Обновление сертификатов на Windows XP

По работе приходится иногда иметь дело с этой операционкой, и если дело доходит до переустановки системы, то случается такая беда:

• ошибки при подключении к любым htpps веб ресурсам
• ошибки при работе приложений использующих https как транспорт

По хорошему, такие беды должны лечиться обновлениями системы, но обновления тоже получаются по https, таким образом — замкнутый круг.

Решение такое: перенести базу сертификатов из другой ОС (Windows 7 или 10). Но есть ньюанс — ОС должны быть лицензионной и с подключенным сервисом Windows Update, иначе фокус не получится.

Первым делом, на обновленной системе (Windows 7 или 10) нужно ввести в консоли вот такое заклинание:

В текущей директории получите файл с сертификатами roots.sst. Его нужно поместить в папку C:\PS\rootsupd\ на Windows XP.

Далее потребуется утилита rootsupd.exe. Раньше ее можно было загрузить с сайта мелкософт, но сейчас его там нет, видимо выпилили вместе с поддержкой XP. В данный момент, можно скачать его с сайта kaspersky.com: http://media.kaspersky.com/utilities/CorporateUtilities/rootsupd.zip
Если ссылка протухнет вот резервный вариант: https://pustovoi.ru/files/rootsupd.zip

Данную тулзу следует запустить с такими параметрами:

Обратите внимание, что между /t и путем к каталогу нет пробела! Если команда отработала без ошибок, в каталоге C:\PS\rootsupd появится файл updroots.exe. Для установки полученных сертификатов его следует запустить с параметрами:

Все. После этого сертификаты установлены. Правда старые не удалены, но они не мешают, и как их чистить я не разбирался.

Руководство. Настройка точки обновления программного обеспечения для использования TLS/SSL с сертификатом PKI Tutorial: Configure a software update point to use TLS/SSL with a PKI certificate

Область применения: Configuration Manager (Current Branch) Applies to: Configuration Manager (current branch)

Настройка серверов Windows Server Update Services (WSUS) и соответствующих точек обновления программного обеспечения для использования протокола TLS/SSL может помешать потенциальным злоумышленникам совершить удаленную атаку на клиент и получить разрешения. Configuring Windows Server Update Services (WSUS) servers and their corresponding software update points (SUP) to use TLS/SSL may reduce the ability of a potential attacker to remotely compromise a client and elevate privileges. Чтобы обеспечить использование самых надежных протоколов безопасности, мы настоятельно рекомендуем использовать TLS/SSL для защиты инфраструктуры обновления программного обеспечения. To ensure that the best security protocols are in place, we highly recommend that you use the TLS/SSL protocol to help secure your software update infrastructure. В этой статье рассматриваются шаги по настройке каждого сервера WSUS и точки обновления программного обеспечения для использования HTTPS. This article walks you through the steps required to configure each of your WSUS servers and the software update point to use HTTPS. См. раздел 2.5. Защита служб WSUS с помощью протокола SSL в документации по WSUS. For more information about securing WSUS, see the Secure WSUS with the Secure Sockets Layer Protocol article in the WSUS documentation.

Изучив данный учебник, вы научитесь: In this tutorial, you will:

• получать сертификат PKI (при необходимости); Obtain a PKI certificate, if needed
• привязывать сертификат к веб-сайту администрирования WSUS; Bind the certificate to the WSUS Administration website
• настраивать веб-службы WSUS для обязательного использования SSL; Configure the WSUS web services to require SSL
• настраивать приложение WSUS для использования SSL; Configure the WSUS application to use SSL
• проверять, может ли подключение консоли WSUS использовать SSL; Verify the WSUS console connection can use SSL
• настраивать точку обновления программного обеспечения для обязательного использования SSL-подключения с сервером WSUS; Configure the software update point to require SSL communication to the WSUS server
• проверять функциональные возможности с помощью Configuration Manager. Verify functionality with Configuration Manager

Рекомендации и ограничения Considerations and limitations

WSUS использует TLS/SSL для проверки подлинности клиентских компьютеров и подчиненных серверов WSUS на вышестоящем сервере WSUS. WSUS uses TLS/SSL to authenticate client computers and downstream WSUS servers to the upstream WSUS server. WSUS также использует TLS/SSL для шифрования метаданных обновлений. WSUS also uses TLS/SSL to encrypt update metadata. WSUS не использует TLS/SSL для файлов содержимого обновления. WSUS doesn’t use TLS/SSL for an update’s content files. Файлы содержимого подписываются, а хэш файла включается в метаданные обновления. The content files are signed and the hash of the file is included in the update’s metadata. Перед скачиванием и установкой файлов клиентом проверяются цифровая подпись и хэш-код. Before the files are downloaded and installed by the client, both the digital signature and hash are checked. Если проверка завершится сбоем, обновление не будет установлено. If either check fails, the update won’t be installed.

При использовании TLS/SSL для защиты развертывания служб WSUS учитывайте следующие ограничения: Consider the following limitations when you use TLS/SSL to secure a WSUS deployment:

• Использование TLS/SSL увеличивает рабочую нагрузку сервера. Using TLS/SSL increases the server workload. Следует учитывать небольшое снижение производительности при шифровании всех метаданных, передаваемых по сети. You should expect a small performance loss from encrypting all the metadata that is sent over the network.
• Если службы WSUS используются с удаленной базой данных SQL Server, обмен данными между сервером WSUS и сервером базы данных не будет защищен с помощью TLS/SSL. If you use WSUS with a remote SQL Server database, the connection between the WSUS server and the database server isn’t secured by TLS/SSL. Если требуется защитить подключение к базе данных, примите во внимание следующие рекомендации. If the database connection must be secured, consider the following recommendations:
  • Переместите базу данных WSUS на сервер WSUS. Move the WSUS database to the WSUS server.
  • Переместите удаленный сервер базы данных и сервер WSUS в частную сеть. Move the remote database server and the WSUS server to a private network.
  • Выполните развертывание протокола IPsec, чтобы обеспечить защиту сетевого трафика. Deploy Internet Protocol security (IPsec) to help secure network traffic.

При настройке серверов WSUS и их точек обновления программного обеспечения для использования TLS/SSL может потребоваться поэтапно внести изменения для больших иерархий Configuration Manager. When configuring WSUS servers and their software update points to use TLS/SSL, you may want to phase in the changes for large Configuration Manager hierarchies. Если вы решили внести такие изменения, начните с конца иерархии и двигайтесь, пока не достигнете сайта центра администрирования. If you choose to phase in these changes, start at the bottom of the hierarchy and move upwards ending with the central administration site.

Предварительные требования Prerequisites

В этом руководстве описывается самый распространенный способ получения сертификата для использования со службами IIS. This tutorial covers the most common method to obtain a certificate for use with Internet Information Services (IIS). Независимо от того, какой способ использует ваша организация, убедитесь, что сертификат соответствует требованиям к сертификатам PKI для точки обновления программного обеспечения Configuration Manager. Whichever method your organization uses, ensure that the certificate meets the PKI certificate requirements for a Configuration Manager software update point. Как и в случае с любым сертификатом, центр сертификации (ЦС) должен быть доверенным для устройств, обменивающихся данными с сервером WSUS. As with any certificate, the certificate authority must be trusted by devices communicating with the WSUS server.

• Сервер WSUS с установленной ролью точки обновления программного обеспечения. A WSUS server with the software update point role installed
• Перед включением TLS/SSL убедитесь, что вы следуете рекомендациям по отключению повторного запуска и настройке ограничений памяти для WSUS. Verify you’ve followed best practices on disabling recycling and configuring memory limits for WSUS before enabling TLS/SSL.
• Используйте один из двух следующих вариантов: One of the two following options:
  • В хранилище сертификатов Личные на сервере WSUS уже есть соответствующий сертификат PKI. An appropriate PKI certificate already in the WSUS server’s Personal certificate store.
  • Возможность запросить и получить соответствующий сертификат PKI для сервера WSUS из корневого ЦС предприятия. The ability to request and obtain an appropriate PKI certificate for the WSUS server from your Enterprise root certificate authority (CA).
    • По умолчанию большинство шаблонов сертификатов, включая шаблон WebServer, будут выдаваться только администраторам домена. By default, most certificate templates including the WebServer certificate template will only issue to Domain Admins. Если вошедший в систему пользователь не является администратором домена, его учетной записи пользователя должно быть предоставлено разрешение Регистрация для шаблона сертификата. If the logged in user isn’t a domain admin, their user account will need to be granted the Enroll permission on the certificate template.

Получение сертификата из ЦС (при необходимости) Obtain the certificate from the CA if needed

Если у вас уже есть соответствующий сертификат в хранилище сертификатов Личные сервера WSUS, пропустите этот раздел и перейдите к разделу Привязка сертификата. If you already have an appropriate certificate in the WSUS server’s Personal certificate store, skip this section and start with the Bind the certificate section. Чтобы отправить запрос на сертификат во внутренний ЦС для установки нового сертификата, следуйте инструкциям в этом разделе. To send a certificate request to your internal CA to install a new certificate, follow the instructions in this section.

На сервере WSUS откройте командную строку администрирования и выполните certlm.msc . From the WSUS server, open an administrative command prompt and run certlm.msc . Для управления сертификатами локального компьютера учетная запись пользователя должна иметь разрешения локального администратора. Your user account needs to be a local administrator to manage certificates for the local computer.

Откроется средство диспетчера сертификатов для локального устройства. The Certificate Manager tool for the local device appears.

Разверните узел Личные и щелкните правой кнопкой мыши Сертификаты. Expand Personal , then right-click on Certificates.

Выберите Все задачи и Запросить новый сертификат. Select All Tasks then Request New Certificate.

Выберите Далее , чтобы начать регистрацию сертификата. Choose Next to begin certificate enrollment.

Выберите тип сертификата для регистрации. Choose the type of certificate to enroll. Назначение сертификата — Проверка подлинности сервера , а используемый шаблон сертификата (Майкрософт) — Веб-сервер или пользовательский шаблон, для параметра Проверка подлинности сервера которого указано значение Расширенное использование ключа. The certificate purpose is Server Authentication and the Microsoft certificate template to use is Web Server or a custom template that has Server Authentication specified as Enhanced Key Usage. Возможно, вам будет предложено ввести дополнительные сведения для регистрации сертификата. You may be prompted for additional information to enroll the certificate. Как правило, указываются следующие минимальные сведения: Typically, you’ll specify the following information at minimum:

• Общее имя. На вкладке Субъект укажите полное доменное имя сервера WSUS. Common name: Found on the Subject tab, set the value to the WSUS server’s FQDN.
• Понятное имя. На вкладке Общие укажите описательное имя, которое поможет вам определить сертификат позже. Friendly name: Found on the General tab, set the value to a descriptive name to help you identify the certificate later.

Выберите Зарегистрировать и Завершить , чтобы завершить регистрацию. Select Enroll then Finish to complete the enrollment.

Откройте сертификат, если вы хотите просмотреть сведения о нем, включая отпечаток сертификата. Open the certificate if you want to see details about it such as the certificate’s thumbprint.

Если сервер WSUS подключен к Интернету, вам потребуется внешнее полное доменное имя в качестве значения субъекта или альтернативного имени субъекта в сертификате. If your WSUS server is internet facing, you’ll need the external FQDN in the Subject or Subject Alternative Name (SAN) in your certificate.

Привязка сертификата к сайту администрирования WSUS Bind the certificate to the WSUS Administration site

Получив сертификат в хранилище личных сертификатов сервера WSUS, привяжите его к сайту администрирования WSUS в службах IIS. Once you have the certificate in the WSUS server’s personal certificate store, bind it to the WSUS Administration site in IIS.

Откройте диспетчер служб IIS на сервере WSUS. On the WSUS server, open Internet Information Services (IIS) Manager.

Откройте Сайты > Администрирование WSUS. Go to Sites > WSUS Administration.

Выберите Привязки в меню действий или щелкнув правой кнопкой мыши имя сайта. Select Bindings from either the action menu or by right-clicking on the site.

В окне Привязки сайта выберите поле https и щелкните Изменить. In the Site Bindings window, select the line for https , then select Edit. .

• Не удаляйте привязку сайта HTTP. Don’t remove the HTTP site binding. WSUS использует HTTP для файлов содержимого обновления. WSUS uses HTTP for the update content files.

В разделе SSL-сертификат выберите сертификат для привязки к сайту администрирования WSUS. Under the SSL certificate option, choose the certificate to bind to the WSUS Administration site. Понятное имя сертификата отображается в раскрывающемся меню. The certificate’s friendly name is shown in the drop-down menu. Если понятное имя не указано, отображается поле IssuedTo сертификата. If a friendly name wasn’t specified, then the certificate’s IssuedTo field is shown. Если вы не уверены, какой сертификат следует использовать, выберите Просмотр и убедитесь, что отпечаток совпадает с тем, что вы получили. If you’re not sure which certificate to use, select View and verify the thumbprint matches the one you obtained.

Затем щелкните ОК и Закрыть , чтобы выйти из раздела привязок сайта. Select OK when you’re done, then Close to exit the site bindings. Оставьте диспетчер IIS открытым для выполнения дальнейших действий. Keep Internet Information Services (IIS) Manager open for the next steps.

Настройка веб-служб WSUS для обязательного использования SSL Configure the WSUS web services to require SSL

В диспетчере IIS на сервере WSUS откройте Сайты > Администрирование WSUS. In IIS Manager on the WSUS server, go to Sites > WSUS Administration.

Разверните сайт администрирования WSUS, чтобы увидеть список веб-служб и виртуальных каталогов для служб WSUS. Expand the WSUS Administration site so you see the list of web services and virtual directories for WSUS.

Для каждой из следующих веб-служб WSUS: For each of the below WSUS web services:

• ApiRemoting30 ApiRemoting30
• ClientWebService ClientWebService
• DSSAuthWebService DSSAuthWebService
• ServerSyncWebService ServerSyncWebService
• SimpleAuthWebService SimpleAuthWebService

Внесите следующие изменения: Make the following changes:

1. Выберите Параметры SSL. Select SSL Settings.
2. Включите параметр Требовать SSL. Enable the Require SSL option.
3. Убедитесь, что для параметра Сертификаты клиента задано значение Игнорировать. Verify the Client certificates option is set to Ignore.
4. Нажмите кнопку Применить. Select Apply.

Не устанавливайте параметры SSL на сайте администрирования WSUS верхнего уровня, так как некоторые функции, такие как содержимое, должны использовать HTTP. Don’t set the SSL settings at the top-level WSUS Administration site since certain functions, such as content, need to use HTTP.

Настройка приложения WSUS для использования SSL Configure the WSUS application to use SSL

Когда веб-службы будут настроены для обязательного использования SSL, следует дополнительно настроить приложение WSUS, чтобы изменение вступило в силу. Once the web services are set to require SSL, the WSUS application needs to be notified so it can do some additional configuration to support the change.

Откройте командную строку администратора на сервере WSUS. Open an admin command prompt on the WSUS server. Учетная запись пользователя, выполняющего эту команду, должна быть членом группы администраторов WSUS или локальных администраторов. The user account running this command must be a member of either the WSUS Administrators group or the local Administrators group.

Перейдите в папку средств для WSUS: Change directory to the tools folder for WSUS:

cd «c:\Program Files\Update Services\Tools»

Настройте службы WSUS для использования SSL с помощью следующей команды: Configure WSUS to use SSL with the following command:

WsusUtil.exe configuressl server.contoso.com

Server.contoso.com — это полное доменное имя сервера WSUS. Where server.contoso.com is the FQDN of the WSUS server.

WsusUtil возвращает URL-адрес сервера WSUS с номером порта, указанным в конце. WsusUtil returns the URL of the WSUS server with the port number specified at the end. Порт будет иметь значение 8531 (по умолчанию) или 443. The port will be either 8531 (default) or 443. Убедитесь, что полученный URL-адрес является ожидаемым. Verify the URL returned is what you expected. Если вы ошиблись при вводе, можно выполнить команду еще раз. If something was mistyped, you can run the command again.

Если сервер WSUS подключен к Интернету, укажите внешнее полное доменное имя при выполнении WsusUtil.exe configuressl . If your WSUS server is internet facing, specify the external FQDN when running WsusUtil.exe configuressl .

Проверка возможности подключения консоли WSUS с помощью SSL Verify the WSUS console can connect using SSL

Консоль WSUS использует веб-службу ApiRemoting30 для подключения. The WSUS console uses the ApiRemoting30 web service for connection. Точка обновления программного обеспечения Configuration Manager также использует эту веб-службу, чтобы настроить WSUS для выполнения таких действий, как: The Configuration Manager software update point (SUP) also uses this same web service to direct WSUS to take certain actions such as:

• запуск синхронизации обновлений программного обеспечения; Initiating a software update synchronization
• настройка соответствующего вышестоящего сервера для WSUS, который зависит от того, где находится сайт точки обновления программного обеспечения в иерархии Configuration Manager; Setting the proper upstream server for WSUS, which is dependent on where the SUP’s site resides in your Configuration Manager hierarchy
• добавление или удаление продуктов и классификаций для синхронизации с сервера WSUS верхнего уровня иерархии; Adding or removing products and classifications for synchronization from the hierarchy’s top-level WSUS server.
• удаление просроченных обновлений. Removing expired updates

Откройте консоль WSUS и убедитесь, что вы можете использовать SSL-соединение с веб-службой ApiRemoting30 сервера WSUS. Open the WSUS console to verify you can use an SSL connection to the WSUS server’s ApiRemoting30 web service. Позже мы протестируем некоторые другие веб-службы. We’ll test some of the other web services later.

Откройте консоль WSUS и выберите Действие > Подключиться к серверу. Open the WSUS console and select Action > Connect to Server.

Введите полное доменное имя сервера WSUS в качестве значения параметра Имя сервера. Enter the FQDN of the WSUS server for the Server name option.

Выберите номер порта , полученный в URL-адресе при выполнении WsusUtil. Choose the Port number returned in the URL from WSUSutil.

Вариант Использовать Secure Sockets Layer (SSL) для подключения к данному серверу автоматически включается, если выбран порт 8531 (по умолчанию) или 443. The Use Secure Sockets Layer (SSL) to connect to this server option automatically enables when either 8531 (default) or 443 are chosen.

Если сервер сайта Configuration Manager является удаленным относительно точки обновления программного обеспечения, запустите консоль WSUS с сервера сайта и убедитесь, что она может подключиться через SSL. If your Configuration Manager site server is remote from the software update point, launch the WSUS console from the site server and verify the WSUS console can connect over SSL.

• Если удаленная консоль WSUS не может подключиться, это указывает на вероятную проблему, связанную с доверием к сертификату, разрешением имен или заблокированным портом. If the remote WSUS console can’t connect, it likely indicates a problem with either trusting the certificate, name resolution, or the port being blocked.

Настройка точки обновления программного обеспечения для обязательного использования SSL-подключения с сервером WSUS Configure the software update point to require SSL communication to the WSUS server

После настройки WSUS для использования TLS/SSL необходимо также обновить соответствующую точку обновления программного обеспечения Configuration Manager, чтобы включить обязательное использование SSL. Once WSUS is set up to use TLS/SSL, you’ll need to update the corresponding Configuration Manager software update point to require SSL too. При внесении этого изменения Configuration Manager сделает следующее: When you make this change, Configuration Manager will:

• проверит возможность настройки сервера WSUS для точки обновления программного обеспечения; Verify it can configure the WSUS server for the software update point
• направит клиентов использовать порт SSL, когда им сообщается о необходимости проверки на этом сервере WSUS. Direct clients to use the SSL port when they’re told to scan against this WSUS server.

Чтобы настроить точку обновления программного обеспечения для использования SSL-подключения к серверу WSUS, сделайте следующее: To configure the software update point to require SSL communication to the WSUS server, do the following steps:

Откройте консоль Configuration Manager и подключитесь к сайту центра администрирования или серверу первичного сайта для точки обновления программного обеспечения, которую необходимо изменить. Open the Configuration Manager console and connect to either your central administration site or the primary site server for the software update point you need to edit.

Выберите Администрирование > Обзор > Конфигурация сайта > Серверы и роли системы сайта. Go to Administration > Overview > Site Configuration > Servers and Site System Roles.

Выберите сервер системы сайта, на котором установлены службы WSUS, а затем выберите роль системы сайта «Точка обновления программного обеспечения». Select the site system server where WSUS is installed, then select the software update point site system role.

На ленте щелкните Свойства. From the ribbon, choose Properties.

Включите параметр Требовать SSL-подключение к серверу WSUS. Enable the Require SSL communication to the WSUS server option.

В файле WCM.log для сайта при применении изменений вы увидите следующие записи: In the WCM.log for the site, you’ll see the following entries when you apply the change:

Примеры файла журнала были изменены, чтобы удалить ненужные сведения для этого сценария. Log file examples have been edited to remove unneeded information for this scenario.

Проверка функциональных возможностей с помощью Configuration Manager Verify functionality with Configuration Manager

Проверка возможности синхронизации обновлений сервером сайта Verify the site server can sync updates

Подключите консоль Configuration Manager к сайту верхнего уровня. Connect the Configuration Manager console to the top-level site.

Выберите Библиотека программного обеспечения > Обзор > Обновления программного обеспечения > Все обновления программного обеспечения. Go to Software Library > Overview > Software Updates > All Software Updates.

На ленте выберите Синхронизировать обновления программного обеспечения. From the ribbon, select Synchronize Software Updates.

Выберите Да в ответ на уведомление с вопросом о том, нужно ли инициировать синхронизацию обновлений программного обеспечения на уровне сайта. Select Yes to the notification asking if you want to initiate a site-wide synchronization for software updates.

• Так как конфигурация WSUS изменилась, будет выполнена не разностная, а полная синхронизация обновлений программного обеспечения. Since the WSUS configuration changed, a full software updates synchronization will occur rather than a delta synchronization.

Откройте файл wsyncmgr.log для сайта. Open the wsyncmgr.log for the site. Если вы отслеживаете дочерний сайт, необходимо сначала дождаться завершения синхронизации родительского сайта. If you’re monitoring a child site, you’ll need to wait for the parent site to finish synchronization first. Убедитесь, что сервер успешно синхронизируется, проверив наличие в журнале записей следующего вида: Verify that the server syncs successfully by reviewing the log for entries similar to the following:

Проверка возможности проверки наличия обновлений клиентом Verify a client can scan for updates

После изменения точки обновления программного обеспечения для использования SSL клиенты Configuration Manager получают обновленный URL-адрес WSUS при запросе расположения для точки обновления программного обеспечения. When you change the software update point to require SSL, Configuration Manager clients receive the updated WSUS URL when it makes a location request for a software update point. Тестирование клиента позволяет определить следующее: By testing a client, we can:

• доверяет ли клиент сертификату сервера WSUS; Determine if the client trusts the WSUS server’s certificate.
• работоспособны ли SimpleAuthWebService и ClientWebService для WSUS; If the SimpleAuthWebService and the ClientWebService for WSUS are functional.
• доступен ли виртуальный каталог содержимого WSUS, если во время проверки клиенту будет предоставлено лицензионное соглашение. That the WSUS content virtual directory is functional, if the client happened to get a EULA during the scan

Укажите, что клиент, выполняющий проверку в точке обновления программного обеспечения, недавно изменен для использования TLS/SSL. Identify a client that scans against the software update point recently changed to use TLS/SSL. Используйте действие запуска скриптов для выполнения приведенного ниже скрипта PowerShell, если вам нужна помощь с определением клиента: Use Run scripts with the below PowerShell script if you need help with identifying a client:

Откройте этот скрипт в Центре сообщества. Open this script in community hub. Дополнительные сведения см. в разделе Прямые ссылки на элементы Центра сообщества. For more information, see Direct links to community hub items.

Запустите цикл проверки обновлений программного обеспечения на тестовом клиенте. Run a software update scan cycle on your test client. Проверку можно принудительно выполнить с помощью следующего скрипта PowerShell: You can force a scan with the following PowerShell script:

Откройте этот скрипт в центре сообщества. Open this script in community hub. Дополнительные сведения см. в разделе Прямые ссылки на элементы Центра сообщества. For more information, see Direct links to community hub items.