ML-DSA – Uwe Gradenegger

Beantragen von Zertifikaten mit auf ML-DSA basierenden Schlüsseln über den Registrierungsdienst für Netzwerkgeräte (NDES)

Mit dem Mai 2026 Sicherheits-Update hat Microsoft die Unterstützung für den ML-DSA Algorithmus in den Active Directory Certificate Services bereitgestellt.

In ihrer Dokumentation schreiben sie zwar, dass NDES nicht mit ML-DSA kompatibel ist:

You can enroll ML-DSA certificates through the Certificates Microsoft Management Console (MMC) snap-in and certreq.exe. Enrollment through the Network Device Enrollment Service (NDES) isn’t currently available.

So ganz stimmt das aber nicht…

Das Konfigurieren einer SSL-Zertifikatbindung für Microsoft Internet Information Server (IIS) schlägt fehl mit Fehlermeldung, wenn auf ML-DSA basierenden Schlüssel verwendet werden

Folgendes Szenario angenommen:

Man hat ein Webserver-Zertifikat mit auf ML-DSA basiertem Schlüsselpaar erzeugt.
Man möchte dieses an die Internetinformationsdienste IIS binden.
Die Konfiguration schlägt mit folgender Fehlermeldung fehl:

There was an error while performing this operation.

Details: 

A specified logon session does not exist. It may already have been terminated. (Exception from HRESULT: 0x80070520)

Die Beantragung von Zertifikaten mit auf ML-DSA basierenden Schlüsseln schlägt fehl mit Fehlermeldung "The parameter is incorrect. 0x80070057 (WIN32: 87 ERROR_INVALID_PARAMETER)"

Folgendes Szenario angenommen:

Man versucht, Zertifikate mit dem ML-DSA Algorithmus zu beantragen.
Die Beantragung schlägt mit folgender Fehlermeldung fehl:

The parameter is incorrect. 0x80070057 (WIN32: 87 ERROR_INVALID_PARAMETER)

Details zum Ereignis mit ID 13 der Quelle Microsoft-Windows-CertificateServicesClient-CertEnroll

Ereignisquelle:	Microsoft-Windows-CertificateServicesClient-CertEnroll
Ereignis-ID:	13 (0xC25A000D)
Ereignisprotokoll:	Application
Ereignistyp:	Error
Ereignistext (englisch):	Certificate enrollment for %1 failed to enroll for a %2 certificate with request ID %4 from %3 (%5).
Ereignistext (deutsch):	Die Zertifikatregistrierung für %1 konnte sich nicht für ein Zertifikat %2 mit der Anforderungs-ID %4 von %3 (%5) registrieren.

Details zum Ereignis mit ID 33 der Quelle Microsoft-Windows-OnlineResponder

Ereignisquelle:	Microsoft-Windows-OnlineResponder
Ereignis-ID:	33 (0x21)
Ereignisprotokoll:	Application
Ereignistyp:	Fehler
Symbolischer Name:	MSG_E_CACONFIG_CREATE_ENROLLMENT_REQUEST_FAILED
Ereignistext (englisch):	The Online Responder Service failed to create an enrollment request for the signing certificate template %2 for configuration %1.(%3)
Ereignistext (deutsch):	Der Online-Responder-Dienst konnte keine Registrierungsanforderungen für die Signaturzertifikatvorlage "%2" für die Konfiguration %1 erstellen.(%3)