Wiederherstellung eines Zertifizierungsstellenzertifikats mit Software-Schlüssel

Autor Uwe Gradenegger Veröffentlicht am Aktualisiert am Kategorien Zertifikat-Benutzung, Zertifizierungsstelle, Sichern und Wiederherstellen Schlagwörter Backup, Key Storage Provider (KSP), PKCS#12, certlm.msc

Nachfolgend wird die Wiederherstellung eines Zertifizierungsstellen-Zertifikats mit Software-Schlüssel beschrieben.

Die Wiederherstellung des Zertifizierungsstellen-Zertifikats kann aus folgenden Gründen notwendig sein:

Die Wiederherstellung eines Zertifizierungsstellen-Zertifikats mit Hardware Security Module (HSM) unterscheidet sich grundlegend und ist im Artikel "Wiederherstellung eines Zertifizierungsstellenzertifikats mit Hardware Security Modul (HSM) " beschrieben.

Üblicherweise beinhaltet die Sicherung der Zertifizierungsstellen-Zertifikate alle verwendeten Zertifikate der Zertifizierungsstelle in einer einzigen Datei. Sollte sich die Sicherung auf mehrere Dateien erstrecken, müssen die folgenden Schritte entsprechend wiederholt werden.

Umsetzung

Kennen Sie TameMyCerts? TameMyCerts ist ein Add-On für die Microsoft Zertifizierungsstelle (Active Directory Certificate Services). Es erweitert die Funktion der Zertifizierungsstelle und ermöglicht die Anwendung von Regelwerken , um die sichere Automatisierung von Zertifikat-Ausstellungen zu realisieren. TameMyCerts ist einzigartig im Microsoft-Ökosystem, hat sich bereits in unzähligen Unternehmen auf der ganzen Welt bewährt und steht unter einer freien Lizenz. Es kann über GitHub heruntergeladen und kostenlos verwendet werden. Professionelle Wartung wird ebenfalls angeboten.

Für die Wiederherstellung des Zertifizierungsstellen-Zertifikats wird eine zuvor erstellte Sicherung samt privater Schlüssel sowie das dazugehörige Passwort benötigt. Die Sicherung liegt üblicherweise im PKCS#12 Format (.p12, .pfx) vor. Auf dem Ziel-Computer wird die Managementkonsole für Zertifikate des Computerkontos (certlm.msc) geöffnet. Es wird mit Rechts auf "Personal" geklickt, dann "All Tasks" – "Import…".

certlm: Kontextmenü "All Tasks", "Import..." im Ordner "Personal" von "Certificates - Local Computer"

Im nächsten Bildschirm wird "Next" geklickt.

Willkommensseite des "Certificate Import Wizard", Speicherort "Local Machine" ausgewählt

Mit "Browse…" wird nun die Sicherungsdatei ausgewählt.

Certificate Import Wizard, "File to Import": leeres Feld "File name", Schaltfläche "Browse..." markiert

Im nachfolgenden Dialog wird der Filter auf "All Files (*.*) oder "Personal Information Exchange (*.pfx, *.p12) gestellt. Anschließend wird die Datei gesucht und geöffnet.

Dialog "Open" im Ordner C:\LabFiles mit der Datei "ADCS Labor Issuing CA 3", Dateityp "All Files"

Nun kann mit "Next" der nächste Dialog aufgerufen werden.

Certificate Import Wizard, "File to Import": File name C:\LabFiles\ADCS Labor Issuing CA 3.p12

Nun wird das Passwort für die Sicherungsdatei eingegeben.

Beim Import des Zertifikats sollte unbedingt darauf geachtet werden, dass der private Schlüssel als exportierbar markiert wird, um zukünftige Sicherungen zu ermöglichen. Man könnte aus vermeintlichen Sicherheitserwägungen dazu geneigt sein, den Schlüssel als nicht exportierbar zu markieren. Jedoch ist dies nur ein Pseudo-Schutz, da das Schlüsselmaterial dennoch verwendet werden kann, und ein Export durch die einschlägigen Werkzeuge auch möglich ist, wenn der Schlüssel nicht für den Export freigegeben ist.

Certificate Import Wizard, "Private key protection": Passwort eingegeben, "Mark this key as exportable" aktiviert (markiert)

Die Standardauswahl ("Personal") für die Speicherung des Zertifikats kann beibehalten werden.

Certificate Import Wizard, "Certificate Store": "Place all certificates in the following store", Certificate store "Personal"

Mit Klick auf "Finish" wird das Zertifizierungsstellen-Zertifikat nun wiederhergestellt.

Certificate Import Wizard, Zusammenfassung: Store "Personal", Content "PFX", File Name C:\LabFiles\ADCS Labor Issuing CA 3.p12

War der Import erfolgreich, wird eine entsprechende Meldung erzeugt.

Meldung des "Certificate Import Wizard": "The import was successful."

Die Sicherung der Zertifizierungsstellen-Zertifikate beinhaltet die gesamte Zertifikatkette, somit befinden sich nun auch eventuell die Stammzertifizierungsstellen-Zertifikate im "Personal" Ordner. Diese können gelöscht werden, da ohnehin keine privaten Schlüssel vorliegen. Wichtig sind die eigentlichen Zertifizierungsstellen-Zertifikate. Ob ein privater Schlüssel vorliegt, wird durch das Schlüsselsymbol angezeigt.

certlm, Ordner Personal\Certificates: zwei Zertifikate "ADCS Labor Issuing CA 3" (markiert) neben ADCS Labor Root CA