Uwe Gradenegger - Page 15 - Uwe Gradenegger

S/MIME avec l'application Outlook pour Apple IOS et Android possible uniquement avec les appareils gérés via Intune

Si vous souhaitez mettre des certificats S/MIME à la disposition de vos utilisateurs sur leur smartphone, vous serez peut-être surpris de constater que cela n'est pas possible avec l'application Outlook si vous n'utilisez pas également Microsoft Intune comme solution de gestion pour les appareils.

Microsoft a publié un article intitulé „Étiquetage et protection sensibles dans Outlook pour iOS et Android“ Il est désormais clair que cela est dû à l'architecture du système concerné.

Continuer la lecture

De zéro à administrateur d'entreprise grâce au service d'enregistrement des périphériques réseau (NDES) – et comment y remédier

Je voudrais présenter ci-après une configuration PKI extrêmement dangereuse, qui n'est peut-être pas forcément connue du grand public, mais qui est probablement très courante dans les réseaux d'entreprise.

Je montre comment, en exploitant diverses circonstances malheureuses dans l'infrastructure PKI Windows, il est possible d'obtenir une augmentation des droits, allant du simple accès au réseau à la prise de contrôle totale de l'Active Directory.

Dans cet exemple, le point d'attaque initial est le service d'enregistrement des périphériques réseau (NDES).

Continuer la lecture

Que signifie l'option „Enable Certificate Privacy“ lors de l'exportation de certificats ?

Avec Windows Server 2016 et Windows 10, une nouvelle option „ Enable Certificate Privacy “ (Activer la confidentialité des certificats) a été mise en place pour l'exportation de certificats avec clé privée via la console MMC (Microsoft Management Console).

Lors de l'exportation de certificats avec clé privée, le certificat est exporté dans un fichier PKCS#12 (.PFX).

Continuer la lecture

L'installation d'une autorité de certification échoue avec le message d'erreur „The Certification Authority is already installed“.“

Supposons le scénario suivant :

Une autorité de certification est installée.
Une erreur est survenue lors de l'installation, ce qui a nécessité une nouvelle tentative.
Le rôle d'autorité de certification a été désinstallé et la configuration du rôle a ensuite été réessayée.
La configuration des rôles échoue avec le message d'erreur suivant :

The Certification Authority is already installed. If you are trying to reinstall the role service, you must first uninstall it.

Continuer la lecture

Google Chrome signale le code d'erreur „ERR_SSL_PROTOCOL_ERROR“ lors de l'ouverture d'une page Web

Supposons le scénario suivant :

Une page web est consultée avec Google Chrome.
L'établissement de la connexion échoue avec le message d'erreur suivant :

Diese Website kann keine sichere Verbindung bereitstellen
test.intra.adcslabor.de hat eine ungültige Antwort gesendet.
Versuchen Sie, die Windows-Netzwerkdiagnose auszuführen.
ERR_SSL_PROTOCOL_ERROR

Continuer la lecture

L'installation ou la désinstallation d'une fonctionnalité Windows échoue avec le message d'erreur "The service is configured to not accept any remote shell requests".

Supposons le scénario suivant :

Une rôle Windows concernant les services de certificats Active Directory (autorité de certification, service d'enregistrement des périphériques réseau (NDES), enregistrement Web des autorités de certification (CAWE), services Web d'enregistrement des certificats (CEP, CES) ou répondeur en ligne (OCSP)) doit être installé ou désinstallé.
L'installation ou la désinstallation échoue avec le message d'erreur suivant :

The status of the role services on the target machine cannot be determined. Please retry. The error is The WS-Management service cannot process the request. The service is configured to not accept any remote shell requests.

Continuer la lecture

Principes de base du répondeur en ligne (Online Certificate Status Protocol, OCSP)

Les certificats disposent généralement de l'extension „CRL Distribution Points“, qui permet d'indiquer à une application où se trouve la liste de diffusion associée au certificat. Liste de révocation des certificats (CRL) est à trouver.

Celui-ci ressemble à un annuaire téléphonique : On y trouve tous les numéros de série des certificats rappelés par l'autorité de certification (et encore valables). Chaque application qui vérifie le statut de révocation doit télécharger et évaluer la liste de révocation complète.

Plus la taille augmente, plus cette procédure devient inefficace. En règle générale, 100 000 certificats rappelés correspondent déjà à une taille de fichier d'environ 5 Mo pour la liste de révocation.

Le Online Certificate Status Protocol (OCSP) a été développé à cet effet (sous la direction de la société ValiCert) : Il s'agit d'un service d'information qui permet aux applications de demander le statut de révocation de certificats individuels, ce qui évite de devoir télécharger la CRL complète. OCSP est disponible dans le RFC 6960 est spécifiée.

Continuer la lecture

Aperçu des possibilités de paramétrage pour les configurations de blocage du répondeur en ligne (OCSP)

Si une configuration de blocage est configurée pour un répondeur en ligne, il existe différentes possibilités de réglage qui sont abordées ci-dessous.

Continuer la lecture

Le répondeur en ligne (OCSP) signale „The revocation function was unable to check revocation because the revocation server was offline. 0x80092013 (-2146885613 CRYPT_E_REVOCATION_OFFLINE“

Supposons le scénario suivant :

Un répondeur en ligne (OCSP) est configuré sur le réseau.
Pour une autorité de certification, l'OCSP est activé et une configuration de blocage est mise en place.
La console d'administration du répondeur en ligne affiche l'état suivant pour la configuration du blocage :

Type: Microsoft CRL-based revocation status provider
The revocation provider failed with the current configuration. The revocation function was unable to check revocation because the revocation server was offline. 0x80092013 (-2146885613 CRYPT_E_REVOCATION_OFFLINE), 0x80092013

Continuer la lecture

Le répondeur en ligne (OCSP) signale „The object identifier does not represent a valid object. 0x800710d8 (WIN32 : 4312 ERROR_OBJECT_NOT_FOUND)“.“

Supposons le scénario suivant :

Un répondeur en ligne (OCSP) est configuré sur le réseau.
Pour une autorité de certification, l'OCSP est activé et une configuration de blocage est mise en place.
La console d'administration du répondeur en ligne affiche l'état suivant pour la configuration du blocage :

Type: Microsoft CRL-based revocation status provider
The revocation provider failed with the current configuration. The object identifier does not represent a valid object. 0x800710d8 (WIN32: 4312 ERROR_OBJECT_NOT_FOUND), 0x800710d8

Continuer la lecture

La révocation d'un certificat émis échoue avec le message d'erreur „The data is invalid. 0x8007000d (WIN32 : 13 ERROR_INVALID_DATA)“.“

Supposons le scénario suivant :

Un certificat est révoqué via la ligne de commande (certutil -revoke).
L'opération échoue avec le message d'erreur suivant :

ICertAdmin::RevokeCertificate: The data is invalid. 0x8007000d (WIN32: 13 ERROR_INVALID_DATA)

Continuer la lecture

Traitement des certificats expirés lors de la délivrance de listes de révocation de certificats

Par défaut, Microsoft Active Directory Certificate Services supprime les numéros de série des certificats expirés des listes de révocation émises.

Il y a toutefois quelques exceptions à cette règle.

Continuer la lecture

Liste des cas d'utilisation des certificats nécessitant des fournisseurs de services cryptographiques (CSP) ou des fournisseurs de stockage de clés (KSP) spécifiques

Avec Windows Server 2008, les algorithmes NSA Suite B (également connus sous le nom de Cryptography Next Generation, CNG) ont introduit, avec les fournisseurs de stockage de clés, une nouvelle interface moderne pour la création, le stockage et l'utilisation de clés privées dans l'écosystème Windows.

Dans la plupart des cas, le CSP ou le KSP utilisé pour les certificats n'a pas d'importance. Toutefois, certaines applications ne fonctionneront pas ou pas correctement si le fournisseur choisi n'est pas le bon.

Voici une liste des cas d'utilisation que je connais pour les certificats qui ne fonctionnent qu'avec un fournisseur de services cryptographiques (CSP) ou un fournisseur de stockage de clés (KSP) spécifique.

Continuer la lecture

Le service d'autorité de certification ne démarre pas et affiche le message d'erreur „The system cannot find the file specified. 0x2 (WIN32 : 2 ERROR_FILE_NOT_FOUND)“.“

Supposons le scénario suivant :

Une autorité de certification est installée.
L'installation se déroule avec succès, mais le service d'autorité de certification ne démarre pas après l'installation.
Lorsque l'on tente de démarrer le service d'autorité de certification via la console de gestion des autorités de certification, on obtient le message d'erreur suivant :

The system cannot find the file specified. 0x2 (WIN32: 2 ERROR_FILE_NOT_FOUND)
The policy module for a CA is missing or incorrectly registered. To view or change policy module settings, right-click on the CA, click Properties, and then click the Policy Module tab.

Continuer la lecture

Inspecter le trafic TLS avec Wireshark (décrypter HTTPS)

Lors du dépannage, il peut être très utile de voir les connexions SSL cryptées afin de pouvoir inspecter les messages qu'elles contiennent. Il existe un moyen relativement simple de le faire avec Wireshark.

Continuer la lecture

Français