znaczenie może mieć także wybór odpowiedniego certyfikatu spośród kilku zapisanych w magazynie. Usunięcie przypadkowych certyfikatów bez kopii zapasowej może utrudnić późniejsze odtworzenie konfiguracji, dlatego każdą zmianę powinno się wykonywać po sprawdzeniu, którego wpisu dotyczy.

Nie powinno się udostępniać klucza prywatnego osobom postronnym ani przesyłać go bez zabezpieczenia. W razie podejrzenia, że klucz trafił do niepowołanej osoby, trzeba skontaktować się z wystawcą certyfikatu i ustalić dalsze postępowanie, w tym możliwość unieważnienia certyfikatu. Sam ponowny import pliku nie usuwa ryzyka związanego z ujawnieniem klucza.

Kiedy zgłosić problem „Nie działa import certyfikatu” do serwisu

Pomoc specjalisty jest wskazana, gdy import kończy się błędem mimo użycia prawidłowego pliku i hasła, certyfikat znika po ponownym uruchomieniu, aplikacja nie widzi certyfikatu obecnego w magazynie albo nie można ustalić, czy plik zawiera klucz prywatny. Warto zgłosić problem także wtedy, gdy na komputerze znajduje się wiele certyfikatów o podobnych nazwach, występują problemy z profilem użytkownika lub konieczne jest zachowanie dotychczasowych ustawień podpisu i logowania.

Przed przekazaniem urządzenia należy przygotować opis objawu oraz, jeśli to możliwe, zrzut dokładnego komunikatu. Hasła do plików i klucze prywatne powinny być przekazywane wyłącznie w bezpieczny, uzgodniony sposób. Nie ma potrzeby przesyłania certyfikatu publicznego wraz z wrażliwymi danymi, jeżeli do wstępnej oceny wystarczy sam komunikat i informacja o używanej aplikacji.

W Warszawie takie przypadki można zgłosić do firmy Warszawskie Pogotowie Komputerowe 24/7, gdzie analizuje się plik, właściwy magazyn, uprawnienia oraz współpracę certyfikatu z konkretnym programem. Po rozpoznaniu przyczyny można uporządkować magazyny, poprawić konfigurację i sprawdzić działanie importu w praktycznym zastosowaniu. Dzięki temu nie ogranicza się postępowania do samego ponownego kliknięcia opcji importu, lecz sprawdza się cały proces od poprawności pliku do jego wykorzystania.