Сертификат выдан не имеющим доверия центром сертификации

Доброго дня!

Я думаю, что почти каждый пользователь (особенно в последнее время) сталкивался с ошибкой в браузере о том, что сертификат такого-то сайта не является доверенным, и рекомендацией не посещать его.

С одной стороны это хорошо (все-таки и браузер, и вообще популяризация подобных сертификатов – обеспечивает нашу безопасность), но с другой – подобная ошибка иногда всплывает даже на очень известных сайтах (на том же Google).

Суть происходящего, и что это значит?

Дело в том, что когда вы подключаетесь к сайту, на котором установлен протокол SSL, то сервер передает браузеру цифровой документ ( сертификат ) о том, что сайт является подлинным (а не фейк или клон чего-то там. ). Кстати, если с таким сайтом все хорошо, то браузеры их помечают "зеленым" замочком: на скрине ниже показано, как это выглядит в Chrome.

Однако, сертификаты могут выпускать, как всем известные организации (Symantec, Rapidssl, Comodo и др.) , так и вообще кто-угодно. Разумеется, если браузер и ваша система "не знает" того, кто выпустил сертификат (или возникает подозрение в его правильности) – то появляется подобная ошибка.

Т.е. я веду к тому, что под раздачу могут попасть как совсем белые сайты, так и те, которые реально опасно посещать. Поэтому, появление подобной ошибки это повод внимательно взглянуть на адрес сайта.

Ну а в этой статье я хочу указать на несколько способов устранения подобной ошибки, если она стала появляться даже на белых и известных сайтах (например, на Google, Яндекс, VK и многих других. Их же вы не откажетесь посещать?).

Как устранить ошибку

1) Обратите внимание на адрес сайта

Первое, что сделайте – просто обратите внимание на адрес сайта (возможно, что вы по ошибке набрали не тот URL). Также иногда такое происходит по вине сервера, на котором расположен сайт (возможно, вообще, сам сертификат просто устарел, ведь его выдают на определенное время). Попробуйте посетить другие сайты, если с ними все OK – то вероятнее всего, что проблема не в вашей системе, а у того конкретного сайта.

Пример ошибки "Сертификат безопасности сайта не является доверенным"

Однако, отмечу, что если ошибка появляется на очень известном сайте, которому вы (и многие другие пользователи) всецело доверяете – то высока вероятность проблемы в вашей системе.

2) Проверьте дату и время, установленные в Windows

Второй момент – подобная ошибка может выскакивать, если у вас в системе неверно задано время или дата. Для их корректировки и уточнения достаточно щелкнуть мышкой по "времени" в панели задач Windows (в правом нижнем углу экрана). См. скрин ниже.

Настройка даты и времени

После установки правильного времени, перезагрузите компьютер и попробуйте заново открыть браузер и сайты в нем. Ошибка должна исчезнуть.

Также обращаю внимание на то, что, если у вас постоянно сбивается время – вероятно у вас села батарейка на материнской плате. Представляет она из себя небольшую "таблетку", благодаря которой компьютер помнит введенные вами настройки, даже если вы его отключаете от сети (например, те же дата и время как-то высчитываются?).

Батарейка на материнской плате ПК

3) Попробуйте провести обновление корневых сертификатов

Еще один вариант, как можно попробовать решить эту проблему – установить обновление корневых сертификатов. Обновления можно скачать на сайте Microsoft для разных ОС. Для клиентских ОС (т.е. для обычных домашних пользователей) подойдут вот эти обновления: https://support.microsoft.com/

4) Установка "доверенных" сертификатов в систему

Этот способ хоть и рабочий, но хотелось бы предупредить, что он "может" стать источником проблем в безопасности вашей системы. По крайней мере, прибегать к этому советую только для таких крупных сайтов как Google, Яндекс и т.д.

Читайте также:  Антенна для модема мтс своими руками

Для избавления от ошибки, связанной с недостоверностью сертификата, должен подойти спец. пакет GeoTrust Primary Certification Authority .

Кстати, на этой страничке расположено еще несколько сертификатов, их также можно до-установить в систему.

Кстати, чтобы скачать GeoTrust Primary Certification Authority:

    нажмите правой кнопкой мышки по ссылке download и выберите вариант "сохранить ссылку как. ";

Сохранить ссылку как.

далее укажите папку на диске, куда будет скачан сертификат. Это будет файл формата PEM.

Файл с расширением PEM

Теперь необходимо скачанный сертификат установить в систему. Как это делается, по шагам расскажу чуть ниже:

  1. сначала нажимаем сочетание кнопок Win+R, и вводим команду certmgr.msc, жмем OK;
  2. должен открыться центр сертификатов в Windows. Необходимо раскрыть вкладку "Доверенные корневые центры сертификации/сертификаты", щелкнуть по ней правой кнопкой мышки и выбрать "Все задачи – импорт".

далее запустится мастер импорта сертификатов. Просто жмем "Далее".

Мастер импорта сертификатов

после нажмите кнопку "Обзор" и укажите ранее загруженный нами сертификат. Нажмите "Далее" (пример показан ниже);

Указываем сертификат, который загрузили

в следующем шаге укажите, что сертификаты нужно поместить в доверенные центры сертификации и нажмите "Далее".

Поместить сертификаты в доверенные. Далее

  • в следующем шаге вы должны увидеть, что импорт успешно завершен. Собственно, можно идти проверять, как будет отображаться сайт в браузере (может потребоваться перезагрузка ПК).
  • 5) Обратите внимание на антивирусные утилиты

    В некоторых случаях эта ошибка может возникать из-за того, что какая-нибудь программа (например, антивирус) проверяет https трафик. Это видит браузер, что пришедший сертификат не соответствует адресу, с которого он получен, и в результате появляется предупреждение/ошибка.

    Поэтому, если у вас установлен антивирус/брандмауэр, проверьте и на время отключите настройку сканирования https трафика (см. пример настроек AVAST на скрине ниже).

    Avast – основные настройки (отключение сканирование https трафика)

    На этом у меня всё.

    За дополнения по теме – отдельное мерси!

    Здравствуйте. В связи с повышением курса доллара и евро, я думаю у народа всё чаще будет появляться данная ошибка и поэтому решил написать о ней. Как это связано? По ходу статьи узнаете:)

    Итак, это прекрасная ошибка чаще всего появляется в Google Chrome и является следствием неправильной работы корневых сертификатов. Самое неприятное видеть данную ошибку когда открываешь проверенный временем и миллионами человек Яндекс или Google. А вот причин может быть несколько, постараюсь как можно проще описать их варианты и способы решения проблемы.

    1. Сбилось системное время или дата

    Да, такая мелочь, может оказаться единственной причиной данной проблемы. И так как мало кто догадается связать данные, да и вообще всё внимание идёт на экран и поиск решения данной проблемы, мало кто замечает что время или дата сбилась. Поэтому жмём правой клавишей мыши по трею и выбираем «Настройка даты и времени».

    В Windows 10 рекомендую установить автоматическое обновление времени и даты, это решит очень много проблем)

    На Windows 8.1 и более старших переходим на вкладку «Время по Интернету» → «Изменить параметры» → ставим галочку «Синхронизировать с сервером времени В Интернете«, выбираем какой-нибудь из серверов и жмём «Обновить сейчас«. Если выдаст ошибку меняем сервер и снова жмём, пока всё не будет хорошо, потом жмём ОК.

    Если время сбивается после каждого запуска компьютера, значит у вас разрядилась батарейка на материнское плате и её стоит поменять (Смело выдергиваете и идёте с ней покупать новую, компьютер может работать и без неё). Именно из-за батарейки я и написал о курсе рубля, теперь не каждый может позволить обновить рабочую машинку и батарейки будут сажаться.

    2. Ошибка в настройках групповых политик (на предприятии)

    Здесь сложнее, по-хорошему это системному администратору нужно ковырять настройки групповых политик, но это трудоемко и большинство просто забивают на это дело.

    Читайте также:  Интерфейсы периферийных устройств реферат

    Отличный вариант для решения этой проблемы — это установки обновлений корневых сертификатов. Они доступны как и для серверных, так и для клиентских ОС.

    К примеру для клиентских ОС можно выбрать отсюда: обновление kb3004394

    Но вообще поиск по https://support.microsoft.com по запросу корневые сертификаты здесь очень сильно помогает.

    3. Когда больше ничего не помогает

    Не могу рекомендовать данный способ, как он вполне способен организовать дыру в безопасности вашего компьютера, но раз любимый сайт дороже, то переходим по ссылке (к примеру GeoTrust Primary Certification Authority должен помочь вылечить сайты Google) и качаем корневые сертификаты, которые сейчас мы будем устанавливать (Cпециально разместил их на Яндекс.Диске, чтобы ссылки не могли подменить злоумышленики, владелец каталога должен быть Skesov). Там есть файл original links, где указаны ссылки на источники файлов. При желании можно скачать оттуда.

    Скачали? Теперь жмём Win+R и вводим команду certmgr.msc

    Кликаем правой клавишей мыши по каталогу «Доверенные корневые центры сертификации»

    Откроется «Мастер импорта сертификатов». Жмём далее.

    Жмём кнопку «Обзор», откроется окно поиска файлов, выбираем справа внизу «Все файлы», идём в папку со скаченным файлом и открываем файл.

    Проверяем чтобы было выбрано «Доверенные корневые центры сертификации» и жмём далее.

    Жмём «Готово» и сертификат добавится в систему.

    По идеи уже всё должно работать, но можно повторить всё тоже самое, добавляя этот же сертификат в «Сторонние корневые центре сертификации«. После добавления страницы должны открываться, максимум что потребуется — это перезапуск системы.

    Вроде всё. Надеюсь эта статья оказалась вам полезной, обязательно нажмите одну из кнопок ниже, чтобы рассказать о ней друзьям. Также подпишитесь на обновления сайта, введя свой e-mail в поле справа или подписавшись на группу во Вконтакте и канал YouTube.
    Спасибо за внимание

    Технический блог специалистов ООО"Интерфейс"

    • Главная
    • Защита RDP соединения при помощи SSL.

    Защита RDP соединения при помощи SSL.

    • Автор: Уваров А.С.
    • 21.11.2010

    Протокол RDP с защитой на уровне сети (SSL), к сожалению, не получил широкого распространения среди системных администраторов, предпочитающих защищать терминальные соединения другим способом. Возможно это связано с кажущейся сложностью способа, однако это не так, в данном материале мы рассмотрим как просто и без затруднений организовать такую защиту.

    Какие преимущества дает нам защита RDP при помощи SSL? Во первых надежное шифрование канала, проверку подлинности сервера на основании сертификата и проверку подлинности пользователя на уровне сети. Последняя возможность доступна начиная с Windows Server 2008. Проверка подлинности на уровне сети позволяет повысить безопасность сервера терминалов за счет того, что проверка происходит еще до начала сеанса.

    Проверка подлинности на уровне сети производится до подключения к удаленному рабочему столу и отображения экрана входа в систему, это снижает нагрузку на сервер и значительно увеличивает его защиту от злоумышленников и вредоносных программ, а также снижает вероятность атак типа "отказ в обслуживании".

    Для полноценного использования всех возможностей RDP через SSL клиентские ПК должны работать под управлением Windows XP SP3, Windows Vista или Windows 7 и использовать RDP клиент версии 6.0 или более поздней.

    При использовании Windows Server 2003 SP1 и более поздних версий, будут доступны шифрование канала при помощи SSL (TLS 1.0) и проверка подлинности сервера, клиентские ПК должны иметь версию RDP клиента 5.2 или более позднюю.

    В нашей статье мы будем рассматривать настройку терминального сервера на базе Windows Server 2008 R2, однако все сказанное будет справедливо и для Windows Server 2003 (за исключением отсутствующих возможностей).

    Для успешной реализации данного решения в вашей сети должен находиться работающий центр сертификации, настройку которого мы рассматривали в предыдущей статье. Для доверия сертификатам выданным данным ЦС на терминальный сервер необходимо установить сертификат ЦС (или цепочку сертификатов) в хранилище Доверенные корневые центры сертификации.

    Читайте также:  Page up что за кнопка

    Затем следует выполнить запрос сертификата подлинности сервера со следующими параметрами:

    Имя – полное имя терминального сервера (т.е. server.domain.com если сервер входит в домен domain.com)

    • Тип сертификата – Сертификат проверки подлинности сервера
    • Установите опцию Создать новый набор ключей
    • CSP – Microsoft RSA SChannel Cryptographic Provider.
    • Установите флажок Пометить ключ как экспортируемый.
    • Для ЦС предприятия установите флажок Использовать локальное хранилище компьютера для сертификата. (В автономном ЦС данная опция недоступна).

    Отправьте запрос центру сертификации и установите выданный сертификат. Данный сертификат должен быть установлен в локальное хранилище компьютера, иначе он не сможет быть использован службами терминалов. Чтобы проверить это запустим консоль MMC (Пуск – Выполнить – mmc) и добавим оснастку Сертификаты (Файл – Добавить или удалить оснастку) для учетной записи компьютера.

    В корне консоли выберите Сертификаты (локальный компьютер) нажмите Вид – Параметры и установите режим просмотра Упорядочить сертификаты по назначению. Выданный сертификат должен находиться в группе Проверка подлинности сервера.

    Если вы получали сертификат с помощью изолированного (автономного) ЦС (сеть не имеет доменной структуры) то он по умолчанию будет установлен в хранилище учетной записи пользователя и придется выполнить ряд дополнительных действий.

    Откройте Internet Explorer – Свойства обозревателя – Содержимое – Сертификаты, выданный сертификат должен быть установлен в хранилище Личные.

    Произведите его экспорт. При экспорте укажите следующие опции:

    • Да, экспортировать закрытый ключ
    • Удалить закрытый ключ после успешного экспорта

    После чего удалите сертификат из данного хранилища. В оснастке Сертификаты (локальный компьютер) выберите раздел Проверка подлинности сервера, щелкните на него правой кнопкой мыши Все задачи – Импорт и импортируйте сертификат.

    Теперь в Администрирование – Службы удаленных рабочих столов откройте Конфигурация узла сеансов удаленных рабочих столов ( в Windows Server 2003 Администрирование – Настройка служб терминалов).

    Выберите необходимое подключение и откройте его свойства. В самом низу нажмите кнопку Выбрать и выберите полученный на предыдущем шаге сертификат (в Windows Server 2003 это окно выглядит несколько по другому).

    После выбора сертификата укажите остальные свойства:

    • Уровень безопасности SSL
    • Уровень шифрования Высокий или FIPSсовместимый
    • Установите флажок Разрешить подключаться только с компьютеров. (недоступно в Windows Server 2003)

    Сохраните введенный параметры, на этом настройка сервера закончена.

    На клиентском ПК создайте подключение к удаленному рабочему столу, в качестве адреса используйте полное имя сервера, которое указано в сертификате. Откройте свойства подключения и на закладке Подключение – Проверка подлинности сервера установите опцию Предупреждать.

    Чтобы данный ПК доверял сертификатам выданным нашим центром сертификации не забудьте установить на него сертификат ЦС в хранилище Доверенные корневые центры сертификации.

    В Windows 7 (при использовании RDP клиента версии 7) данный сертификат требуется установить в хранилище учетной записи компьютера, для этого импортируйте его через оснастку Сертификаты (локальный компьютер) в консоли MCC, аналогично тому, как это делали выше. В противном случае подключение будет невозможно и вы получите следующую ошибку:

    Установив сертификат ЦС можете пробовать подключиться, обратите внимание, что имя пользователя и пароль будет предложено ввести еще до создания RDP сессии. При успешном соединении обратите внимание на замок в заголовке окна, который свидетельствует о работе через SSL. Нажав на него можно просмотреть информацию о сертификате.

    После удачного подключения советуем изменить опцию Предупреждать на закладке Подключение – Проверка подлинности сервера на Не соединять, разрешив таким образом подключения только к доверенным серверам.

    И напоследок капля дегтя в бочке меда. Терминальные службы Windows не умеют проверять подлинность подключающихся клиентов, поэтому если стоит такая необходимость следует использовать дополнительные методы защиты, такие как SSH туннель или IPSec VPN.