Come determinare se un sistema dispone di un certificato root aggiornato

Articoli tecnici ID: KB92948
Ultima modifica: 2022-07-18 19:04:55 Etc/GMT

Ambiente

McAfee Agent (MA) 5.x
Tutti i prodotti McAfee supportati mediante SysCore

Riepilogo

Aggiornamenti recenti a questo articolo

Data	Aggiornamento
6 aprile 2021	Modifiche di formattazione minori. Nessuna modifica del contenuto.
11 marzo 2021	Modifiche di formattazione minori. Nessuna modifica del contenuto.
29 gennaio 2021	McAfee Agent 5.5.x rimossi (fine vita). Aggiunto McAfee Agent 5.7.x.
21 dicembre 2020	Correzione della chiave di registro: Da: 2B8F1B57330DBBA2D07A6C51F70EE90DDAB9AD8 A: 2B8F1B57330DBBA2D07A6C51F70EE90DDAB9AD8E
16 novembre 2020	Aggiunta della nota relativa alla cartella Policy nella sezione problema.

La linea di prodotti McAfee utilizza TLS per una comunicazione sicura. Due certificati convalidano McAfee catene TLS. Questi certificati includono un primario che scade nel 2038 e un secondario scaduto alle 10:48 GMT, 30 maggio 2020. Se nel proprio ambiente sono presenti certificati o entrambi, a partire dal 30 maggio 2020, solo il certificato principale è valido. Per un'abbondanza di cautela, McAfee sta informando i clienti di questo evento.

In genere, i certificati vengono aggiornati automaticamente tramite i sistemi operativi e i clienti non hanno alcun impatto. Tuttavia, i clienti possono essere potenzialmente interessati in ambienti in cui:

La gestione automatica dei certificati root è disattivata.
E
Il certificato principale non è stato distribuito manualmente.

La mancata presenza di un certificato valido causa problemi di prodotto, che includono una riduzione dell'efficacia del rilevamento. Per ulteriori informazioni, consultare KB92937: potrebbe essere necessario aggiornare un certificato root in una McAfee catena di certificati.

Problema

Verificare che il certificato esista manualmente su un sistema client:

Eseguire cmd ed eseguire un query al registro di sistema con i seguenti comandi:

reg query HKLM\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\2B8F1B57330DBBA2D07A6C51F70EE90DDAB9AD8E
E
reg query HKLM\SOFTWARE\Microsoft\SystemCertificates\root\Certificates\2B8F1B57330DBBA2D07A6C51F70EE90DDAB9AD8E

Nota: Nel server 2016, il comando cambia quando viene implementato mediante un criterio di gruppo (GPO). Alla stringa viene aggiunta un'altra cartella ' Policy ', come illustrato di seguito:

reg query HKLM\SOFTWARE\Policies\Microsoft\SystemCertificates\root\Certificates\2B8F1B57330DBBA2D07A6C51F70EE90DDAB9AD8E

In caso di problemi, vengono visualizzati i seguenti risultati:

Esempio di output della finestra di comando che mostra l'errore (esempio 1)

Oppure

Esempio di output della finestra di comando che mostra l'errore (esempio 2)

Il certificato può trovarsi nella posizione o Microsoft\SystemCertificates\AuthRoot\Certificates\ nel \Microsoft\SystemCertificates\root\Certificates\ percorso. È inoltre possibile visualizzare il certificato da CertManager . Fino a quando il certificato è disponibile in uno dei percorsi indicati sopra, non causa alcun problema all'archivio cert.

Verificare se il certificato esiste su un sistema client che utilizza ePO:

Per verificare la presenza del certificato root su un numero maggiore di sistemi di Windows, è stato creato un EEDK pacchetto. È possibile distribuire questo pacchetto tramite ePO per cercare la presenza del certificato nell'archivio di affidabilità del sistema. Riporta quindi i risultati a ePO nel McAfee Agent proprietà personalizzate del sistema. La proprietà personalizzata predefinita è proprietà personalizzata 8. Tuttavia, è possibile modificare il valore della proprietà quando si crea l'attività di distribuzione. Al termine della distribuzione del pacchetto in un gruppo di sistemi, è possibile creare un query o filtrare la struttura dei sistemi per il sistema in base ai risultati.

Per utilizzare questo pacchetto, attenersi alle istruzioni riportate di seguito:

Scaricare il EEDK pacchetto CHCKCERT1100.zip dalla sezione allegati di questo articolo.
Archiviare il CHCKCERT1100.zip pacchetto nell'archivio principale di ePO.
Creare un'attività di distribuzione dei prodotti McAfee Agent e selezionare il pacchetto Check for Root Certificate per la distribuzione. Per specificare la proprietà personalizzata a cui si riferisce il pacchetto, è possibile aggiungere un singolo numero da 1 a 8 nei parametri della riga di comando per l'attività client.
Assegnare l'attività client a tutti i sistemi per i quali si desidera verificare la presenza del certificato root.
Dopo che un sistema ha eseguito il script, uno dei due risultati viene riportato alla proprietà personalizzata 8 o alla proprietà personalizzata selezionata:
- OLD_CERT-Il nuovo certificato nonè presente nel sistema.
- NEW_CERT -Il nuovo certificato è presente nel sistema.

Soluzione alternativa

Fare clic per espandere la sezione che si desidera visualizzare:

Crea un oggetto Policy di gruppo (GPO) e collegalo al tuo dominio

Procedura guidata

Scaricare il USERTrustRSACertificationAuthority.crt certificato.
Per informazioni dettagliate, consultare KB92937: potrebbe essere necessario aggiornare un certificato root in una McAfee catena di certificati.
Aprire strumenti di amministrazione, quindi fare clic su Gestione criteri di gruppo.
Nella struttura della console, sotto il livello superiore del dominio, fare clic con il pulsante destro del mouse e creare una policy denominato McAfee_Certificates .
Fare doppio clic o fare clic con il pulsante destro del mouse su modifica. Selezionare gli oggetti Criteri di gruppo nel dominio che contiene il GPO McAfee certificati che si desidera modificare.
Nella console Gestione criteri di gruppo (GPMC), accedere a Configurazione computer, policy, Windows impostazioni, impostazioni di protezione, policy chiave pubblica.

Fare clic con il pulsante destro del mouse sull'archivio autorità di certificazione root affidabile .

Fare clic su Importa. Attenersi alla procedura riportata in Certificate Import Wizard, e importare il certificato scaricato.
Di conseguenza, viene visualizzato il nuovo certificato importato nell'oggetto Criteri di gruppo:

Verificare che il policy sia applicato sul sistema client

Per verificare che il policy venga applicato, verificare che le policy siano state aggiornate. (Per prima cosa è necessario eseguire questo passaggio). Eseguire il comando gpupdate /force .

Example of command window output after you run gpupdate /force.

Example of command window output after you run gpupdate /force.

Al termine, verificare se il policy sta applicando. Esegui il comando gpresult /r.

Questo comando Mostra il gruppo di policy risultante applicato nel sistema:

Example of command window output after you run gpupdate gpresult /r.

Example of command window output after you run gpupdate gpresult /r.

Assicurarsi che il set di policy includa quello creato nei passaggi precedenti: McAfee_Certificates

Verificare che il certificato sia ora presente nel sistema

Per verificare che il certificato sia presente, eseguire il query nel registro di sistema con il seguente comando:

reg query HKLM\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\2B8F1B57330DBBA2D07A6C51F70EE90DDAB9AD8E

Il certificato è ora presente nel sistema.

Allegato 1

USERTrustRSACertificationAuthority.crt
1K • < 1 minute @ broadband

Allegato 2

CHCKCERT1100.zip
4K • < 1 minute @ broadband

Dichiarazione di non responsabilità

Il contenuto di questo articolo è stato scritto in inglese. In caso di differenze tra il contenuto in inglese e la traduzione, fare sempre riferimento al contenuto in iglese. Parte del contenuto è stata tradotta con gli strumenti di traduzione automatica di Microsoft.

Prodotti interessati

Lingue:

Questo articolo è disponibile nelle seguenti lingue:

Knowledge Center

Come determinare se un sistema dispone di un certificato root aggiornato

Ambiente

Riepilogo

Problema

Soluzione alternativa

Allegato 1

Allegato 2

Dichiarazione di non responsabilità

Prodotti interessati

Lingue:

Title

Title

Knowledge Center

Come determinare se un sistema dispone di un certificato root aggiornato

Ambiente

Riepilogo

Problema

Soluzione alternativa

Allegato 1

Allegato 2

Dichiarazione di non responsabilità

Prodotti interessati

Lingue:

Scegli la regione

Title

Title