Usługa obsługi certyfikatów (CertPropSvc)

Usługa obsługi certyfikatów (CertPropSvc) propaguje certyfikaty kart inteligentnych do magazynu certyfikatów systemowych.

Rola usługi CertPropSvc w systemie Windows

Usługa obsługi certyfikatów, występująca w systemie Windows pod nazwą usługi CertPropSvc, odpowiada za propagowanie certyfikatów znajdujących się na karcie inteligentnej do magazynu certyfikatów systemowych. Karta inteligentna może być fizyczną kartą kryptograficzną albo innym urządzeniem używanym przez czytnik kart i sterownik zgodny z mechanizmami systemu Windows. Certyfikat nie jest wtedy tworzony przez samą usługę. CertPropSvc odczytuje informacje udostępnione przez kartę i udostępnia certyfikaty aplikacjom korzystającym ze standardowych magazynów certyfikatów.

Certyfikat jest elektronicznym obiektem zawierającym między innymi klucz publiczny, dane identyfikacyjne podmiotu oraz podpis wystawcy. Na karcie inteligentnej prywatny klucz kryptograficzny pozostaje pod kontrolą karty i nie musi być kopiowany do systemu. Windows może natomiast umieścić odpowiadający mu certyfikat w magazynie użytkownika, dzięki czemu programy mogą go wyszukać i użyć podczas uwierzytelniania, podpisywania albo sprawdzania tożsamości. Samo propagowanie certyfikatu nie oznacza eksportu prywatnego klucza.

Jak przebiega propagowanie certyfikatu z karty

Po podłączeniu czytnika, włożeniu karty i wykryciu urządzenia system Windows korzysta z warstwy obsługi kart inteligentnych. Usługa CertPropSvc może wtedy odczytać certyfikaty udostępnione przez kartę i zarejestrować je w odpowiednim magazynie certyfikatów użytkownika. Dalsze działanie zależy od tego, czy karta, czytnik, sterownik oraz dostawca usług kryptograficznych poprawnie współpracują z systemem. CertPropSvc nie zastępuje sterownika czytnika i nie naprawia uszkodzonej karty.

W praktyce certyfikat może być potrzebny do logowania kartą inteligentną, podpisu cyfrowego albo uwierzytelnienia w aplikacji, która korzysta z certyfikatów systemu Windows. Program nie musi odczytywać karty całkowicie samodzielnie, jeśli potrafi korzystać z magazynu certyfikatów oraz interfejsów kryptograficznych systemu. Dostęp do operacji wymagających klucza prywatnego nadal może wymagać obecności karty, poprawnego sterownika i podania kodu PIN. Certyfikat widoczny w magazynie nie potwierdza jeszcze, że wszystkie operacje kryptograficzne wykonają się prawidłowo.

Objawy nieprawidłowego działania i metody weryfikacji

Problem z CertPropSvc może objawiać się brakiem certyfikatu po włożeniu karty, niewidocznością karty w aplikacji, błędem podczas logowania albo brakiem możliwości wyboru certyfikatu przy podpisywaniu dokumentu. Taki objaw nie wskazuje automatycznie na uszkodzenie samej usługi. Przyczyną może być także niewykryty czytnik, nieprawidłowy sterownik, zablokowana karta, błędny PIN, brak odpowiedniego certyfikatu na karcie albo niezgodność aplikacji z używanym dostawcą kryptograficznym.

Podstawową kontrolę można rozpocząć od sprawdzenia, czy czytnik jest widoczny w Menedżerze urządzeń oraz czy karta jest prawidłowo wkładana i wykrywana. Polecenie certutil -scinfo służy w systemie Windows do odczytywania informacji o kartach inteligentnych i certyfikatach dostępnych za pośrednictwem urządzenia. Do oglądania certyfikatów użytkownika można użyć przystawki certyfikatów uruchamianej poleceniem certmgr.msc. Warto rozróżnić certyfikat zapisany w magazynie bieżącego użytkownika od certyfikatu w magazynie komputera, ponieważ aplikacja może przeszukiwać tylko jeden z tych zakresów.

Jeżeli usługa nie działa, jej stan można sprawdzić w konsoli usług systemu Windows, wyszukując nazwę wyświetlaną „Certificate Propagation” albo nazwę systemową CertPropSvc. Zmiana trybu uruchamiania powinna być poprzedzona ustaleniem, czy komputer rzeczywiście korzysta z kart inteligentnych. Dodatkowych informacji dostarczają Podgląd zdarzeń oraz dzienniki związane z obsługą kart inteligentnych i kryptografią. Analiza powinna obejmować czas wystąpienia błędu, identyfikację czytnika, reakcję systemu na włożenie karty oraz obecność certyfikatu w magazynie użytkownika.

Znaczenie CertPropSvc podczas serwisowania komputera

Diagnostyka problemu wymaga oddzielenia awarii konfiguracji Windows od problemu sprzętowego. Jeżeli czytnik nie pojawia się w Menedżerze urządzeń, należy sprawdzić połączenie, port USB, sterownik i sam czytnik. Jeżeli czytnik jest wykrywany, ale karta nie dostarcza danych, kontrola powinna objąć kartę, jej styk, oprogramowanie dostawcy oraz zgodność używanego mechanizmu kryptograficznego. Jeżeli certyfikat jest widoczny w systemie, lecz aplikacja go nie wybiera, przyczyna może leżeć w wymaganiach tej aplikacji, przeznaczeniu certyfikatu albo sposobie korzystania z magazynu certyfikatów.

Podczas naprawy nie należy pochopnie usuwać certyfikatów, resetować profilu użytkownika ani zmieniać ustawień usług bez zapisania stanu początkowego. Takie działania mogą utrudnić ustalenie, czy problem dotyczył propagowania, sterownika, czytnika albo samej aplikacji. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów i komputerów PC, w tym diagnostyką problemów z systemem Windows, urządzeniami peryferyjnymi oraz konfiguracją oprogramowania potrzebnego do poprawnej obsługi certyfikatów.