Реестр сертификатов в windows 10

Система цифровых сертификатов используется аналогично паролям, для подтверждения личности пользователя или ПК, обмена электронной информацией в виртуальной сети. Легковесные файлы содержат личные данные, которые применяются при идентификации личности. Хранилище сертификатов в ОС Windows 10 находится в секретном месте. Иногда фирмам приходится настраивать личные сертификаты, поэтому им важно знать местоположение файлов.

Для чего знать, где хранятся сертификаты?

Каждый файл в хранилище предусмотрен для защиты операционки цифрового устройства. Они препятствуют проникновению вредоносных программ в систему. Отдельная цифровая подпись отвечает за определенный скачанный софт.

Знание о том, где хранятся такие файлы, требуется в случае просмотра или установки корневых, личных сертификатов. В «десятке» инструменты находятся в контейнере двух типов:

• Certificate store локального ПК – включают список файлов для проверки оригинальности сервера.
• Certificate store для пользователя – хранят сертификаты утилит, которые запускает юзер.

Сертификаты представляют собой корневые и личные файлы. Первые являются составным элементом секретного ключа. Вторые предназначены для идентификации юзеров при обмене электронных данных. Поменять настройки в «десятке» можно через mmc оснастки, в том числе через хранилище.

Просмотр установленных сертификатов Windows 10

Список важных объектов: сертификаты для оборудования, персональные файлы – находят несколькими способами с помощью встроенных инструментов, сторонних утилит.

Через «КриптоПро»

Криптопровайдер предназначен для организации защиты программных обеспечений методом шифрования. Менеджер защищает конфиденциальную информацию при обмене данными через сеть интернет, обеспечивает юридическую достоверность электронных документов.

Для включения программы ее требуется скачать с официального сайта разработчика, инсталлировать на компьютер. Все действия выполняются с правами Администратора. Во время установки ПО можно выполнять настройки через панель свойств. После инсталляции потребуется перезагрузить устройство.

Просмотр проверочных ключей ЭЦП происходит по следующему алгоритму:

• Зайти в меню Пуск.

• Открыть «Все программы».
• Выбрать «КриптоПро».

• Щелкнуть по пункту «Сертификаты».

В открывшемся окне пользователь увидит все актуальные корневые, личные файлы. Обладая администраторскими правами, можно управлять файлами в «десятке»: выполнять копирование, редактирование, деинсталлировать файлы.

Через Certmgr

Диспетчер разрешает проводить различные действия с цифровыми документами. Консоль является частью операционной системы, включает инструменты для функций управления.

Для просмотра данных нужно следовать инструкции:

• Зайти в Пуск.

• Открыть Командную строку, набрать: c Нажать «Enter».

• В меню появившегося окна выбрать «Личное» и «Корневые сертификаты…». Зайдя в разделы, можно развернуть реестры с полным списком ключей.

Без прав Администратора утилита не заработает. Софт имеет ограничение в шифровании данных, где происходит специальное кодирование файлов.

Через Internet Explorer

Браузер интегрирован в ОС Виндовс 10, включает набор инструментов, позволяющих искать и просматривать информацию в виртуальной сети. Если веб-проводник отсутствует в «десятке», его легко можно скачать с официального источника.

С помощью браузера можно найти ЭЦП, следуя инструкции:

• Запустить Интернет Эксплорер.

• Выбрать «Свойства браузера».

• Тапнуть по разделу «Содержание».
• Нажать на подраздел «Сертификаты».

В результате откроется содержимое с полным списком искомых файлов. В веб-сервисе существует возможность их добавления. Юзеру стоит помнить, что корневые ЭЦП удостоверяющих центров деактивировать запрещено.

Аналогичный способ поиска документов выполняется через Центр управления сетями или общим доступом:

• Открыть Панель управления.

• Войти в «Свойства браузера».

• Зайти в меню «Содержание» и «Сертификаты».

Преимущество метода заключается в том, что посмотреть список ЭЦП можно без администраторских прав. Для обычных людей доступен только просмотр, вносить изменения запрещено.

Через контроль управления

Представляет собой один из важнейших компонентов ОС Виндовс 10. С помощью встроенного средства осуществляется управление, запуск, настройка большинства системных функций. Также можно найти, где лежат сертифицированные файлы ЭЦП для их редактирования.

Пошаговая инструкция:

• Нажать: «Win + R».
• Ввести в строку запроса: cmd. Нажать «Enter».

• после этого перейти по команде mmc в терминал;

• Щелкнуть по вкладке «Файл».

• В открывшемся списке тапнуть «Добавить изолированную оснастку».

• Нажать на раздел «Сертификаты».

Все действия пользователь может выполнять только с правами Администратора. Такой вариант подходит не каждому человеку, так как некоторые запросы вводятся через Командную строку. Сервисом обычно пользуются системные администраторы или люди, хорошо разбирающиеся в теме.

Существует целый список сторонних ресурсов, позволяющих управлять сертификатами, инсталлированными в ОС Виндовс 10. Но пользоваться такими утилитами не рекомендуется, так как нет гарантии, что в них присутствует команда отправки сертификата на внешний сервер. Надежное сертифицированное приложение – это «КриптоПро», которое дает гарантию защиты от несанкционированного доступа посторонних лиц к ЭЦП.

Также в последних версиях Винды зашифрованные файлы просматривают, перейдя по пути: C:Users\ПОЛЬЗОВАТЕЛЬ\AppData\Roaming\Microsoft\System\Certificates. Словосочетание «Пользователь» меняется на название учетной записи. В результате откроется полный список засекреченных данных.

Сертификаты созданы для безопасной работы цифровой техники. Их достоверность гарантирована сертификационным центром. Управление ЭЦП требует определенных знаний, поэтому работу должен выполнять специалист или продвинутый пользователь.



Данный материал является переводом оригинальной статьи «ATA Learning : Michael Soule : Manage Certs with Windows Certificate Manager and PowerShell».

Работа с сертификатами обычно является одной из тех дополнительных задач, которые вынужден брать на себя системный администратор Windows. Диспетчер Сертификатов Windows (Windows Certificate Manager) — это один из основных инструментов, который позволяет выполнять эту работу.

В этой статье мы рассмотрим работу с сертификатами применительно к операционной системе Windows. Если же вы хотите узнать больше о том, как работают сертификаты в целом, ознакомьтесь с сопутствующей статьей «Your Guide to X509 Certificates».

Понимание хранилищ сертификатов

В диспетчере сертификатов Windows все сертификаты находятся в логических хранилищах, называемых «хранилищами сертификатов». Хранилища сертификатов – это «корзины», в которых Windows хранит все сертификаты, которые в настоящее время установлены, и сертификат может находиться более чем в одном хранилище.

К сожалению, хранилища сертификатов — не самая интуитивно понятная концепция для работы. О том, как различать эти хранилища и как с ними работать, вы прочитаете ниже.

Каждое хранилище находится в Реестре Windows и в файловой системе. При работе с сертификатом в хранилище вы взаимодействуете с логическим хранилищем, не изменяя напрямую реестр или файловую систему. Этот более простой способ позволяет вам работать с одним объектом, в то время как Windows заботится о том, как представить этот объект на диске.

Иногда можно встретить хранилища сертификатов, называемые физическими или логическими хранилищами. Физические хранилища ссылаются на фактическую файловую систему или место в реестре, где хранятся разделы реестра и / или файл(ы). Логические хранилища — это динамические ссылки, которые ссылаются на одно или несколько физических хранилищ. С логическими хранилищами намного проще работать, чем с физическими хранилищами для наиболее распространенных случаев использования.

Windows хранит сертификаты в двух разных областях — в контексте пользователя и компьютера. Сертификат помещается в один из этих двух контекстов в зависимости от того, должен ли сертификат использоваться одним пользователем, несколькими пользователями или самим компьютером. В остальной части этой статьи сертификат в контексте пользователя и компьютера будет неофициально называться сертификатами пользователей и сертификатами компьютеров.

Сертификаты пользователей

Если вы хотите, чтобы сертификат использовался одним пользователем, то идеальным вариантом будет хранилище пользовательских сертификатов внутри Диспетчера сертификатов Windows. Это общий вариант использования процессов аутентификации на основе сертификатов, таких как проводной IEEE 802.1x.

Сертификаты пользователей находятся в профиле текущего пользователя и логически отображаются только в контексте этого пользователя. Сертификаты пользователей «сопоставлены» и уникальны для каждого пользователя даже в одних и тех же системах.

Компьютерные сертификаты

Если сертификат будет использоваться всеми пользователями компьютера или каким-либо системным процессом, его следует поместить в хранилище в контексте компьютера. Например, если сертификат будет использоваться на веб-сервере для шифрования связи для всех клиентов, размещение сертификата в контексте компьютера будет подходящим вариантом.

Вы увидите, что хранилище сертификатов компьютера логически сопоставлено для всех пользовательских контекстов. Это позволяет всем пользователям использовать сертификаты в хранилище сертификатов компьютера в зависимости от разрешений, настроенных для закрытого ключа.

Сертификаты компьютера находятся в кусте реестра локального компьютера и в подкаталогах \ProgramData. Сертификаты пользователя находятся в кусте реестра текущего пользователя и в подкаталогах \AppData. Ниже вы можете увидеть, где каждый тип хранилища находится в реестре и файловой системе.

Контекст	Путь реестра	Объяснение
User	HKEY_CURRENT_USER SOFTWARE\Microsoft\SystemCertificates\	Физическое хранилище для пользовательских открытых ключей
User	HKEY_CURRENT_USER SOFTWARE\Policies\Microsoft\SystemCertificates\	Физическое хранилище для пользовательских открытых ключей, установленных объектами групповой политики Active Directory (AD) (GPO)
Computer	HKEY_LOCAL_MACHINE SOFTWARE\Microsoft\SystemCertificates\	Физическое хранилище общедоступных ключей для всей машины
Computer	HKEY_LOCAL_MACHINE SOFTWARE\Microsoft\Cryptography\Services\	Физическое хранилище ключей, связанных с определенной службой
Computer	HKEY_LOCAL_MACHINE SOFTWARE\Policies\Microsoft\SystemCertificates\	Физическое хранилище открытых ключей для всей машины, установленных объектами групповой политики.
Computer	HKEY_LOCAL_MACHINE SOFTWARE\Microsoft\EnterpriseCertificates\	Физическое хранилище общедоступных ключей, установленных корпоративными контейнерами PKI в домене AD

Контекст	Расположение файла	Объяснение
User	$env:APPDATA\Microsoft\SystemCertificates\	Физическое хранилище для пользовательских открытых ключей и указателей на закрытые ключи
User	$env:APPDATA\Microsoft\Crypto\	Физическое хранилище для контейнеров закрытых ключей для конкретных пользователей
Computer	$env:ProgramData\Microsoft\Crypto\	Физическое хранилище для контейнеров закрытых ключей для всей машины

Предварительные требования

В оставшейся части этой статьи вы найдете несколько примеров, демонстрирующих взаимодействие с хранилищами сертификатов Windows. Чтобы воспроизвести эти примеры, убедитесь, что выполняются следующие требования:

• Windows Vista, Windows Server 2008 или более новая операционная система. В показанных примерах используется Windows 10 Корпоративная версии 1903.
• Знакомство с PowerShell. Хотя это и не обязательно, этот язык будет использоваться для ссылки на сертификаты, где это необходимо. Все показанные примеры были созданы с помощью Windows PowerShell 5.1.
• Вам не потребуется устанавливать какие-либо специальные сертификаты, но использование самозаверяющего сертификата полезно.

Управление сертификатами в Windows

В Windows есть три основных способа управления сертификатами:

• Оснастка консоли управления Microsoft (MMC) сертификатов (certmgr.msc)
• PowerShell
• Инструмент командной строки certutil

В этой статье вы узнаете, как управлять сертификатами с помощью оснастки Certificates MMC и PowerShell. Если вы хотите узнать больше о том, как использовать certutil, ознакомьтесь с документацией Microsoft.

PowerShell против диспетчера сертификатов Windows

Поскольку в Windows можно управлять сертификатами несколькими способами, встаёт вопрос выбора, что лучше использовать — GUI (MMC) или командную строку с PowerShell.

Во-первых, рассмотрим жизненный цикл сертификата. Если вы собираетесь установить или удалить один сертификат только один раз, рассмотрите возможность использования MMC. Но если вы управляете несколькими сертификатами или выполняете одну и ту же задачу снова и снова, использование командной строки может оказаться правильным решением. Даже если вы не умеете писать сценарии PowerShell, вам стоит этому научиться, если у вас есть много разных сертификатов, которыми нужно управлять.

Давайте сначала посмотрим, как обнаружить сертификаты, установленные в Windows, с помощью диспетчера сертификатов и PowerShell.

Использование диспетчера сертификатов Windows (certmgr.msc)

Чтобы просмотреть сертификаты с помощью MMC, откройте Диспетчер сертификатов: откройте меню «Пуск» и введите certmgr.msc. Это вызовет Windows Certificates MMC. Это начальное представление предоставит обзор всех логических хранилищ, отображаемых в левом окне.

На снимке экрана ниже видно, что выбрано логическое хранилище доверенных корневых центров сертификации

Просмотр физических хранилищ

По умолчанию Диспетчер сертификатов Windows не отображает физические хранилища. Чтобы показать их, в верхнем меню оснастки выбирайте «View» > «Options«. Затем вы увидите варианты отображения физических хранилищ сертификатов. Включение этого параметра упрощает определение конкретных путей в Windows.

Теперь вы можете видеть, что дополнительные контейнеры показаны в примере логического хранилища доверенных корневых центров сертификации, показанном ранее. Сертификаты по-прежнему сгруппированы относительно их логических хранилищ, но теперь вы можете увидеть физическое хранилище «Реестр».

Проверка атрибутов в диспетчере сертификатов Windows

Есть много атрибутов сертификата, которые вы можете увидеть при просмотре их с помощью MMC. Например, вы, вероятно, захотите выбрать определенные сертификаты по их атрибутам. Самый простой способ сделать это — указать Serial Number сертификата или значение Thumbprint. Если сертификат был подписан центром сертификации (CA), при выдаче он будет иметь серийный номер. Thumbprint вычисляется каждый раз при просмотре сертификата.

Вы можете увидеть некоторые атрибуты сертификата, открыв его в MMC, как показано ниже.

Следует отметить одну важную особенность — встроенные закрытые ключи. Сертификаты в Windows также могут иметь соответствующий закрытый ключ. Эти закрытые ключи хранятся в соответствующих физических хранилищах в виде зашифрованных файлов.

Чтобы быстро отличать сертификаты с соответствующим закрытым ключом и без него, посмотрите на значок сертификата. В Диспетчере сертификатов Windows, если значок просто выглядит как лист бумаги с лентой, соответствующий закрытый ключ отсутствует. Если у сертификата есть закрытый ключ, вы увидите ключ на значке MMC, и ключ в нижней части вкладки «Общие» при открытии сертификата

Использование PowerShell по физическому хранилищу

Как и в случае с MMC, вы можете просматривать сертификаты и управлять ими с помощью PowerShell. Давайте сначала проверим сертификаты в их физических хранилищах (реестр и файловая система).

Используя PowerShell командлет Get-ChildItem, вы можете перечислить все ключи и значения внутри родительского пути в реестре. Приведенная ниже команда перечислит все сертификаты вошедшего в систему пользователя в логическом хранилище промежуточных центров сертификации.

Get-ChildItem -Path 'HKCU:\Software\Microsoft\SystemCertificates\CA\Certificates'

Каждая запись в кусте реестра, который вы видите, будет соответствовать отпечатку сертификата доверенного центра сертификации и его сертификату в соответствующем свойстве. Вы можете увидеть пример вывода ниже.

Другое распространенное хранилище — это Personal store. Ваши сертификаты для этого хранилища находятся в файловой системе, а не в реестре. В следующих командах мы покажем эти различные физические пути и их цели.

Каждый файл в каталоге, возвращенный приведенной ниже командой, соответствует сертификату, установленному в личном хранилище текущего пользователя.

Get-ChildItem -Path $env:APPDATA\Microsoft\SystemCertificates\My\Certificates\

Каждый файл, возвращаемый в приведенной ниже команде, является ссылкой на объект для закрытого ключа, созданный поставщиком хранилища ключей (KSP). Имя файла соответствует идентификатору ключа субъекта сертификата. К каждому устанавливаемому вами закрытому ключу будет добавлен соответствующий файл.

Get-ChildItem -Path $env:APPDATA\Microsoft\SystemCertificates\My\Keys\

Каждый файл в каталоге, возвращаемый следующей командой, является уникальным контейнером для зашифрованного закрытого ключа, созданного KSP. Нет прямой связи между именем файла и сертификатом, но файл является целью указателя в предыдущей команде.

Get-ChildItem -Path $env:APPDATA\Microsoft\Crypto\Keys

Использование PowerShell по логическому хранилищу

Поскольку работа с сертификатами на их физических путях встречается редко, в остальных примерах вы будете работать с логическими хранилищами.

PowerShell может получить доступ к логическим хранилищам Windows с помощью PSDrive-объекта «Cert:\«, который сопоставляет сертификаты с физическими хранилищами так же, как это делает MMC.

К сожалению, MMC и «Cert:» не маркируют логические хранилища одинаково. Ниже вы можете увидеть сравнительную таблицу общих хранилищ и их названий как в MMC, так и в «Cert:» PSDrive.

Cert:	Certificates MMC
My	Personal
Remote Desktop	Remote Desktop
Root	Trusted Root Certification Authorities
CA	Intermediate Certification Authorities
AuthRoot	Third-Party Root Certification Authorities
TrustedPublisher	Trusted Publishers
Trust	Enterprise Trust
UserDS	Active Directory User Object

Выбор сертификатов

Когда вы работаете с сертификатами, вам понадобится способ фильтрации и выбора сертификатов для выполнения определенных операций. В большинстве случаев вы будете фильтровать и выбирать сертификаты на основе значения определенного расширения.

Для следующих примеров вам нужно начать с перечисления всех установленных сертификатов в хранилище корневого ЦС.

Get-ChildItem -Path 'Cert:\CurrentUser\Root\'

Возвращенные объекты будут объектами сертификатов, которые вы можете использовать в следующих примерах.

Общие расширения уже доступны как свойства объектов сертификата. В приведенном ниже примере вы используете Get-Member для вывода списка всех свойств возвращаемых объектов.

Get-ChildItem -Path 'Cert:\CurrentUser\Root\' | Get-Member -MemberType Properties

Как видим, некоторые из этих расширений, например «Issuer», помогают найти сертификат, который вы ищете. Расширения предоставляют информацию о сертификате, например, кому он выдан, для чего его можно использовать и любые ограничения на него.

В более сложных случаях использования вам может понадобиться найти сертификаты других расширений, таких как используемый шаблон сертификата. Сложность в том, что значения этих расширений возвращаются как массив целых чисел. Эти целые числа соответствуют содержимому в кодировке ASN.1.

Покажем пример взаимодействия с свойствами типа ScriptProperty. В приведенной ниже команде вы извлекаете Key Usages.

((Get-ChildItem -Path 'Cert:\CurrentUser\Root\' | Select -First 1).Extensions | Where-Object {$_.Oid.FriendlyName -eq 'Key Usage'}).format($true)

Новая часть, которую мы вводим в приведенной выше команде, — это метод форматирования, который выполняет декодирование ASN.1. Вы передаете ему логическое значение (например, $true), чтобы определить, хотим ли мы, чтобы возвращаемый объект был однострочным или многострочным.

Попробуем использовать значение Thumbprint из сертификата в приведенной ниже команде. Значение Thumbprint устанавливается как переменная PowerShell и используется для выбора конкретного сертификата в приведенных ниже командах.

$thumb = "cdd4eeae6000ac7f40c3802c171e30148030c072"
Get-ChildItem -Path 'Cert:\CurrentUser\Root\' | Where-Object {$_.Thumbprint -eq $thumb}

Создание самозаверяющих (self-signed) сертификатов с помощью PowerShell

PowerShell может создавать самозаверяющие (self-signed) сертификаты с помощью командлета New-SelfSignedCertificate. Самозаверяющие сертификаты полезны для тестирования, поскольку они позволяют генерировать пару открытого и закрытого ключей без использования центра сертификации.

Теперь давайте создадим самозаверяющий сертификат в хранилищах текущего пользователя и локального компьютера, чтобы использовать его в примерах для следующих шагов.

В приведенном ниже примере PowerShell создает пару открытого и закрытого ключей, самозаверяющий сертификат и устанавливает их все в соответствующие хранилища сертификатов.

New-SelfSignedCertificate -Subject 'User-Test' -CertStoreLocation 'Cert:\CurrentUser\My'
New-SelfSignedCertificate -Subject 'Computer-Test' -CertStoreLocation 'Cert:\LocalMachine\My'

Использование самозаверяющих сертификатов для продуктивных сервисов не рекомендуется, поскольку не существует всех механизмов, основанных на доверии.

Импорт и экспорт сертификатов в MMC

Криптография с открытым ключом основана на широкой доступности открытого ключа. Учитывая это, вам нужны стандартные способы эффективного обмена сертификатами. Не менее важна безопасность ваших личных ключей. Хранение закрытых ключей на недоступных носителях или с материалами для аварийного восстановления — обычная практика для определенных закрытых ключей.

Оба они требуют способов хранения этих криптографических объектов в стандартных форматах. Экспорт предоставляет функции для сохранения этих объектов и обеспечения использования широко распространенных стандартных форматов файлов. Импорт позволяет вам переносить криптографические объекты в операционные системы Windows.

Экспорт сертификатов из MMC относительно прост. Чтобы экспортировать сертификат без закрытого ключа, щелкните сертификат в MMC, выберите меню «Все задачи», а затем «Экспорт».

Во время экспорта вам будет предложено указать формат файла, как показано ниже. Наиболее распространены варианты кодирования — DER или Base-64

Экспорт закрытых ключей

Чтобы экспортировать сертификат с соответствующим закрытым ключом, вы должны соответствовать двум критериям:

• Вошедшая в систему учетная запись должна иметь разрешение на закрытый ключ (только для сертификатов компьютеров);
• Закрытый ключ должен быть помечен как экспортируемый.

Чтобы проверить разрешения для закрытых ключей локального компьютера, вы можете выбрать сертификат с закрытым ключом, выбрать «Все задачи» и «Управление закрытыми ключами» в MMC «Сертификаты». В открывшемся диалоговом окне отображаются записи управления доступом для закрытых ключей.

Когда выше обозначенные условия выполнены, вы можете выбрать сертификат, щелкнуть «Все задачи», а затем «Экспорт», как если бы вы использовали сертификат только с открытым ключом. При экспорте теперь у вас должна присутствовать возможность выбора экспорта закрытого ключа («Yes, export the private key»), как показано ниже.

Когда вы экспортируете закрытый ключ в Windows, вы можете сохранить файл только как PFX. Этот и другие типы файлов и форматы кодирования подробно описаны в этом посте.

Для остальных параметров, отображаемых в мастере экспорта, вы можете использовать значения по умолчанию. В таблице ниже приводится краткое изложение каждого из них.

Настройка	Описание
Including all certificates in the certification path if possible	Помогает с переносимостью эмитентов сертификатов и включает все соответствующие открытые ключи в PFX.
Delete the private key if the export is successful	Удаляет закрытый ключ из файла и имеет несколько распространенных вариантов использования, но одним из примеров является проверка доступа к закрытым ключам.
Export all extended properties	Будет включать любые расширения в текущем сертификате, они относятся к сертификатам [конкретные настройки] для интерфейсов Windows.
Enable certificate privacy	Обычно в экспортируемом PFX-файле шифруется только закрытый ключ, этот параметр шифрует все содержимое PFX-файла.
Group or user names	Вы можете использовать участника безопасности группы или пользователя из Active Directory для шифрования содержимого файла PFX, но пароль является наиболее переносимым вариантом для устаревших систем или компьютеров, не присоединенных к тому же домену.

Импорт сертификатов

Функция импорта одинакова для всех поддерживаемых типов файлов сертификатов. Единственная разница в том, что если файл содержит закрытый ключ, вы можете «Отметить этот ключ как экспортируемый», о чем вы узнаете подробнее ниже. Windows будет использовать мастер импорта сертификатов.

При использовании мастера импорта сертификатов для PFX вам потребуется указать пароль, используемый для шифрования закрытого ключа. Вот еще один обзор вариантов импорта.

Настройка	Описание
Enable strong private key protection	Требуется пароль для каждого доступа к закрытому ключу. Будьте осторожны с новыми функциями, поскольку они не будут поддерживаться во всех программах.
Mark this key as exportable	Вы должны стараться избегать использования этого параметра в любой конечной системе, закрытые ключи следует рассматривать так же, как и хранение паролей.
Protect private key using [virtualization-based security]	Этот параметр обеспечивает дополнительные функции безопасности для защиты закрытых ключей от сложных атак вредоносного ПО.
Include all extended properties	Относится к тем же настройкам Windows, что и при экспорте.

Сертификаты для подписи кода PowerShell — хороший вариант использования надежной защиты закрытого ключа.

С автоматическим размещением сертификатов следует проявлять осторожность. Скорее всего, вы получите наилучшие результаты, выбрав хранилище сертификатов вручную.

Импорт и экспорт сертификатов в PowerShell

Теперь с помощью PowerShell экспортируйте один из самозаверяющих сертификатов, которые вы создали ранее. В этом примере вы выбираете сертификат в личном логическом хранилище CurrentUser, который был самозаверяющим.

$certificate = Get-Item (Get-ChildItem -Path 'Cert:\CurrentUser\My\' | Where-Object {$_.Subject -eq $_.Issuer}).PSPath

Теперь, когда вы выбрали сертификат, вы можете использовать команду Export-Certificate, чтобы сохранить файл в кодировке DER, используя команду ниже.

Export-Certificate -FilePath $env:USERPROFILE\Desktop\certificate.cer -Cert $certificate

Теперь давайте посмотрим на экспорт закрытого ключа. Ниже вы проверяете, что у выбранного сертификата есть закрытый ключ. Если он не возвращает True, то команда Get-Item, скорее всего, выбрала неправильный сертификат.

$certificate.HasPrivateKey

Ниже вы установите пароль, который будет использоваться для шифрования закрытого ключа. Затем экспортируйте выбранный сертификат в файл PFX и используйте пароль, который вы ввели ранее, чтобы зашифровать файл.

$pfxPassword = "ComplexPassword!" | ConvertTo-SecureString -AsPlainText -Force
Export-PfxCertificate -FilePath $env:USERPROFILE\Desktop\certificate.pfx -Password $pfxPassword -Cert $certificate

В случае, если необходимо выполнить импорт, как и при экспорте, есть две команды. Одна команда для импорта сертификатов и одна для импорта файлов PFX.

Ниже команда Import-Certificate импортирует файл в формате DER, который вы экспортировали ранее, в личное хранилище текущего пользователя.

Import-Certificate -FilePath $env:USERPROFILE\Desktop\certificate.cer -CertStoreLocation 'Cert:\CurrentUser\My'

Допустим, вы тоже хотите установить закрытый ключ этого сертификата.

$pfxPassword = "ComplexPassword!" | ConvertTo-SecureString -AsPlainText -Force
Import-PfxCertificate -Exportable -Password $pfxPassword -CertStoreLocation 'Cert:\CurrentUser\My' -FilePath $env:USERPROFILE\Desktop\certificate.pfx

Имейте в виду, что пароль должен быть защищенной строкой. Кроме того, если вы импортируете в хранилище локального компьютера (например, «Cert:\LocalMachine«), вам нужно будет запустить команду из командной строки администратора с повышенными привилегиями.

В приведенном выше примере вы также используете параметр -Exportable с командой, отмечая закрытый ключ как экспортируемый в будущем. По умолчанию (без указания этого параметра) экспорт не используется. Экспортируемые закрытые ключи – отельный аспект информационной безопасности, заслуживающий отдельного внимания.

Удаление сертификатов с помощью PowerShell

При удалении сертификатов помните, что понятие «Корзина Windows» в этом случае отсутствует. Как только вы удалите сертификат, он исчезнет! Это означает, что очень важно подтвердить, что вы удаляете правильный сертификат, путем проверки уникального идентификатора, такого как серийный номер или значение расширения Thumbprint.

Как и выше, в приведенной ниже команде мы выбираем самозаверяющий сертификат из личного хранилища текущего пользователя.

$certificate = Get-Item (Get-ChildItem -Path 'Cert:\CurrentUser\My\' | Where-Object {$_.Subject -eq $_.Issuer}).PSPath

Ниже вы можете увидеть свойства отпечатка, серийного номера и темы для выбранного сертификата, чтобы убедиться, что это именно тот сертификат, который вы собираетесь выбрать.

$certificate.Thumbprint
$certificate.SerialNumber
$certificate.Subject

Убедитесь, что вы выбрали правильный сертификат, который собираетесь удалить.

Приведенная ниже команда удаляет все выбранные объекты сертификата, используйте с осторожностью! Передав объект $certificate через конвейер в командлет Remove-Item в приведенной ниже команде, вы удалите все содержимое сертификата без каких-либо запросов на проверку.

$certificate | Remove-Item

Резюме

На протяжении всей этой статьи вы работали с сертификатами в Windows, изучая, как получить к ним доступ, и некоторые инструменты, которые можно использовать при работе с ними. По этой теме можно изучить гораздо больше, в том числе о том, как связать установленные сертификаты с конкретными службами или даже о том, как реализовать инфраструктуру закрытого открытого ключа (PKI) путем развертывания собственных центров сертификации (CA).

Цифровой сертификат — это то, что действует как учетные данные для проверки личности отправителя. В Windows установлено множество цифровых сертификатов на нескольких уровнях в разных категориях. В Windows 10 можно увидеть, где хранятся эти цифровые сертификаты. Читайте дальше, чтобы узнать, как просмотреть различные типы цифровых сертификатов, установленных на вашем компьютере.

Метод 1: через командную строку

1. Нажмите Клавиши WIN + R вместе и поднять Запустить чат. Как только он появится, введите cmd а затем нажмите Входить ключ.

2. Когда Командная строка открывается, введите команду certutil -user -store My а затем нажмите Входить ключ, чтобы просмотреть полную сводку личных цифровых сертификатов локального пользователя, установленных в вашей Windows 10.

certutil -user -store My

Метод 2: через Windows PowerShell

1. Откройте Windows PowerShell, введя Powershell в твоих окнах Стартовое меню панель поиска, а затем, выбрав опцию Windows PowerShell от результатов, которые появляются.

2. Однажды

Windows PowerShell запущен, выполните следующую команду, введя ее или скопировав и вставив ее, чтобы просмотреть личные цифровые сертификаты локального пользователя, установленные в вашей Windows 10.

каталог Cert: \ CurrentUser \ My

Метод 3: через службу CERTMGR

1. Открыть Запустить Окно при нажатии WIN + R ключи вместе. в Запустить поле команд, введите certmgr.msc а затем нажмите Входить ключ.

2. Теперь Certmgr окно будет запущено для вас. в левая панель окна вы сможете увидеть различные категории папок сертификатов. Ты можешь щелкнуть на стрела связанных с каждой категорией, чтобы увидеть ее подкатегории. Расширять в Сертификаты папку для просмотра актуального сертификата любой категории.

в правая панель окна, теперь вы сможете увидеть сертификат, который вы выбрали для просмотра.

3. если ты Двойной клик на свидетельство от правое окно панель, которая отображается в Шаг 2, вы сможете просмотреть все детали, такие как версия, серийный номер, используемый алгоритм подписи, эмитент, даты действия и т. д., связанные с этим конкретным сертификатом, в разделе Подробности таб.

Метод 4: через проводник Windows

Просто открыть Проводник Windows и в проводнике файлов поиск bar, скопируйте и вставьте следующее:

% AppData% \ Microsoft \ SystemCertificates \ My \ Certificates

Теперь вы сможете просмотреть сертификаты, установленные для текущего пользователя на вашем компьютере.

Метод 5: через консоль управления Microsoft (MMC)

1. Нажмите клавиши WIN + R вместе, чтобы поднять Запустить чат. в Запустить поле команды, введите ммс и ударил Входить ключ.

2. Нажми на Файлвкладка а затем нажмите на Добавить / удалить оснастку вариант.

3. в левое окно панель, под Доступные оснастки: найдите и щелкните оснастку с надписью Сертификаты. Как далее, нажмите на Добавлять кнопка.

4. Откроется новое окно под названием «Оснастка« Сертификаты ». Выберите вариант Учетная запись компьютера здесь и нажмите Следующий кнопка.

5. Теперь для Эта оснастка всегда будет управлять вариант, выберите Локальный компьютер а затем нажмите на Заканчивать кнопка.

6. Теперь вы вернетесь в Добавить или удалить оснастки окно. На этом этапе просто нажмите на ОК кнопку внизу.

7. Раньше в разделе Console Root ничего не было. Теперь новый раздел под названием Сертификаты (локальный компьютер) добавлено. Нажми на стрела связанный с этим расширять в Сертификаты (Локальный компьютер) раздел.

Под Сертификаты (локальный компьютер) В разделе вы можете увидеть несколько подразделов, которые относятся к разным категориям сертификатов. Вы можете развернуть каждую из подкатегорий, щелкнув связанные с ними стрелки. Если вы затем нажмете на Сертификаты в папке, вы сможете увидеть все сертификаты выбранной подкатегории, перечисленные в правое оконное стекло.

8. Если вы хотите просмотреть сведения о конкретном сертификате, тогда ты можешь Двойной клик на любом из сертификатов, перечисленных на правая сторона окна. Это даст вам подробную информацию о сертификате, такую ​​как его версия, серийный номер, используемый алгоритм подписи, используемый алгоритм хеширования подписи, эмитент, срок действия и т. Д.

Метод 6: через редактор реестра

Окно редактора реестра можно запустить с помощью Запустить команда. Нажмите Клавиши WIN + R вместе открыть Запустить чат. Теперь введите regedit и нажмите клавишу Enter.

Когда откроется окно редактора реестра, нам нужно перейти в разные места, чтобы просмотреть настройки разных типов сертификатов установлен в нашей машине. Выполните следующие действия, чтобы просмотреть настройки различных категорий сертификатов, установленных на вашем компьютере, из редактора реестра.

Текущие пользовательские сертификаты

1. Чтобы просмотреть сертификаты текущего пользователя, перейдите по следующему пути.

HKEY_CURRENT_USER -> Программное обеспечение -> Microsoft -> SystemCertificates -> CA -> Сертификаты

2. Под Сертификаты папку, вы сможете увидеть все сертификаты установлен для текущего пользователя в левое окно панель. Один такой сертификат выделен для справки. Если вы нажмете на любой сертификат, вы сможете увидеть его настройки в правом окне панель.

Сертификаты групповой политики (GPO)

1. Чтобы просмотреть сертификаты групповой политики (GPO), перейдите по следующему маршруту:

HKEY_CURRENT_USER -> Программное обеспечение -> Политики -> Microsoft -> SystemCertificates

2. Под Системные сертификаты папку, вы увидите разные категории сертификатов групповой политики. Вы можете выбрать любую категорию, и внутри выбранной категории вы найдете Сертификат папка, в которой будут перечислены все сертификаты для данной групповой политики.

Сертификаты конкретных пользователей

1. Чтобы просмотреть сертификаты, установленные для конкретной учетной записи пользователя на вашем компьютере, сначала нам нужно: найти идентификатор безопасности этого пользователя. Чтобы найти идентификатор безопасности учетной записи пользователя, откройте Command Подсказка и введите следующую команду. Заменять имя пользователя с именем учетной записи пользователя, для которого вы хотите найти идентификатор безопасности.

wmic useraccount, где name =имя пользователя получить СИД

2. Теперь в окне редактора реестра нажмите HKEY_USERS. В следующем вам нужно щелкните папку, имя которой является идентификатором безопасности который вы нашли на предыдущем шаге.

3. Теперь, когда вы выяснили, какую папку выбрать на основе идентификатора безопасности, вы можете завершить оставшуюся часть навигации. Перейдите по следующему пути, чтобы просмотреть различные категории сертификатов выбранной учетной записи пользователя и просмотреть индивидуальные настройки каждого сертификата.

HKEY_USERS -> Security_ID_User_Account -> Программное обеспечение -> Microsoft -> SystemCertificates

Сертификаты командного уровня

Так же, как это объясняется в предыдущих разделах сертификатов, если вам нужно просмотреть Сертификаты командного уровня установлен на вашем компьютере, вам необходимо перемещаться к:

HKEY_LOCAL_MACHINE -> Программное обеспечение -> Microsoft -> SystemCertificates

Сертификаты оборудования, связанные с групповыми политиками

Аналогично, чтобы просмотреть Сертификаты на оборудование связанных с групповыми политиками, вы можете перемещаться к:

HKEY_LOCAL_MACHINE -> Программное обеспечение -> Политики -> Microsoft -> SystemCertificates

Сертификаты системных служб

Системная служба настройки сертификата доступны по адресу:

HKEY_LOCAL_MACHINE -> Программное обеспечение -> Microsoft -> Криптография -> Службы -> ServiceName -> SystemCertificates

Сертификаты Active Directory

Также, Active Directory настройки сертификата находятся в реестре Windows по адресу:

HKEY_LOCAL_MACHINE -> Программное обеспечение -> Microsoft -> EnterpriseCertificates

Сообщите нам в комментариях, если статья оказалась для вас полезной.

Посмотреть установленные на компьютере сертификаты электронно-цифровых подписей можно несколькими способами.

Просмотр сертификатов с помощью диспетчера сертификатов

Чтобы вызвать диспетчер сертификатов текущего пользователя, в командной строке или в окне команды «Выполнить» следует набрать certmgr.msc и нажать Enter.

На экране при этом появится окно диспетчера сертификатов для текущего пользователя (см. рис. ниже). Чтобы просмотреть нужные сертификаты, в левой области окна необходимо развернуть папку соответствующего хранилища сертификатов.

В хранилище «Доверенные корневые центры сертификации» должен находиться корневой сертификат Минцифры РФ (ранее — Минкомсвязь РФ), осуществляющего функции головного удостоверяющего центра в России. В хранилище «Промежуточные центры сертификации» должен находиться кросс-сертификат непосредственно того удостоверяющего центра, где были получены цифровые подписи. В хранилище «Личное» хранятся личные сертификаты владельцев цифровых подписей.

Примечание: Если на компьютере установлен КриптоПро CSP, открыть окно диспетчера сертификатов текущего пользователя можно также через соответствующий пункт меню Windows (см. рис. ниже).

Просмотр сертификатов с помощью консоли управления Windows

Для вызова консоли управления Windows (Microsoft Management Console), в командной строке или в окне команды «Выполнить» следует набрать mmc и нажать Enter.

В главном меню появившегося окна консоли необходимо последовательно выбрать в пункты «Файл -> Добавить или удалить оснастку…» (см. рис. ниже).

При этом на экран будет выведено диалоговое окно «Добавление и удаление оснасток» (см. рис. ниже). Здесь в списке доступных оснасток нужно выбрать пункт «Сертификаты» и щёлкнуть по кнопке «Добавить >».

В появившемся диалоге «Оснастка диспетчера сертификатов» (см. рис. ниже) просто щёлкаем по кнопке «Готово», после чего в окне «Добавление и удаление оснасток» (см. рис. выше) нажимаем «ОК».

Дальнейшая работа с окном консоли ничем не отличается от работы с окном диспетчера сертификатов.

Доступ к сертификатам через окно свойств браузера

Получить доступ к сертификатам можно также через окно свойств браузера Internet Explorer. Для этого необходимо найти в Панели управления соответствующий ярлык (см. рис. ниже).

Щёлкнув по ярлыку «Свойства браузера», открываем окно свойств и переходим на вкладку «Содержание». Для вывода списка сертификатов щёлкаем по кнопке «Сертификаты».

Для выбора хранилища в окне «Сертификаты» используются соответствующие вкладки.

Примечание: Чтобы получить доступ к сертификатам через свойства браузеров Chrome или Opera, необходимо в главном меню этих браузеров выбрать пункт «Настройки», а в окне настроек найти раздел «Безопасность» и щёлкнуть по кнопке «Настроить сертификаты».

Другие статьи по схожей тематике

• Установка сертификата ЭЦП на компьютер
• О копировании контейнера закрытого ключа
• Криптографическая утилита КриптоПро CSP
• Что такое электронная подпись
• Как разблокировать Рутокен
• Программы для подписания документов