Ошибка сертификата при подключении по RDP: а как его обновить/заменить? — Хабр Q&A

Что такое корневой сертификат

Корневой сертификат — это файл, в котором указаны данные удостоверяющего центра (УЦ). Например, название УЦ, его ИНН и адрес, срок действия сертификата, какой алгоритм шифрования использует УЦ. 

К этим данным обращается криптопровайдер, когда проверяет действительность электронной подписи пользователя. Если не установить корневой сертификат на компьютер, где используется электронная подпись, то подпись не будет работать корректно.

Удостоверяющий центр использует корневой сертификат, чтобы:

• выдавать  сертификаты электронной подписи (ЭП, она же ЭЦП) пользователям, например, гендиректору организации или нотариусу,
• отзывать эти сертификаты, подписывая корневым сертификатом список отозванных (аннулированных) сертификатов.

Получить электронную подпись

Что это значит

Мы говорим «обновить», «продлить» или «перевыпустить ЭЦП», но на самом деле речь идет об изготовлении нового сертификата электронной подписи, так как прежний полностью прекратил действие в связи с истечением срока. Еще эту процедуру могут называть «обновление ключа ЭЦП» или «продление КЭП».

1с-эдо

Certificate transparency

CT — новое требование, которое станет обязательным в начале следующего года. Оно предусматривает, что все сертификаты должны заноситься в публичный журнал, чтобы браузер им доверял. Вы можете почитать

с более подробным описанием CT, но суть в том, что CA заносит все выданные сертификаты в журнал CT.

Ocsp expect-staple

Хотя Must-Staple кажется отличным решением проверки отзыва сертификатом, это не совсем так. На мой взгляд, одной из самых больших проблем является то, что я как оператор сайта не могу точно знать, насколько надёжны метки OCSP Staple и как их принимает клиент.

Без включенного OCSP Must-Staple это не является проблемой, но если включить OCSP Must-Staple и мы не уверены в надёжности или правильности OCSP Staple, это проблема для сайта. Чтобы попытаться и получить некую обратную связь о качестве меток OCSP Staple, мы можем активировать функцию под названием OCSP Expect-Staple. Я писал о ней раньше, и вы можете узнать все подробности в блоге

, но здесь тоже объясню вкратце. Вдобавок к

вы запрашиваете браузер прислать отчёт, удовлетворён ли он меткой OCSP Staple. Вы можете собирать отчёты сами или использовать мой сервис

, в обоих случаях вы точно узнаете, когда ваш сайт столкнулся с проблемами при работе OCSP Must-Staple. Поскольку использование списка предзагрузки HSTS не настолько очевидно, как мне бы хотелось, я также написал спецификацию для определения нового заголовка безопасности под названием

, чтобы обеспечивать ту же функциональность ценой меньших усилий. Идея в том, что теперь вы можете установить этот заголовок и включить функцию отправки отчётов, которые так нам нужны, ещё до активации Must-Staple. Установка заголовка будет простой, как и всех остальных заголовков безопасности:

Ocsp must-staple

Чтобы объяснить, что такое OCSP Must-Staple, нужно сначала вкратце разобраться, что такое OCSP Stapling. Я не хочу здесь вдаваться в лишние подробности, вы можете получить всестороннюю информацию из моего блога по

, но вот суть. OCSP Stapling избавляет браузер от необходимости отправлять запрос OCSP, выдавая ответ OCSP вместе с самим сертификатом. Это называется OCSP Stapling, потому что сервер должен «скрепить» (staple) ответ OCSP с сертификатом и выдать их вместе.

На первый взгляд это кажется немного странным, потому что сервер как будто «сам удостоверяет» собственный сертификат как неотозванный, но всё работает правильно. Ответ OCSP действует только короткий промежуток времени и подписан CA точно так же, как сертификат.

Так что если браузер может удостовериться, что сертификат подписан CA, то точно так он может удостовериться, что ответ OCSP тоже подписан этим CA. Это устраняет большую проблему приватности и избавляет клиента от бремени выполнять внешний запрос. Лучший вариант!

Но на самом деле не лучший, извините. OCSP Stapling — отличная вещь, и все мы должны поддерживать эту технологию на своих сайтах, но действительно ли мы думаем, что её будет поддерживать злоумышленник? Нет, я так не думаю, конечно же он не будет этого делать.

Что нам на самом деле нужно — так это заставить сервер поддерживать OCSP Stapling, и вот для чего нужен OCSP Must-Staple. При запросе нашего сертификата у CA мы просим его установить на нём флаг OCSP Must-Staple. Этот флаг указывает браузеру, что сертификат должен поставляться с откликом OCSP или он будет отвергнут. Установить флаг легко.

После установки этого флага мы должны гарантировать, что используется OCSP Staple, иначе браузер отвергнет сертификат. В случае компрометации, если злоумышленник получит наш ключ, ему также придётся использовать OCSP Staple вместе с нашим сертификатом, а если он не включит OCSP Staple, то ответ OCSP скажет, что сертификат отозван, и браузер его не примет. Тада!

Remote desktop client (rdp, remoteapp) и revocation checking – windows – компьютерное железо

Zabbix

Скрипт ssl-check-revoc.sh может проверять сертификаты не только из консоли, он также вполне подходит в качестве чекера для Zabbix, поэтому всю грязную работу по отслеживанию попадания сертификатов в список отзыва можно поручить системе мониторинга.

Заходим в конфиг Zabbix /etc/zabbix/zabbix_server.conf и смотрим, где лежат скрипты для внешних проверок:

ExternalScripts=/etc/zabbix/externalscripts

Копируем в этот каталог наш скрипт и рестартуем Zabbix:

sudo cp ssl-check-revoc.sh /etc/zabbix/externalscripts/
sudo systemctl restart zabbix-server

Заходим в веб-интерфейс и создаём шаблон (Configuration >> Templates >> Create template). В качестве имени шаблона указываем «Template SSL Checking». Затем внутри шаблона создаём элемент данных (Item) «SSL Certificate in Revocation List», в качестве ключа указываем «ssl-check-revoc.sh[{HOST.

Также понадобятся два триггера:

1. Для сигнализации отзыва сертификата «Certificate for domain {HOST.NAME} is in revocation list»Expression: “{Template Custom SSL Checking:ssl-check-revoc.sh[{HOST.NAME}].last()}=1”

2. Для сигнализации об ошибке на случай, если что-то пойдёт не так (например возникнут проблемы с CLR-сервером и т.п.) «Error to check certificate for domain {HOST.NAME}»Expression: “{Template Custom SSL Checking:ssl-check-revoc.sh[{HOST.NAME}].last()}=2”

Не забываем в экшенах (Configuration >> Actions) настроить способ оповещения в случае срабатывания триггеров.

Теперь осталось создать хосты, сертификаты которых будем регулярно проверять (Configuration >> Hosts >> Create host). На вкладке Templates прилинковываем наш темплейт «Template SSL Checking».

И всё! Можно спать спокойно: если SSL-сертификат вашего домена по какой-либо причине попадёт в список отозванных, Zabbix сразу же вам сообщит.

Автоматизация

Проверять SSL-сертификаты на предмет отзыва вручную не всегда удобно, поэтому процесс проверки можно автоматизировать.

Для этого берём с Github готовый скрипт ssl-check-revoc.sh, который осуществляет проверку сертификатов методом CRL:

Авторизация центров сертификации

Предотвратить выдачу сертификата намного проще, чем пытаться отозвать его, и именно для этого нужна

(CAA). Опять же, подробности есть в статье по ссылке, но вкратце суть в том, что мы можем авторизовать только конкретные центры сертификации выдавать нам сертификаты, в отличие от нынешней ситуации, когда мы не можем указать вообще никаких предпочтений. Авторизация делается так же просто, как создание записи DNS:

scotthelme.co.uk. IN CAA 0 issue “letsencrypt.org”

Хотя авторизация CA — не особенно сильный механизм, и он не способен помочь во всех ситуациях некорректной выдачи сертификатов, но в некоторых случаях он полезен, так что следует заявить о своих предпочтениях, создав запись CAA.

Инструкция по установке корневого сертификата удостоверяющего центра

Для начала работы с электронной подписью необходимо установить корневые и промежуточные сертификаты УЦ. У клиентов УЦ Контура установка обычно происходит автоматически — во время автонастройки компьютера. Ниже мы опишем и автоматический, и ручной способ.

Автоматическая установка — наиболее простой и быстрый способ, который не требует специальных знаний и навыков от вас:

1. Откройте любой удобный браузер, это может быть Google Chrome, Mozilla Firefox, Internet Explorer или другой.
2. Зайдите в сервис автоматической настройки рабочего места Контур.Веб-диск.
3. Действуйте по указаниям сервиса: он продиагностирует ваш компьютер, найдет каких плагинов и файлов не хватает, предложит их установить. Вместе с ними установит необходимые корневые и промежуточные сертификаты.

Исправление проблемы

Прямо сейчас в данный конкретный момент времени реальность такова, что мы не можем исправить ситуацию. Впрочем, кое-что можно предпринять и, возможно, в будущем механизм отзыва сертификатов станет по-настоящему надёжным.

Как продлить электронную подпись

Обновить электронную подпись, то есть получить новый сертификат вместо заканчивающегося, можно дистанционно или лично в офисе УЦ Контура. Первый способ удобнее и проще, но воспользоваться им можно, если выполняются определенные условия. 

Как узнать срок действия электронной подписи

Хорошо, если вы знаете, когда заканчивается срок действия электронной подписи. Но если нет, — не страшно, за несколько дней до истечения срока действия ЭП Контур пришлет уведомление и напомнит о том, что нужно получить новый сертификат. 

Получить информацию о сроках действия сертификата ЭП можно двумя способами.

В первом варианте нужен компьютер, на котором установлен сертификат ЭП и программа КриптоПро CSP. Чтобы посмотреть срок действия сертификата, следуйте пунктам ниже или откройте инструкцию с картинками:

1. Нажмите «Пуск», перейдите в «Панель управления» и выберите  программу «КриптоПро CSP».
2. В открывшемся окне перейдите во вкладку «Сервис» и нажмите на клавишу «Просмотреть сертификат в контейнере».
3. Затем нажмите на кнопку «Обзор», выберите имя ключевого контейнера, нажмите «ОК» и «Далее».
4. В открывшемся окне в строке «Действителен по» указана дата окончания срока действия ЭП.

Второй вариант — воспользоваться Личным кабинетом УЦ Контура.

1. Для этого откройте любой браузер и на сайте УЦ войдите в Личный кабинет.
2. В открывшемся окне перейдите во вкладку «Действующие» и в правом столбце увидите срок действия каждого вашего сертификата ЭП.

Какая информация содержится в корневом сертификате

Корневой сертификат представляет собой файл, который содержит свойства и данные: 

• серийный номер,
• сведения об УЦ,
• сведения о владельце сертификата,
• сроки его действия,
• используемые алгоритмы
• открытый ключ электронной подписи,
• используемые средства УЦ и средства электронной подписи,
• класс средств ЭП,
• ссылка на сертификат «вышестоящего» УЦ, который выдал данный сертификат (для промежуточного сертификата),
• ссылка на реестр аннулированных (отозванных) сертификатов (для промежуточного сертификата),
• электронную подпись УЦ, выдавшего сертификат.

Какой срок действия корневого сертификата удостоверяющего центра

Корневой сертификат УЦ Минцифры действует 18 лет. Промежуточный сертификат аккредитованного УЦ действует 15 лет — это дольше, чем действие любого пользовательского сертификата ЭП, который такой УЦ выдаст клиенту. Пользовательские сертификаты выдаются обычно на 12, 15 месяцев.

УЦ сам следит за сроками действия своих промежуточных и корневых сертификатов, чтобы не доставить неудобств клиентам. УЦ Контура обновляет сертификаты в среднем раз в год — это необходимо, чтобы соблюдать требования эксплуатационной документации к срокам ключей электронной подписи на сертифицированные средства УЦ и ЭП. Обновление происходит незаметно для пользователей и не влияет на их работу.

Получить электронную подпись

Можно ли установить электронную подпись без корневого сертификата

Да, можно, но работать она не будет. Корневой и промежуточный сертификат является тем ключом, к которому обращается криптопровайдер при проверке  подлинности подписи. Для признания ключа действительным в системе должен быть установлен корневой сертификат. В противном случае пользователь увидит окно с уведомлением об ошибке.

Это актуально как для ЭП, хранящейся на компьютере, так и для ЭП на токене, с небольшой разницей:

• при работе с ЭП на компьютере, корневой сертификат устанавливается один раз, обычно при первой установке ЭП,
• если ЭП хранится на токене, то корневой сертификат необходимо устанавливать на тот компьютер, с которым предстоит работать.

Настройка групповой политики для выдачи rdp сертификатов

Теперь нужно настроить доменную политику, которая будет автоматически назначать RDP сертификат компьютерам/серверам согласно настроенного шаблона.

Онлайн-обновление эп

Вам не нужно посещать офис УЦ, если вы решили обновить сертификат ЭП онлайн. Однако выполнить такое обновление можно, если:

• у вас есть сертификат, срок действия которого еще не истек; 
• этот сертификат квалифицированный;
• действует на момент подписания заявления на выдачу нового сертификата; 
• ФИО, СНИЛС и ИНН, которые будут вноситься в новый сертификат полностью совпадают со сведениями в старом сертификате.

Чтобы обновить сертификат в Контуре онлайн, воспользуйтесь инструкцией ниже или перейдите в Личный кабинет УЦ и следуйте подсказкам сервиса. Если хотите обновить сертификат самостоятельно, то сделать это можете минимум за 60 дней до его окончания.

1. Для входа в Личный кабинет введите номер телефона, который указывали при получении первоначального сертификата. На этот телефон мы пришлем смс с кодом, по которому вы сможете войти. 

Обычно смс-код поступает в течение двух минут, но если сообщение не пришло, воспользуйтесь клавишей «Получить смс-код повторно», которая появится через две минуты. Если код снова не поступил, обратитесь в техническую поддержку Контура — ее контакты указаны внизу страницы.

2. Если у вас несколько сертификатов, то в перечне выберите сертификат, подлежащий замене и нажмите кнопку «Заполнить заявку». Если у вас один сертификат, то вы сразу попадете на бланк заявки.

3. Приступайте к заполнению заявки. Для этого вам понадобится действующий сертификат Контура или УЦ из списка.

4. Подпишите заявку действующим сертификатом. 

5. Наши операторы рассмотрят заявку в течение 1-2 дней. Мы сообщим вам об окончании проверки, после чего вы можете выпустить сертификат.

6. Выпуск сертификата обычно занимает 30 минут, иногда чуть дольше, но не более 4 часов. После чего вам придет смс «Запрос на сертификат ЭП одобрен».

7. После выпуска сертификата подтвердите, что получили его: вернитесь на страницу «Выпуск сертификата» и нажмите клавишу «Подписать расписку». Для подписания можно использовать действующий сертификат, который вы заменяете.

8. Установите сертификат: если для хранения ЭП вы выбрали токен, то его необходимо вставить в компьютер, если сертификат устанавливается на ПК, то ЭП будет помещена в память компьютера.

9. На этом все, сертификат установлен, можете работать.

Офлайн-обновление эп

Теперь разберемся, что делать, если ваша прежняя электронная подпись уже закончилась, сменился сотрудник, на которого обычно выпускали сертификат ЭП, или изменились данные организации. 

В этом случае заявку нужно будет заполнить вручную, подписать и загрузить сканы документов. Поясним, как это сделать.

1. Выполните пункты 1-2 из инструкции выше.

2. Так как действующий сертификат ЭП у вас отсутствует, заявку  придется подписывать вручную, а для этого понадобится принтер и телефон с камерой, фотоаппарат или цветной сканер.

Также подготовьте оригиналы или заверенные копии:

• паспорта,
• СНИЛС нового владельца ЭП — если сменился владелец сертификата,
• документы организации — если изменились данные организации.

Если все готово, нажмите кнопку «Приступить» и заполните заявку на новый сертификат.

3. Заполняйте данные об организации в соответствии с документами. Сведения о новом владельце сертификата указывайте точно как в паспорте, сохраняя букву Ё, дефисы, пробелы. 

Если паспорта РФ нет, то вместо него предоставьте временное удостоверение личности. 

А для иностранных граждан — паспорт иностранного государства, переведенный и заверенный нотариусом или ВНЖ. ФИО иностранного гражданина заполняйте кириллицей, точно так, как указано в нотариально заверенном переводе, серию паспорта можно не указывать (если она отсутствует в документе).

4. Внимательно  проверьте данные нового владельца и организации. Если вы допустите ошибку, то оператор вернет заявку и попросит исправить неточности. После чего форма вновь отправится на проверку на 1-2 дня. 

Убедитесь, что номер телефона, к которому будет привязан сертификат, указан верно. На этот номер вы получите смс-код, подтверждающий выпуск сертификата, также по телефону вы сможете подтвердить доступ к заявке.Когда все проверите, нажмите клавишу «Подтвердить данные».

5. Распечатайте заявление.  В строке «Субъект персональных данных» поставьте подпись. Подпись ставится синими чернилами. Нельзя использовать факсимиле и делать исправления. 

6. Проверьте актуальность документов. Если данные не изменились — их скопируют из заявки, которую вы подавали на прежний сертификат, если изменились — загрузите фото или сканы документов, подтверждающих изменения. Вы можете загрузить как оригиналы, так и заверенные копии документов.

7. После того, как все документы будут загружены, оператор проверит их. Если все заполнено верно, кнопка «Продолжить» станет активной. Кликните на нее.

8. Выберите сервисный центр, в котором будете получать сертификат. После этого отправьте заявку на проверку.

9. Вашу заявку рассмотрят за 1-2 дня, после чего вы получите инструкцию, что делать дальше.  

10. Когда пойдете в сервисный центр, возьмите с собой все оригиналы документов: паспорт, заявление на выдачу сертификата и СНИЛС, если с его проверкой были проблемы.

Ошибка сертификата при подключении по rdp: а как его обновить/заменить?

Поддельные сертификаты

Если мы говорим об отзыве сертификатов, то должны рассмотреть тему их подделки. Если некто пытается скомпрометировать CA или как-то ещё получить сертификат, который ему не положен, то как он будет действовать? Если я прямо сейчас взломаю CA и получу сертификат на ваш сайт, то вы не узнаете об этом до тех пор, пока об этом не сообщат в новостях.

Подписываем rdp файл и добавляем отпечаток доверенного rdp сертификата

Если у вас отсутствует CA, но вы хотите, чтобы при подключении к RDP/RDS серверу у пользователей не появлялось предупреждения, вы можете добавить сертификат в доверенные на компьютерах пользователей.

Как описано выше получите значение отпечатка (Thumbprint) RDP сертификата:

Get-WmiObject -Class “Win32_TSGeneralSetting” -Namespace rootcimv2terminalservices|select|select SSLCertificateSHA1Hash

Используйте этот отпечаток для подписывания .RDP файла с помощью RDPSign.exe:

Полный сбой

Выше я говорил о CRL и OCSP, двух механизмах проверки сертификатов браузером, и они выглядят таким образом.

После получения сертификата браузер обратится к одному из этих сервисов и отправит запрос для окончательного выяснения статуса сертификата. А что, если у вашего CA плохой день и его инфраструктура в офлайне? Что, если ситуация выглядит так?

Здесь у браузера только два варианта. Он может отказаться принимать сертификат, поскольку не способен проверить его статус. Или взять на себя риск и принять сертификат, не зная его статус, отозван он или нет. У обоих вариантов есть свои преимущества и недостатки.

Если браузер откажется принимать сертификат, то каждый раз при уходе инфраструктуры CA в офлайн ваши сайты тоже уходят туда же. Если браузер продолжит принимать сертификаты, то он рискует принять сертификат, который был украден, и подвергает пользователя риску. Это трудный выбор, но прямо сейчас, сегодня, ничего такого на самом деле не происходит…

Предупреждение о самоподписанном сертификате rdp

По умолчанию в Windows для защиты RDP сессии генерируется самоподписанный

сертификат. В результате при первом подключении к RDP/RDS серверу через клиента mstsc.exe, у пользователя появляется предупреждение:

Не удалось проверить подлинность удаленного компьютер из-за проблем с сертификатом безопасности.
Ошибка сертификата: сертификат выдан не имеющим доверия центром сертификации.

Чтобы продолжить установление RDP подключении пользователь должен нажать кнопку Да. Чтобы RDP предупреждение не появлялось каждый раз, можно включить опцию “Больше не выводить запрос о подключениях к этому компьютеру».

Проблема 2. при нажатии на кнопку «запросить сертификат» возникают ошибки или не открывается программа криптопро.

Решение:

Если у Вас установлена антивирусная программа «Avast» или «Антивирус Касперского», то данные программы достаточно временно отключить.

Проблема 3. не удается выполнить запрос на сертификат.

Решение: проверьте версию операционной системы (ОС).

Например, в программе «Подпись Про» нажмите кнопку О Программе» нажмите кнопку «О системе…»:

Проверьте версию операционной системы:

К сожалению на версии операционной системы отличной от Windows 10 невозможно выполнить запрос на сертификат из программы.

Для продолжения операции выпуска сертификата обратитесь в отдел технической поддержки по номеру 8 (800) 100-58-90.

Также Вы можете обновить свою операционную систему до Windows 10 или воспользоваться другим компьютером с уже установленной версией ОС.

Проблема 4. при создании запроса на сертификат в криптопро csp отсутствует биологический датчик случайных чисел и не удается сформировать контейнер закрытого ключа. вместо окна биологического датчика случайных чисел открылось окно:

Решение: добавить биологический датчик случайных чисел.

Для добавления биологического датчика ДСЧ запустите программу КриптоПро CSP от имени администратора. Перейдите на вкладку «Оборудование» и нажмите кнопку «Настроить ДСЧ»:

• Если в открывшемся окне отсутствует «Биологический ДСЧ», нажмите «Добавить»:

В открывшемся окне нажмите «Далее». В окне «Выбор ДСЧ» выберите «Биологический ДСЧ» и нажмите кнопку «Далее»:

Задайте имя добавляемого ДСЧ или оставьте по умолчанию, нажмите «Далее» и «Готово».

В окне «Управление датчиками случайных чисел» появится «Биологический ДСЧ».

• Если биологический датчик есть в списке, но находится не напервом месте, поднимите его с помощью стрелки вверх.

Проблема 5. ошибки при работе с полученным сертификатом: при подписании или при проверке подлинности сертификата.

Решение:

• Проверьте, действительна ли лицензия на программу КриптоПро CSP.

Запустите программу КриптоПро CSP и на вкладке «Общие» проверьте срок действия.

Если в поле «Срок действия» указано «Истекла», то необходимо приобрести лицензию на программу либо ввести лицензионный ключ при наличии такового.

• Установите корневые сертификаты УЦ:

1. Через модуль «Удостоверяющий центр» или через программу «Подпись Про». Для этого на ленте на вкладке «Главная» нажмите кнопку

2. Вручную. Для этого:

Проблема 6. если вы выпускали электронную подпись до 01.07.2021 и не удается войти в личный кабинет на сайте удостоверяющего центра ооо «программный центр». например, возникает следующая ошибка:

Решение:

• Используйте браузер Internet Explorer версии 11. При работе в других версиях браузера могут возникать затруднения.

• Добавьте сайт УЦ в надежные сайты. 

Проприетарные механизмы

Если сайт скомпрометирован и злоумышленник получил секретный ключ, то он может подделать этот сайт и причинить некоторый вред. Здесь ничего хорошего, но могло быть и хуже. Что если CA скомпрометирован и злоумышленник получил секретный ключ для промежуточного сертификата?

Это было бы катастрофой, потому что тогда злоумышленник может подделать буквально любой сайт, который захочет, подписав собственный сертификат. Поэтому вместо онлайновой проверки промежуточных сертификатов на предмет отзыва у Chrome и Firefox есть собственные механизмы для той же задачи.

В Chrome он называется CRLsets, а в Firefox — OneCRL. Эти механизмы проверяют списки отозванных сертификатов, объединяя доступные CRL и выбирая оттуда сертификаты. Так проверяются особо ценные сертификаты вроде промежуточных, но что насчёт обычных, наших с вами?

Протокол проверки статуса сертификата

OCSP предлагает намного более красивое решение проблемы и имеет значительное преимущество перед CRL. Здесь мы спрашиваем у CA статус единственного, конкретного сертификата. Это значит, что CA должен вернуть только простой ответ: сертификат либо хороший, либо отозван, и такой ответ гораздо меньше по размеру, чем список CRL. Отлично!

Решение

Вам потребуются права администратора на компьютере. Убедитесь, что они у вас есть.

Для сертификатов Тензора

Установите все действующие корневые сертификаты УЦ «Тензор». Для этого:

Создаем шаблон rdp сертификата в центре сертификации (ca)

Попробуем использовать для защиты RDP подключений доверенный SSL/TLS сертификат, выданный корпоративным центром сертификации. С помощью такого сертификата пользователь может выполнить проверку подлинности RDP сервера при подключении. Предположим, что у вас в домене уже развернут корпоративной центр сертификации (Microsoft Certificate Authority), в этом случае вы можете настроить автоматическую выдачу и подключение сертификатов всем компьютерам и серверам Windows в домене.

Н на вашем CA нужно создать новый тип шаблона сертификата для RDP/RDS серверов.

1. Запустите консоль Certificate Authority и перейдите в секцию Certificate Templates;
2. Сделайте копию шаблона сертификата Computer (Certificate Templates -> Manage -> Computer -> Duplicate);
   
3. На вкладке General укажите имя нового шаблона сертификата – RDPTemplate. Убедитесь, что значение поля Template Name полностью совпадает с Template display name;
   
4. На вкладке Compatibility укажите минимальную версию клиентов в вашем домене (например, Windows Server 2008 R2 для CA и Windows 7 для клиентов). Тем самым будут использоваться более стойкие алгоритмы шифрования;
5. Теперь на вкладке Extensions в политике приложений (Application policy) нужно ограничить область использования такого сертификата только для Remote Desktop Authentication (укажите следующий object identifier — 1.3.6.1.4.1.311.54.1.2). Нажмите Add -> New, создайте новую политику и выберите ее;
   
6. В настройках шаблона сертификата (Application Policies Extension) удалите все политики кроме Remote Desktop Authentication;
7. Чтобы использовать данный шаблон RDP сертификатов на контролерах домена, откройте вкладку Security, добавьте группу Domain Controllers и включите для нее опцию Enroll и Autoenroll;
   
8. Сохраните шаблон сертификата;
9. Теперь в оснастке Certificate Authority, щёлкните по папке Certificate Templates, выберите New ->Certificate Template to Issue -> выберите созданный шаблон RDPTemplate.
   

Частичный сбой

На самом деле сегодня браузеры выполняют так называемую проверку отзыва сертификата с частичным сбоем. То есть браузер попытается проверить статус сертификата, но если ответ не пришёл совсем или не пришёл за короткий промежуток времени, то браузер просто забывает об этом. Ещё хуже, что Chrome даже не пытается проверить сертификат. Да, вы прочитали правильно, Chrome даже

не пытается

проверить статус сертификата, который ему поступает. Вы можете найти это странным, но я полностью согласен с их подходом и я рад сообщить, что Firefox тоже, вероятно, скоро начнёт работать так же. Позвольте объяснить. Проблема с полным сбоем очевидна:

если у CA плохой день, то у нас тоже он будет, вот так мы пришли к логике частичного сбоя. Браузер теперь пытается осуществить проверку сертификата на предмет отзыва, но полностью отказывается от неё, если она занимает слишком много времени или если кажется, что CA ушёл в офлайн.

Если вы осуществляете атаку MiTM, то вам нужно всего лишь блокировать запрос на проверку сертификата и создать впечатление, что CA не работает. Браузер тогда столкнётся с частичным сбоем проверки и продолжит радостно использовать отозванный сертификат.

Если вас никто не атакует, то каждый раз при проверке этого конкретного сертификата вы тратите время и ресурсы на проверку, что сертификат не отозван. И один раз, когда вас атакуют — тот единственный раз, когда вам по-настоящему нужна такая проверка — злоумышленник просто блокирует соединение, и браузер проходит через частичный сбой.

Адам Лэнгли из Google лучше всех описал, что такое отзыв сертификата: это ремень безопасности, который рвётся в момент аварии, и он прав. Вы каждый день садитесь в машину и пристёгиваете ремень безопасности — и он даёт вам приятное и комфортное ощущение безопасности.

Заключение

В настоящий момент существует реальная проблема, что мы не можем отозвать сертификат, если кто-то получил наш секретный ключ. Только представьте, во что это выльется при раскрытии следующей глобальной уязвимости масштаба Heartbleed! Одна вещь, которую вы можете попытаться сделать — это ограничить размер ущерба от утечки, сократив срок действия своего сертификата.

Вместо трёх лет указывайте один год или даже меньше. Let’s Encrypt выдаёт только сертификаты, которые действительны всего лишь 90 дней! С сокращением времени жизни вашего сертификата у злоумышленника будет меньше времени для злоупотреблений. Кроме этого мы мало что можем сделать.

Для демонстрации проблемы и того, насколько она реальна, попробуйте зайти на новый поддомен, который я открыл на своём сайте, revoked.scotthelme.co.uk. Как вы вероятно догадываетесь, к этому поддомену прикреплён отозванный сертификат, и вполне вероятно, что он нормально загрузится в вашем браузере.

Если нет, если ваш браузер выдаст предупреждение об истёкшем сроке действия, то это значит, что ваш браузер по-прежнему отправляет запросы OCSP и вы только что сообщили в CA о том, что посетили мой сайт. Для доказательства, что такая проверка с мягким сбоем бесполезна, можете добавить в hosts домен ocsp.int-x3.letsencrypt.

org с IP-адресом 127.0.0.1 или блокировать его каким-нибудь другим способом — и повторить попытку подключения. На этот раз страница нормально загрузится, потому что проверка отозванного сертификата не сработает, а браузер продолжит загружать страницу. Толку от такой проверки…

Я бы хотел закончить статью вопросом: следует ли нам исправлять процедуру отзыва сертификатов? Впрочем, это тема для другой статьи.

Отзыв сертификатов соответствия: время бить в набат?

Отзыв

В случае компрометации мы должны отозвать сертификат, чтобы исключить возможность злоупотреблений. Как только сертификат помечен как отозванный, браузер знает, что ему нельзя доверять, даже если у него не закончился срок действия. Владелец запросил отзыв, и ни один клиент больше не должен принимать этот сертификат.

Как только мы узнаём о факте взлома, мы связываемся с CA и просим отозвать наш сертификат. Нужно доказать факт владения сертификатом, и как только мы сделали это, то CA помечает сертификат как отозванный. Теперь нужен способ сообщить об этом факте каждому клиенту, которому может потребоваться данная информация.

Прямо в этот момент браузер, конечно, ничего не знает, и это проблема. Есть два механизма, которые используются для распространения информации: это список отозванных сертификатов (Certificate Revocation List, CRL) и протокол проверки статуса сертификата (Online Certificate Status Protocol, OCSP).