- Regelmessig gjennomgang av installerte sertifikater bidrar til å oppdage skadelige eller feilkonfigurerte root-filer som kan kompromittere sikre forbindelser.
- Verktøy som Sigcheck, certmgr.msc, nøkkelringtilgang, OpenSSL og certutil muliggjør grundig revisjon av system- og nettlesersertifikater.
- Riktig bruk av personlige sertifikater (FNMT, DNIe, SSL osv.) krever kontroll av gyldighet, tillitskjede og konfigurasjon av nettleseren eller det elektroniske hovedkvarteret.
- I bedriftsmiljøer forhindrer sentralisert sertifikatadministrasjon utløp, misbruk og tillitsbrudd som påvirker kritiske tjenester.
¿Hvordan kan du vite om PC-en din har et skadelig rotsertifikat installert? Når datamaskinen din begynner å kjøre sakte, vise merkelige nettleseradvarsler eller feile i sikre tilkoblinger, er det første vi tenker på en virus, skadelig programvare eller andre mistenkelige programmerDet finnes imidlertid en type stille trussel som nesten ingen snakker om: Ondsinnede eller feilkonfigurerte rotsertifikater installert på systemet. Disse sertifikatene kan tillate en angriper å spionere på den krypterte trafikken din eller til og med utgi seg for å være legitime nettsteder uten din viten.
I de senere årene har flere høyprofilerte saker kommet frem i lyset, som for eksempel Superfish bloatware på Lenovo-bærbare datamaskiner, som installerte en usikkert rotsertifikat og åpnet døren for mellommann-angrep. Og du trenger ikke å eie en bærbar PC fra det merket: andre produsenter, tredjepartsapplikasjoner, bedriftsverktøy og til og med skadelig programvare kan snike inn sine egne sertifikater på datamaskinen din. Derfor er det viktig å vite. Slik oppdager du farlige rotsertifikater, hvordan du ser alle installerte sertifikater og hvordan du administrerer dem sikkert.
Hva er et digitalt sertifikat, hvilke typer finnes det, og hvorfor kan det være farlig?
Et digitalt sertifikat er i bunn og grunn en elektronisk fil som kobler en identitet (person, selskap eller server) med en offentlig nøkkel, signert av en sertifiseringsinstans (CA). Den tjener til å identifisere oss på elektroniske plattformer, signere dokumenter, kryptere nettkommunikasjon (HTTPS) eller autentisere interne tjenester i bedrifter.
De viktigste egenskapene til et sertifikat er at Den er utstedt av en anerkjent CA, har en utløpsdato og er lagret på et bestemt sted.Nettleseren, operativsystemets sertifikatlager, et digitalt ID-kort, et kryptografisk kort eller en kryptografisk USB-enhet. Når du besøker et HTTPS-nettsted eller signerer et nettdokument, sjekker systemet denne informasjonen for å avgjøre om det kan stole på sertifikatet.
Ikke alle sertifikater er like. Vi kan støte på attester for fysiske personer for borgereDisse inkluderer representasjonsbevis for å handle på vegne av et selskap eller en organisasjon, sertifikater for offentlig ansatte, elektroniske hovedkvartersertifikater og elektroniske seglsertifikater for offentlige etater. I tillegg finnes det i webmiljøet serversertifikater (SSL/TLS), jokertegn- eller SAN-sertifikater, og til og med selvsignerte sertifikater som brukes i interne eller testmiljøer.
Risikoen oppstår når et sertifikat, spesielt hvis det er et rotsertifikat eller et fra en mellomliggende sertifiseringsinstans, Den er installert uten kontroll eller den er skadeligEt klarert rotsertifikat lar deg validere mange andre sertifikater som «henger» seg fra det, så hvis en angriper klarer å snike seg inn på systemet ditt, kan de bruke det til å avskjære, endre eller signere trafikk som om den var legitim.
Det er også et problem å ha gyldige, men feilkonfigurerte sertifikater: utløpte sertifikater, sertifikater utstedt for et annet domene, ufullstendige tillitskjeder (manglende mellomtrinn) eller uklarerte CA-er i nettleseren. Alt dette forårsaker feil med "ikke-private tilkoblinger", feil i nettportaler eller manglende evne til å signere applikasjoner, med den ekstra vanskeligheten å skille mellom en feilkonfigurasjon og et potensielt angrepsforsøk.
Hvorfor sjekke sertifikater og skilt på at noe er galt
Å surfe uten å sjekke sertifikater er litt som åpne inngangsdøren for alle som påstår å være fra bankenDet kan være sant, det kan være ikke. Hvis du blindt godtar sikkerhetsvarsler, risikerer du at noen avlytter legitimasjonen din, leser kommunikasjonen din eller omdirigerer deg til falske sider som utgir seg for å være offisielle nettsteder.
Moderne nettlesere som Chrome, Firefox, Edge eller Safari viser tydelige varsler når noe virker galt med et nettsteds sertifikat: meldinger som «Ikke-privat forbindelse«», «Ugyldig sertifikat» eller ødelagte eller overstrekede hengelåsikoner i adressefeltet. Innloggingsskjemaer kan også mislykkes, bilder eller skript kan slutte å lastes inn, eller vanlige navnefeil kan vises når sertifikatet ikke samsvarer med domenet.
I tillegg til nettsurfing er det avgjørende å sjekke statusen til ditt personlige digitale sertifikat for administrative prosedyrer og elektroniske signaturer. Plattformer som FNMT tilbyr Verifiseringstjenester for å finne ut om sertifikatet ditt er gyldig eller tilbakekaltHvis du prøver å sende inn en søknad og sertifikatet ditt er utløpt, tilbakekalt eller feilinstallert, kan systemet blokkere tilgangen din eller hindre deg i å signere.
Periodisk verifisering er også viktig i bedrifter og offentlige forvaltninger, hvor det finnes dusinvis av forskjellige sertifikater med Utløpsdatoer, tillatelser og ulike bruksområderHvis det ikke kontrolleres riktig, er det lett at et kritisk sertifikat utløper og en tjeneste slutter å virke, eller at et sertifikat brukes der det ikke skal, med juridiske og sikkerhetsmessige konsekvenser.
For å gjøre vondt verre, kan Windows og selve PKI-infrastrukturen av og til svikte: det finnes scenarier der gyldige rotsertifikater distribuert av gruppepolicy De vises plutselig som «ikke-klarerte», noe som forårsaker periodiske feil i applikasjoner som RDS, Citrix, Skype eller nettlesere. Dette skyldes vanligvis hvordan registeret og CryptoAPI-synkroniseringen oppdateres med nye oppføringer i rotlageret.
Slik finner du ut om PC-en din har et skadelig eller feil rotsertifikat
En av de mest praktiske måtene å sjekke rotsertifikater i Windows på er å bruke spesialiserte verktøy. Blant dem skiller Sigcheck, fra Sysinternals-pakken, seg ut, slik at du kan Liste og analysere systemsertifikater fra kommandolinjen for å oppdage problematiske innganger.
Den generelle prosedyren innebærer å laste ned Sigcheck fra det offisielle Microsoft-nettstedet, pakke ut filen til et passende sted (for eksempel C: eller skrivebordet), og åpne et ledetekstvindu. Derfra bruker du kommandoen CDDu navigerer til mappen der du plasserte verktøyet, slik at du kan kjøre det uten problemer.
Når du er i riktig mappe, kjører du bare kommandoen sign-tv slik at verktøyet sjekker alle sertifikatene som er installert på datamaskinen din. Denne sjekken undersøker både bruker- og datamaskinsertifikater, og hvis den finner noe mistenkelig, markerer den det tydelig slik at du kan undersøke det. Hvis alt er rent, vil Sigcheck fortelle deg det Ingen feilaktige sertifikater er oppdaget i systemet.
Når du ser en oppføring merket som potensielt farlig, ikke forhast deg med konklusjoner. Det er viktig å bekrefte at det ikke er et sertifikat som tilhører operativsystemet, antivirusprogramvaren, bedriftens VPN eller et annet legitimt program. Bare når du er sikker på at det er en falskt, usikkert eller unødvendig sertifikatDet er fornuftig å vurdere å eliminere den.
For å slette et rotsertifikat i Windows, kan du søke etter «sertifikater» i Start-menyen eller søkeboksen og åpne konsollen Administrer datamaskinsertifikater. I den tilhørende butikken finner du de mest pålitelige sertifikatene i «Pålitelige rotsertifiseringsinstanser > Sertifikater«Der kan du finne de spesifikke sertifikatene som Sigcheck har angitt, og forsiktig fjerne dem.»
Vis og administrer sertifikater installert på Windows, Mac og nettlesere
Utover å oppdage skadelige sertifikater, er det nyttig å vite til enhver tid Hvilke sertifikater har du installert, hvor er de plassert, og når utløper de?Dette kan gjøres fra selve operativsystemet eller fra hver nettleser, med små forskjeller avhengig av hvilken plattform du bruker.
I Windows er den mest direkte måten å se alle sertifikatene dine å åpne Start-menyen og skrive inn certmgr.mscDenne konsollen viser sertifikatmapper organisert etter bruk: personlig, mellomliggende utstedende myndigheter, klarerte rotsertifiseringsinstanser osv. Mappen «Personlig» inneholder vanligvis brukersertifikatene dine, mens de andre mappene grupperer CA-er, serversertifikater og andre klarerte myndigheter.
Hvis du dobbeltklikker på et sertifikat, åpnes et vindu med informasjon om sertifikatinnehaver, utsteder, gyldighetsdatoer, sertifiseringssti og tekniske detaljer om nøkkelen. Denne informasjonen lar deg bekrefte om et sertifikat er gyldig. Den har utløpt, hvem signerte den og hvilken kjede tilhører den?samt å se hvilke bruksområder den er aktivert for (signering, kryptering, klientautentisering osv.).
På macOS er tilsvarende applikasjonen Tilgang til nøkkelringerDu finner den i mappen «Annet» i Launchpad eller ved å søke etter navnet i Spotlight. Derfra velger du riktig nøkkelring (pålogging, system, iCloud osv.) og kategorien «Mine sertifikater» eller «Sertifikater» for å se tilgjengelige oppføringer, utløpsdatoer og tillitsinnstillinger.
På både Windows og Mac kompletteres systemsertifikatvisningen av integrert nettleseradministrasjon. Chrome, Edge og Firefox lar deg vise, og til og med eksportere og importere, sertifikater fra innstillingsmenyene, vanligvis under seksjonene for Personvern og sikkerhet eller direkte under «Sertifikater» eller «Sikkerhet».
Slik sjekker du et nettsteds sertifikat i Chrome og Firefox
Hvis du vil vite om et nettsteds sertifikat er riktig installert, har nettleseren din alt du trenger. I Google Chrome (på Windows, Linux og Mac) går du bare til HTTPS-siden du er interessert i og klikker på hengelåsen som er plassert til venstre for adressefeltetDerfra vil du se alternativer som «Sertifikat» eller «Tilkoblingen er sikker».
Når du åpner detaljene, vises felt som emne (fellesnavn), alternative navn (SAN), utstedende enhet og gyldighetsdatoer. Det er viktig å bekrefte at Domenenavnet du kobler til vises i SAN- eller CN-adressen.at utløpsdatoen ikke er utløpt, og at sertifiseringsstien viser en komplett kjede opp til et klarert rotsertifikat som gjenkjennes av systemet.
Et veldig vanlig problem er at serveren ikke sender det mellomliggende sertifikatet som trengs for å fullføre kjeden. I så fall, selv om rotsertifikatet er klarert, kan Chrome vise advarsler eller ikke vise hengelåsikonet. Fra detaljfanen i sertifikatvinduet, sjekk sertifikatbanen for å se om Alle nivåer vises (server, mellomnivå, root) eller én mangler.
Et annet viktig aspekt er tilbakekalling av sertifikater. Chrome sjekker vanligvis om et sertifikat er tilbakekalt ved hjelp av OCSP eller sertifikattilbakekallingslister (CRL-er). Hvis utstederens server ikke svarer som den skal, eller det er tilkoblingsproblemer, kan du få feilmeldinger. Testing i inkognitomodus eller deaktivering av utvidelser bidrar til å utelukke ekstern forstyrrelse, og på nettsteder som bruker HSTS er det ikke tillatt å legge til sikkerhetsunntak: hvis sertifikatet mislykkes, blokkeres tilgangen automatisk.
I Mozilla Firefox er fremgangsmåten lik, men med én viktig forskjell: Firefox har sitt eget sertifikatlagerDette er uavhengig av operativsystemet. For å se et nettsteds sertifikat, klikk på hengelåsen, deretter på «Mer informasjon» og deretter på «Vis sertifikat». Derfra kan du se gjennom emne, utsteder og sertifiseringsbane, med mulighet for å eksportere sertifikatet for videre analyse.
Kundesertifikater, FNMT og elektroniske kontorer
Når du utfører nettbaserte prosedyrer med administrasjonen, er det vanlig å bruke en statsborgerbevis, firmasertifikat eller offentlig ansattbevis Utstedt av enheter som FNMT eller andre myndigheter som er akseptert på @firma-plattformen. Disse sertifikatene kan installeres i nettleseren, i systemets lagring, på det elektroniske ID-kortet (DNIe) eller på eksterne kryptografiske enheter.
Før du sender inn en søknad, anbefales det å sjekke at sertifikatet ditt er aktivt. FNMT gir brukerne en sertifikatverifiseringstjeneste Dette verktøyet lar deg sjekke om sertifikatet er riktig installert og om det er gyldig eller tilbakekalt. For å bruke det, gå til bekreftelsesdelen på nettstedet deres, klikk på «Be om bekreftelse», så vil systemet undersøke sertifikatene som finnes i nettleseren din.
Nettleseren vil vise en liste over tilgjengelige sertifikater, og du kan velge det du vil bekrefte. Etter det vil sertifikatdetaljene vises: status (gyldig, utløpt eller tilbakekalt), innehaver, utsteder og utløpsdatoerDet er en rask måte å sørge for at sertifikatet ditt fungerer før du går inn i en lang prosess.
Parallelt kan du bekrefte installasjonen direkte fra nettleseren din. I Chrome eller Edge, for eksempel, gå til trepunktsmenyen, velg «Innstillinger», deretter «Personvern og sikkerhet» (eller «Personvern, søk og tjenester» i Edge), og i sikkerhetsdelen åpner du vinduet «Sertifikater». I fanen «Personlig» eller «Person» ser du brukersertifikatene som er installert i nettleseren eller i systemets sertifikatlager.
Hvis du dobbeltklikker på sertifikatet, ser du hvem som har utstedt det, hva det er autorisert til og gyldighetsdatoen. Hvis det ikke vises noe sertifikat, kan du importere det på nytt ved å bruke alternativet «Importer» i det vinduet, og velge filen med filtypen .cert. .pfx eller .p12 og oppgi det tilhørende passordet. Det anbefales å velge alternativet for å inkludere alle utvidede egenskaper for å unngå å miste signerings- eller krypteringsfunksjoner.
I Spania er mange nettportaler avhengige av spesifikke konfigurasjoner av operativsystemer, nettlesere og Java-versjonerNoen nettsteder indikerer fortsatt kompatibilitet med Internet Explorer eller spesifikke versjoner av Firefox og Chrome, noe som krever at du legger til nettadressen til nettleseren i «klarerte nettsteder». I noen tilfeller må du kanskje installere ytterligere mellomliggende sertifikater, for eksempel Red.es-sertifikatet eller kryptografiske moduler for det spanske elektroniske ID-kortet (DNIe).
Avanserte verktøy: OpenSSL, certutil og Windows-registeret
For mer grundig diagnostikk, spesielt i bedriftsmiljøer, er det nyttig å gå utover nettleseren. OpenSSL, for eksempel, tillater Koble til en server og se alle sertifikatene den sender., inkludert mellomtrinn. En typisk kommando ville være:
openssl s_client -connect example.com:443 -showcerts -servernavn example.com
Med denne kommandoen kan du sjekke om serveren leverer hele kjeden og analysere datoer, emne og utsteder for hvert sertifikat. Hvis du vil bekrefte en bestemt kjede ved hjelp av en lokal CA-fil, legger du til alternativet -CAfile path/to/file.pemDenne sjekken er svært nyttig når et nettsted fungerer bra i noen nettlesere og dårlig i andre, eller når du mistenker at en proxy avlytter SSL-trafikk.
I Windows har du kommandolinjeverktøyet til rådighet i tillegg til certmgr.msc. certutilDette lar deg legge til rotsertifikater i riktig butikk eller liste dem opp i detalj. Et enkelt eksempel på å legge til et rotsertifikat fra en fil ville være:
certutil -addstore root c:\tmp\rootca.cer
Denne typen kommando er svært nyttig når du trenger å distribuere et internt CA-sertifikat til mange datamaskiner uten å være avhengig av den grafiske konsollen. Microsoft beskriver også metoder for å publisere rotsertifikater gjennom gruppepolicyinnstillinger, ved å skrive direkte til registerbanen. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SystemCertificates\ROOT\Certificates i stedet for å bruke den spesifikke policyen «Trusted Root Certification», som kan forårsake periodiske tillitsproblemer i enkelte scenarier.
Faktisk har det blitt dokumentert tilfeller der gyldige rotsertifikater distribuert via GPO med jevne mellomrom vises som "ikke-klarerte", med feil som CERT_E_UNTRUSTEDROOT (0x800b0109). Årsaken er vanligvis at innholdet i HKLM\PROGRAMVARE\Policies\Microsoft\SystemCertificates\Root\Certificates Sertifikatet slettes og skrives på nytt under policybehandling, og noen applikasjoner klarer ikke å motta den komplette, oppdaterte rotsertifikatlisten i tide. I disse tilfellene er det ofte en effektiv løsning å distribuere rotsertifikatet ved hjelp av andre metoder (certutil, certlm.msc-konsoll, GPO-innstillinger).
Deteksjon av relaterte ondsinnede prosesser og styrking av sikkerheten
Et ondsinnet rotsertifikat kommer sjelden alene: ofte er det en del av en infeksjon eller installasjon av tvilsom programvare, selv fra en USB-stasjon; det er tilrådelig Analyser en USB-stasjon før du åpner filerDerfor er det lurt å overvåke, i tillegg til å sjekke sertifikater aktive prosesser som kan manipulere sertifikatlageret eller avlytte kryptert trafikk.
I Windows hjelper Oppgavebehandling deg med å identifisere prosesser som bruker ressurser unormalt. Derfra kan du liste opp kjørende programmer, sjekke prosentandelen av CPU-, minne- og nettverksbruk, og høyreklikke på en hvilken som helst prosess for å se egenskapene. Hvis du legger merke til et uvanlig navn, overdrevent ressursforbruk eller en mistenkelig installasjonssti, kan du søke etter informasjon om tjenester som File.net eller databaser med skadelig programvare.
Hvis du bekrefter at en prosess er skadelig eller uønsket, kan du Avslutt oppgaven fra selve Oppgavebehandleren.Dette stopper imidlertid bare symptomet: det anbefales å kjøre en full skanning så snart som mulig med antivirusprogrammet ditt eller et spesialisert anti-malware-verktøy for å eliminere kilden til infeksjonen og eventuelle sertifikater den måtte ha installert.
På en Mac har Aktivitetsmonitor en lignende funksjon. Fra den kan du se alle bakgrunnsprosesser, sjekke ressursbruk, og hvis noe ser galt ut, få detaljert informasjon ved å klikke på informasjonsikonet. Hvis du oppdager mistenkelig aktivitet, kan du tvinge den til å lukkes med kryssikonet eller kjøre ytterligere diagnostikk og deretter... kjør en skanning med pålitelig sikkerhetsprogramvare.
I alle tilfeller, hold systemet oppdatert, bruk oppdaterte løsninger mot skadelig programvare, inkludert funksjoner som Windows Defender SmartScreenÅ begrense installasjonen av programmer fra tvilsomme kilder reduserer sannsynligheten for å støte på skadelige rotsertifikater betraktelig. Likevel er det lurt å sjekke sertifikatlageret med jevne mellomrom, spesielt etter infeksjoner eller installasjon av ukjent programvare.
Sentralisert sertifikathåndtering i profesjonelle miljøer
Mens det på et hjemmedatasystem er nok med verktøy og en nettleser for å administrere sertifikater, blir ting mer komplisert i bedrifter og organisasjoner. Det er vanlig å ha dusinvis eller hundrevis av forskjellige sertifikater: av fysisk person, av representasjon, av elektronisk segl, av interne servere, VPN, sikkerhetsproxyer, osv., brukt av flere brukere og fra forskjellige steder.
I dette scenariet er det urealistisk å administrere alt manuelt. Det er lett for noen å miste oversikten over når et kritisk sertifikat utløper, at sertifikater kan brukes på nytt i sammenhenger de ikke var ment for, eller at en ansatt kan beholde lokale kopier på personlige enheter, med påfølgende risiko for datalekkasjer eller misbruk.
Derfor finnes det sentraliserte digitale sertifikatadministratorer som tillater utstede, lagre og bruke sertifikater i skyenunder veldefinerte tilgangsregler. Tanken er at sertifikater ikke trenger å installeres på hver fysiske enhet, men brukes fra en sikker plattform som registrerer hvem som bruker dem, når og til hvilket formål.
Med løsninger av denne typen er det mulig å etablere tilpassede brukerpolicyer, skille mellom hvilke ansatte som kan signere hvilke typer dokumenter, generere revisjoner når det er nødvendig, kontrollere utløpsdatoer sentralt og automatisere fornyelse og installasjon av nye sertifikater uten å måtte gå datamaskin for datamaskin.
Videre forenkler denne tilnærmingen fjernarbeid og tilgang fra forskjellige enheter, siden sertifikater ikke er avhengige av en bestemt nettleser eller lokal PC, men snarere av en sikker skyinfrastruktur. Når den er riktig konfigurert, reduserer denne modellen dupliserte sertifikater, forhindrer feilinstallasjoner og forenkler samsvar med regelverk angående elektroniske signaturer og databeskyttelse.
Å kontrollere hvilke sertifikater som brukes, hvor de lagres, hvem som kan bruke dem og hvordan de tilbakekalles når de ikke lenger trengs, er like viktig som å oppdage skadelige sertifikater. Dårlig administrasjon kan føre til at vi blir utløpte sertifikater, ukontrollerte root-filer eller ulovlig bruk som i praksis åpner døren for sikkerhetsproblemer som er like alvorlige som en skadelig programvareinfeksjon.
Å sjekke listen over installerte sertifikater fra tid til annen, bruke verktøy som Sigcheck, certutil eller OpenSSL for å undersøke uvanlig oppførsel, stole på offisielle verifiseringstjenester som de fra FNMT, og bruke sentraliserte administratorer når skalaen krever det, er enkle trinn som i stor grad reduserer risikoen for at PC-en din ubevisst stoler på et skadelig eller feilkonfigurert rotsertifikat som setter sikkerheten til all kommunikasjonen din i fare.
Lidenskapelig opptatt av teknologi siden han var liten. Jeg elsker å være oppdatert i sektoren og fremfor alt å formidle det. Derfor har jeg vært dedikert til kommunikasjon på teknologi- og videospillnettsteder i mange år. Du kan finne meg skrive om Android, Windows, MacOS, iOS, Nintendo eller andre relaterte emner som du tenker på.