Como determinar se um sistema tem um certificado raiz atualizado

Artigos técnicos ID: KB92948
Última modificação: 2022-07-18 16:55:28 Etc/GMT

Ambiente

McAfee Agent (MA) 5.x
Todos os McAfee produtos compatíveis usando o SysCore

Resumo

Atualizações recentes deste artigo

Data	Atualização
6 de abril de 2021	Alterações de formatação secundárias. Nenhuma alteração de conteúdo.
11 de março de 2021	Alterações de formatação secundárias. Nenhuma alteração de conteúdo.
29 de janeiro de 2021	McAfee Agent 5.5.x removidos (fim da vida útil). McAfee Agent adicionados 5.7.x.
21 de dezembro de 2020	Correção da chave de registro: De: 2B8F1B57330DBBA2D07A6C51F70EE90DDAB9AD8 Para: 2B8F1B57330DBBA2D07A6C51F70EE90DDAB9AD8E
16 de novembro de 2020	Adicionou a nota sobre a pasta políticas na seção problema.

A linha de produtos McAfee usa TLS para comunicação segura. Dois certificados validam McAfee cadeias de TLS. Esses certificados incluem um primário que expira em 2038 e um secundário que expirou às 10:48 GMT, 30 de maio de 2020. Se qualquer um dos certificados, ou ambos, estiver presente em seu ambiente após 30 de maio de 2020, somente o certificado primário será válido. De uma abundância de cuidado, McAfee está informando os clientes sobre este evento.

Geralmente, os certificados são atualizados automaticamente por meio de sistemas operacionais e clientes não são afetados. No entanto, os clientes podem ser impactados em ambientes em que:

O gerenciamento automático de certificados raiz está desativado.
E
O certificado primário não foi implantado manualmente.

A falha de um certificado válido provoca problemas com o produto, o que inclui uma eficácia de detecção reduzida. Para obter mais informações, consulte KB92937-um certificado raiz em uma cadeia de certificados McAfee pode precisar ser atualizado.

Problema

Verifique se o certificado existe em um sistema cliente manualmente:

Execute cmd e execute uma consulta no registro com os seguintes comandos:

reg query HKLM\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\2B8F1B57330DBBA2D07A6C51F70EE90DDAB9AD8E
E
reg query HKLM\SOFTWARE\Microsoft\SystemCertificates\root\Certificates\2B8F1B57330DBBA2D07A6C51F70EE90DDAB9AD8E

Nota: No servidor 2016, o comando é alterado quando implementado por meio de uma política de grupo (GPO). Outra pasta ' políticas ' é adicionada à cadeia, como mostrado abaixo:

reg query HKLM\SOFTWARE\Policies\Microsoft\SystemCertificates\root\Certificates\2B8F1B57330DBBA2D07A6C51F70EE90DDAB9AD8E

Se tiver esse problema, você verá o seguinte como resultado:

Exemplo de saída da janela de comando mostrando o erro (exemplo 1)

Exemplo de saída da janela de comando mostrando o erro (exemplo 2)

O certificado pode estar no \Microsoft\SystemCertificates\root\Certificates\ local ou Microsoft\SystemCertificates\AuthRoot\Certificates\ . Também é possível exibir o certificado CertManager . Contanto que o certificado esteja disponível em qualquer um dos caminhos acima, ele não causará um problema para o armazenamento de certificados.

Verifique se o certificado existe em um sistema cliente usando o ePO:

Para verificar a presença do certificado raiz em um número maior de sistemas Windows, criamos um EEDK pacote. Você pode distribuir esse pacote por meio do ePO para procurar a presença do certificado no armazenamento confiável do sistema. Em seguida, ele relata os resultados para o ePO no McAfee Agent Propriedades personalizadas do sistema. A propriedade personalizada padrão é a propriedade personalizada 8. No entanto, você pode alterar o valor da propriedade ao criar a tarefa de distribuição. Depois que o pacote é distribuído em um grupo de sistemas, você pode criar uma consulta ou filtrar a árvore de sistemas para o sistema com base nos resultados.

Para usar esse pacote, siga as instruções abaixo:

Faça o download do EEDK pacote CHCKCERT1100.zip na seção Anexos deste artigo.
Faça check-in do CHCKCERT1100.zip pacote no repositório mestre do ePO.
Crie uma tarefa de distribuição de produtos McAfee Agent e selecione o pacote Check for Root Certificate para distribuição. Para especificar a propriedade personalizada para a qual este pacote se reporta, você pode adicionar um único número de 1 a 8 nos parâmetros de linha de comando para a tarefa do cliente.
Atribua a tarefa do cliente a qualquer sistema para o qual você gostaria de verificar a presença do certificado raiz.
Depois que um sistema tiver executado o script, um dos dois resultados será reportado de volta para a propriedade personalizada 8 ou a propriedade personalizada que você selecionou:
- OLD_CERT-O novo certificado nãoestá presente no sistema.
- NEW_CERT -O novo certificado está presente no sistema.

Solução alternativa

Clique para expandir a seção que deseja exibir:

Criar um objeto de política de grupo (GPO) e vinculá-lo ao seu domínio

Wizard

Faça download do USERTrustRSACertificationAuthority.crt certificado.
Para obter detalhes, consulte KB92937-um certificado raiz em uma cadeia de certificados McAfee pode precisar ser atualizado.
Abra Ferramentas administrativas e clique em Gerenciamento de política de grupo.
Na árvore de console, sob o nível superior do domínio, clique com o botão direito do mouse e crie uma política denominada McAfee_Certificates .
Clique duas vezes ou clique com o botão direito do mouse em Editar. Selecione os objetos de política de grupo no domínio que contém o GPO certificados de McAfee que você deseja editar.
No console de gerenciamento de diretiva de grupo (GPMC), vá para configuração do computador, políticas, configurações do Windows, configurações de segurança, políticas de chave pública.

Clique com o botão direito do mouse no armazenamento de autoridades de certificação raiz confiáveis .

Clique em importar. Siga as etapas no e importe o certificado obtido por Certificate Import Wizard, download.
Como resultado, você vê o novo certificado importado para o GPO:

Verifique se a política está sendo aplicada no sistema cliente

Para verificar se a política foi aplicada, certifique-se de que as políticas foram atualizadas. (Você deve executar esta etapa primeiro.) Execute o comando gpupdate /force .

Example of command window output after you run gpupdate /force.

Example of command window output after you run gpupdate /force.

Quando o processo for concluído, verifique se a política está sendo aplicada. Execute o comando gpresult /r.

Este comando mostra o conjunto de políticas resultante aplicado no sistema:

Example of command window output after you run gpupdate gpresult /r.

Example of command window output after you run gpupdate gpresult /r.

Verifique se o conjunto de políticas inclui aquele que foi criado nas etapas anteriores: McAfee_Certificates

Verifique se o certificado agora está presente no sistema

Para verificar se o certificado está presente, execute a consulta no registro com o seguinte comando:

reg query HKLM\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\2B8F1B57330DBBA2D07A6C51F70EE90DDAB9AD8E

O certificado agora está presente no sistema.

Anexo 1

USERTrustRSACertificationAuthority.crt
1K • < 1 minute @ broadband

Anexo 2

CHCKCERT1100.zip
4K • < 1 minute @ broadband

Aviso de isenção de responsabilidade

O conteúdo original deste artigo foi redigido em inglês. Se houver diferenças entre o conteúdo em inglês e sua tradução, o conteúdo em inglês será o mais exato. Parte deste conteúdo foi criado por meio de tradução automática da Microsoft.

Produtos afetados

Idiomas:

Este artigo está disponível nos seguintes idiomas:

Knowledge Center

Como determinar se um sistema tem um certificado raiz atualizado

Ambiente

Resumo

Problema

Solução alternativa

Anexo 1

Anexo 2

Aviso de isenção de responsabilidade

Produtos afetados

Idiomas:

Title

Title

Knowledge Center

Como determinar se um sistema tem um certificado raiz atualizado

Ambiente

Resumo

Problema

Solução alternativa

Anexo 1

Anexo 2

Aviso de isenção de responsabilidade

Produtos afetados

Idiomas:

Escolha a sua região

Title

Title