Service d'enregistrement des périphériques réseau (NDES) – Page 2

La demande de certificat échoue avec le message d'erreur „ La demande n'est pas prise en charge. 0x80070032 (WIN32 : 50 ERROR_NOT_SUPPORTED) “.“

Supposons le scénario suivant :

Un certificat est demandé auprès d'une autorité de certification intégrée à Active Directory (Enterprise Certification Authority).
La demande échoue avec le message d'erreur suivant :

An error occurred while enrolling for a certificate.
The certificate request could not be submitted to the certification authority.
Url: CA02.intra.adcslabor.de\ADCS Labor Issuing CA 1
Error: The request is not supported. 0x80070032 (WIN32: 50 ERROR_NOT_SUPPORTED)

Continuer la lecture

De zéro à administrateur d'entreprise grâce au service d'enregistrement des périphériques réseau (NDES) – et comment y remédier

Je voudrais présenter ci-après une configuration PKI extrêmement dangereuse, qui n'est peut-être pas forcément connue du grand public, mais qui est probablement très courante dans les réseaux d'entreprise.

Je montre comment, en exploitant diverses circonstances malheureuses dans l'infrastructure PKI Windows, il est possible d'obtenir une augmentation des droits, allant du simple accès au réseau à la prise de contrôle totale de l'Active Directory.

Dans cet exemple, le point d'attaque initial est le service d'enregistrement des périphériques réseau (NDES).

Continuer la lecture

L'installation ou la désinstallation d'une fonctionnalité Windows échoue avec le message d'erreur "The service is configured to not accept any remote shell requests".

Supposons le scénario suivant :

Une rôle Windows concernant les services de certificats Active Directory (autorité de certification, service d'enregistrement des périphériques réseau (NDES), enregistrement Web des autorités de certification (CAWE), services Web d'enregistrement des certificats (CEP, CES) ou répondeur en ligne (OCSP)) doit être installé ou désinstallé.
L'installation ou la désinstallation échoue avec le message d'erreur suivant :

The status of the role services on the target machine cannot be determined. Please retry. The error is The WS-Management service cannot process the request. The service is configured to not accept any remote shell requests.

Continuer la lecture

Liste des cas d'utilisation des certificats nécessitant des fournisseurs de services cryptographiques (CSP) ou des fournisseurs de stockage de clés (KSP) spécifiques

Avec Windows Server 2008, les algorithmes NSA Suite B (également connus sous le nom de Cryptography Next Generation, CNG) ont introduit, avec les fournisseurs de stockage de clés, une nouvelle interface moderne pour la création, le stockage et l'utilisation de clés privées dans l'écosystème Windows.

Dans la plupart des cas, le CSP ou le KSP utilisé pour les certificats n'a pas d'importance. Toutefois, certaines applications ne fonctionneront pas ou pas correctement si le fournisseur choisi n'est pas le bon.

Voici une liste des cas d'utilisation que je connais pour les certificats qui ne fonctionnent qu'avec un fournisseur de services cryptographiques (CSP) ou un fournisseur de stockage de clés (KSP) spécifique.

Continuer la lecture

SSCEP : Le sujet de notre demande ne correspond pas à celui du certificat renvoyé !

Supposons le scénario suivant :

Une demande de certificat est effectuée sur un système Linux (par exemple un client léger) au moyen de SSCEP contre un Service d'enregistrement des périphériques réseau (Network Device Enrollment Service, NDES) a été réalisée.
La demande de certificat échoue avec le message d'erreur suivant :

sscep: Subject of our request does not match that of the returned Certificate!

Continuer la lecture

Installer SSCEP pour Linux (Debian Buster) et demander des certificats via le service d'enregistrement des périphériques réseau (NDES)

Si l'on souhaite équiper une grande quantité de systèmes avec des certificats, il faut une demande manuelle et le renouvellement des certificats ne sont pas une option. La seule voie possible est l'automatisation.

Pour les systèmes qui ne sont pas membres de la structure globale d'Active Directory, une demande automatique de certificat via RPC/DCOM pas une option.

Pour certains cas d'application, le Simple Certificate Enrollment Protocol (SCEP) est une alternative intéressante. Pour ce protocole, il n'existe pas seulement des clients pour Windows, mais aussi pour Linux avec SSCEP. SSCEP est notamment utilisé par les clients légers avec le protocole Système d'exploitation eLux est utilisé.

Voici comment configurer le client SSCEP sur un système Debian Buster Linux, soit pour administrer des serveurs, soit pour tester le comportement côté client.

Continuer la lecture

Changement régulier du mot de passe lorsque le service d'enregistrement des périphériques réseau (NDES) est configuré avec un mot de passe statique

Supposons que l'on exploite un service d'enregistrement de périphériques réseau (Network Device Enrollment Service, NDES) qui s'appuie sur le principe de l'enregistrement des périphériques réseau. est configuré pour utiliser un mot de passe statique. Dans ce cas, contrairement à la configuration standard, le mot de passe de la Demande de certificat par les clients NDES jamais.

Mais il se peut que vous souhaitiez une solution intermédiaire, par exemple un changement quotidien du mot de passe. Ci-dessous, nous décrivons un moyen d'automatiser le changement de mot de passe.

Continuer la lecture

Demande de certificat pour les systèmes Windows à l'aide du protocole SCEP via le service d'enregistrement des périphériques réseau (NDES) avec Windows PowerShell

Si l'on souhaite équiper de certificats des systèmes Windows qui n'ont pas la possibilité de communiquer directement avec une autorité de certification intégrée à Active Directory ou qui ne se trouvent pas du tout dans la même structure globale d'Active Directory, il ne reste dans la plupart des cas que l'installation manuelle des certificats.

Depuis Windows 8.1 / Windows Server 2012 R2, un client intégré pour le Simple Certificate Enrollment Protocoll (SCEP) se trouve toutefois à bord. Côté serveur, SCEP est géré par le Service d'enregistrement des périphériques réseau (Network Device Enrollment Service, NDES) mis en œuvre dans l'infrastructure à clés publiques de Microsoft depuis Windows Server 2003.

Une caractéristique particulièrement intéressante de SCEP est que le protocole permet de renouveler un certificat en indiquant un certificat déjà existant. Quoi de plus logique donc que d'utiliser cette interface ? Ce qui manque encore, c'est une automatisation correspondante via Windows PowerShell.

Continuer la lecture

Principes de base du service d'enregistrement des périphériques réseau (Network Device Enrollment Service, NDES)

Le Simple Certificate Enrollment Protocol (SCEP) a été développé par Verisign pour Cisco au début des années 2000 afin de pouvoir utiliser une méthode simplifiée pour demander des certificats. Auparavant, il fallait générer manuellement une demande de certificat pour chaque appareil du réseau, la transmettre à une autorité de certification, puis réinstaller manuellement le certificat délivré sur l'appareil correspondant.

Continuer la lecture

Authentification au service d'enregistrement des périphériques réseau (NDES) avec un certificat existant (mode renouvellement)

Le service d'enregistrement des équipements de réseau (NDES) dispose de la possibilité de s'authentifier avec un certificat déjà émis afin de demander à nouveau un certificat au contenu identique. Ceci est très pratique pour les opérations de renouvellement, car il n'est ainsi plus nécessaire de demander au préalable un mot de passe à usage unique.

Continuer la lecture

La configuration des rôles pour le service d'enregistrement des périphériques réseau (NDES) échoue avec le message d'erreur „Failed to Enroll RA certificates. Le modèle de certificat demandé n'est pas supporté par cette CA. 0x80094800 (-2146875392 CERTSRV_E_UNSUPPORTED_CERT_TYPE)“

Supposons le scénario suivant :

On installe un serveur NDES (Network Device Enrollment Service)
On dispose des autorisations nécessaires pour installer le rôle (administrateur local, administrateur d'entreprise).
La configuration des rôles échoue avec le message d'erreur suivant :

Failed to Enroll RA certificates. The requested certificate template is not supported by this CA. 0x80094800 (-2146875392 CERTSRV_E_UNSUPPORTED_CERT_TYPE)

Continuer la lecture

Y a-t-il une dépendance du service d'enregistrement des périphériques réseau (NDES) avec l'objet NTAuthCertificates ?

Le service d'enregistrement des appareils en réseau (NDES) dispose de deux Autorité d'enregistrement Les certificats. Avec le certificat d'agent d'inscription, les demandes de certificat sont signées et on peut Configurer le modèle d'appareil NDES de manière à ce que les certificats ne soient délivrés que si les demandes de certificats soumises comportent une signature correspondante..

Si l'on prévoit de faire appel à l'autorité de certification associée au NDES supprimer de l'objet NTAuthCertificates, La question se pose de savoir s'il faut tenir compte de l'interdépendance - après tout, le fait d'avoir des enfants ne signifie pas qu'ils n'en ont pas besoin. Enroll on Behalf Of (EOBO) (inscription à l'appui) la présence du certificat d'autorité de certification dans NTAuthCertificates.

Continuer la lecture

Détails de l'événement ID 80 de la source Microsoft-Windows-CertificationAuthority

Source de l'événement :	Microsoft-Windows-CertificationAuthority
ID de l'événement :	80 (0x50)
Journal des événements :	Application
Type d'événement :	Avertissement
Nom symbolique :	MSG_E_CERT_PUBLICATION_HOST_NAME
Texte de l'événement (en anglais) :	Les services de certificats Active Directory n'ont pas pu publier un certificat pour la demande %1 à l'emplacement suivant sur le serveur %4 : %2. %3.%5%6
Texte de l'événement (en allemand) :	La demande de certificat %1 n'a pas pu être publiée dans le chemin suivant sur le serveur „ %4 “ : %2. %3.%5%6

Continuer la lecture

Détails de l'événement ID 52 de la source Microsoft-Windows-NetworkDeviceEnrollmentService

Source de l'événement :	Microsoft Windows NetworkDeviceEnrollmentService
ID de l'événement :	52 (0x34)
Journal des événements :	Application
Type d'événement :	Information
Texte de l'événement (en anglais) :	Le module de stratégie Network Device Enrollment Service a été démarré avec succès.
Texte de l'événement (en allemand) :	Le module de stratégie „ Service d'enregistrement des périphériques réseau “ a été lancé avec succès.

Continuer la lecture

Détails de l'événement ID 53 de la source Microsoft-Windows-NetworkDeviceEnrollmentService

Source de l'événement :	Microsoft Windows NetworkDeviceEnrollmentService
ID de l'événement :	53 (0x35)
Journal des événements :	Application
Type d'événement :	Erreur
Texte de l'événement (en anglais) :	Le module de stratégie Network Device Enrollment Service n'a pas pu être démarré (%1). %2
Texte de l'événement (en allemand) :	Le module de stratégie „ Service d'enregistrement des périphériques réseau “ n'a pas pu être démarré (%1). %2

Continuer la lecture