Pokročilá správa certifikátů a podpisů ovladačů v systému Windows se stala kritickým problémem pro správce systému, vývojáře i pokročilé uživatele. Vzhledem k tomu, že společnost Microsoft zpřísnila zásady podepisování v 64bitových systémech Windows, musí být každý ovladač běžící v režimu jádra řádně podepsán a v mnoha případech musí také projít ověřovacími systémy společnosti Microsoft. Přidání dalších změn, jako je povinné přijetí SHA-2 a atestačního podepisování, může bez dobrého celkového pochopení věci snadno ztížit.
Kromě toho všeho se v reálném prostředí musíme vypořádat se zastaralými ovladači, zařízeními bez aktualizované podpory, kryptografickými kartami, certifikáty čipových karet, nástroji třetích stran, prací na dálku, počítači bez přístupu k internetu a dokonce i systémy, které jsou stále v produkčním prostředí s operačním systémem Windows 7 nebo Windows XP. V této souvislosti je pochopení fungování podpisů, používání typů certifikátů, jejich správy v panelu Hardware a možností, které máme v případě problému, klíčové, abychom se vyhnuli plýtvání hodinami kryptickými chybami a ohrožení zabezpečení systému.
Co je podepisování ovladačů ve Windows a proč je tak důležité?
Ve Windows obsahuje podepsaný ovladač digitální podpis spojený s balíčkem ovladače (binární soubory, soubory INF, katalogy atd.). Tento podpis slouží dvěma hlavním účelům: ověření, zda balíček nebyl od vydání vydavatelem upraven (integrita), a potvrzení identity dodavatele, který jej podepsal (autenticita). Na 64bitových systémech od Windows Vista je základní pravidlo jasné: ovladače v režimu jádra musí být podepsány, jinak se nenačtou.
Když instalujeme zařízení, systém sám používá digitální podpisy a certifikáty k ověření, zda balíček ovladačů pochází od důvěryhodného vydavatele a nebyl během přenosu poškozen. Pokud se něco zdá být v nepořádku (neplatný podpis, vypršelý certifikát, nepodporovaný algoritmus, upravený katalog atd.), systém Windows zobrazí varování, zablokuje instalaci nebo jednoduše zabrání načtení ovladače při spuštění.
Kromě toho společnost Microsoft od prvních verzí systému Windows 10 vyžaduje, aby ovladače procházely jejím podpisovým kanálem prostřednictvím Centra vývoje hardwaru a používaly algoritmy SHA-2. To má vliv nejen na binární soubory podepsané společností Microsoft, ale také na to, jak jsou přijímány nebo odmítány ovladače třetích stran podepsané pomocí SHA-1 nebo s certifikáty, které již nejsou považovány za bezpečné.
Změny podpisu ovladače: z SHA1 na SHA2 a problémy s kompatibilitou
Jedním z problémů, který způsobil nejvíce bolestí hlavy, je přechod z SHA1 na SHA2 při podepisování ovladačů . Počínaje verzí Windows 10 1507 používají všechny ovladače podepsané Hardware Center SHA-2. Kromě toho mohou některé binární soubory v režimu jádra, které obsahují duální podpisy (SHA1 a SHA2) od třetích stran, způsobovat problémy na systémech starších než Windows 10 nebo dokonce vést k pádům systému Windows 10 a novějších verzích, pokud nejsou nainstalovány určité aktualizace.
Společnost Microsoft konkrétně zdokumentovala případy, kdy se ovladače podepsané a vložené s duálními certifikáty nenačetly správně nebo mohly způsobit modré obrazovky na systémech bez kritických záplat. Aby se tomu zabránilo, doporučila instalaci aktualizací, jako je KB 3081436, která také publikovala SHA hash dotčených souborů, což uživatelům umožnilo ověřit, zda jejich systém používá problematické binární soubory.
Tento smíšený scénář znamená, že při nasazení ovladačů v prostředích s různými verzemi systému Windows je nezbytné zkontrolovat požadavky na podepisování pro každou verzi operačního systému a zajistit, aby kombinace hashovacího algoritmu, typu certifikátu a metody podepisování byla kompatibilní s každou cílovou platformou.
Role správce v Partnerském centru a správa certifikátů ovladačů
Pokud jde o vývojáře hardwaru a společnosti, které distribuují ovladače, klíčová je role správce Centra partnerů (dříve Centrum pro vývojáře hardwaru) . Tato osoba je zodpovědná za správu certifikátů pro podepisování kódu používaných k podepisování ovladačů a jejich odesílání společnosti Microsoft k podepsání nebo ověření.
Z hardwarového řídicího panelu Partnerského centra může administrátor přidávat, obnovovat a rušit podpisové certifikáty . Za tímto účelem se přihlásí, otevře nastavení svého účtu nebo vývojáře a přejde do sekce „Spravovat certifikáty“. Odtud může přidávat nové certifikáty, stahovat soubory k podpisu (například standardní soubor Signablefile.bin) a znovu nahrávat podepsané certifikáty.
Typický proces získání certifikátu zahrnuje stažení binárního souboru poskytnutého společností Microsoft, jeho podepsání nástrojem SignTool s použitím parametru /fd sha256 a příslušného časového razítka SHA-2 a nahrání výsledného souboru. Centrum vývojářů hardwaru systému Windows ověří, zda certifikát patří společnosti, a přiřadí jej k účtu pro budoucí podepisování balíčků ovladačů, a to buď prostřednictvím ověření, nebo standardních certifikačních procesů.
Získání a obnovení certifikátů pro elektromobily pro podpis řidičů
Pro profesionální podepisování ovladačů, zejména pokud je vyžadována ověření nebo mají být ovladače publikovány prostřednictvím služby Windows Update, je nezbytný certifikát pro podepisování kódu s rozšířeným ověřením (EV) vydaný uznávanou certifikační autoritou. Tyto certifikáty vyžadují přísnější ověření organizace, ale na oplátku nabízejí vyšší úroveň důvěryhodnosti.
Standardní proces začíná určením typu potřebného certifikátu pro podepisování kódu na základě typu ovladače, podporovaných verzí systému Windows a požadavků společnosti Microsoft. Pokud již máte platný certifikát a nechcete měnit poskytovatele, můžete jej znovu použít. V opačném případě musíte po ověření identity společnosti certifikační autoritou získat nový certifikát EV.
Jakmile je vydání schváleno, poskytovatel certifikátu poskytne pokyny pro načtení certifikátu EV , který je často uložen na hardwarovém zařízení (USB token nebo HSM) nebo nainstalován v zabezpečeném úložišti certifikátů. Tento certifikát spolu se SignTool nebo ekvivalentními nástroji bude použit k podepsání odeslaných souborů CAB, katalogů a v mnoha případech i binárních souborů ovladačů před jejich odesláním společnosti Microsoft.
Přidávání, aktualizace a odebírání certifikátů v panelu hardwaru
Jakmile je certifikát EV funkční, dalším krokem je jeho řádná registrace v řídicím panelu hardwaru v partnerském centru . Chcete-li přidat nový certifikát, správce se přihlásí, přejde do části „Nastavení účtu“ nebo „Nastavení pro vývojáře“ a poté do části „Spravovat certifikáty“. Tam může vybrat možnost „Přidat nový certifikát“ a postupovat podle pokynů průvodce.
Během procesu systém generuje Soubor Signablefile.bin který je nutné stáhnout a podepsat novým digitálním certifikátem společnosti. SignTool se používá s parametrem /fd sha256 a časové razítko SHA-2, čímž se zajistí, že certifikát se po vypršení platnosti nestane nepoužitelným, pokud je v jakémkoli okamžiku potřeba dočasné ověření.
Jakmile je soubor podepsán, vraťte se do Partnerského centra a nahrajte jej ze stejné sekce. Pokud je vše v pořádku, nový certifikát bude přidružen k účtu vývojáře a připraven k použití při budoucích odesílání ovladačů.
Pokud certifikát již není potřeba nebo existuje podezření na jeho kompromitaci, lze jej odebrat přímo z řídicího panelu . Jednoduše jej vyhledejte v seznamu a ve sloupci akcí použijte možnost „Odebrat“. Tím se automaticky nezruší všechny podpisy, které s ním byly vytvořeny (již vydané podpisy zůstanou ve většině případů platné), ale zabrání se jeho opětovnému použití pro nová odeslání nebo konfigurace.
Ověření podpisu: vytvoření a podepsání CAB pro kontrolory
Atestační podepisování je mechanismus, který umožňuje distribuci ovladačů bez nutnosti procházet celým tradičním procesem certifikace WHQL, a zároveň zachovává podpis společnosti Microsoft a soulad s pravidly pro načítání jádra. Toho se dosahuje přípravou souboru CAB obsahujícího balíček ovladače a jeho odesláním prostřednictvím Partnerského centra k podepsání společností Microsoft.
Typický soubor CAB obsahuje minimálně binární soubor ovladače (např. Echo.sys), odpovídající soubor INF (Echo.inf) a soubory symbolů PDB (například Echo.pdb), které nástroje společnosti Microsoft potřebují k analýze výpisů paměti v případě selhání. Soubory katalogu (.cat) lze také zahrnout pro interní ověření společnosti, ačkoli společnost Microsoft si během procesu podepisování vygeneruje vlastní katalogy.
Soubor CAB se obvykle vytváří pomocí MakeCab a souboru DDF , který definuje výsledný název souboru, vnitřní strukturu složek balíčku a soubory, které mají být zahrnuty. Soubor DDF definuje parametry, jako je typ komprese, název výstupu (například Echo.cab) a cílový adresář v rámci souboru CAB (obvykle podsložka, aby se zabránilo umístění souborů do kořenového adresáře).
Jakmile je DDF připraven, provede se příkaz následujícího stylu MakeCab /f Echo.ddfkterý generuje soubor CAB v podadresáři (například Disk1). Je vhodné zkontrolovat jeho obsah a ujistit se, že binární soubory i soubory INF a PDB Byly správně zahrnuty před přechodem k dalšímu kroku: podepsání certifikátem EV.
Podpis EV od CAB a odeslání přes Partnerské centrum
Jakmile je soubor CAB vygenerován, musí být podepsán certifikátem EV organizace . To se provádí opět pomocí nástroje SignTool, který ukazuje na úložiště certifikátů, kde se EV nachází, a zadává jak hashovací algoritmus (SHA256), tak URL serveru pro časové razítko:
Klasický příklad příkazu Bylo by to něco jako SignTool sign /s MY /n "Nombre de la empresa" /fd sha256 /tr http://... /td sha256 /v Echo.cabTento podpis zaručuje, že celý balíček je chráněn a že jeho integritu a původ lze ověřit ještě předtím, než jej Microsoft zpracuje.
Dále se podepsaný soubor CAB nahraje z panelu Partnerského centra v sekci pro odeslání nového hardwaru. Tam se produktu přiřadí název, zadají se požadované vlastnosti podpisu (jaké typy podpisů jsou pro balíček požadované, jaké architektury a systémy jsou podporovány) a v závislosti na scénáři se povolí nebo zakážou testovací podpisy.
Jakmile je odeslání dokončeno a proces podepisování dokončen, může si vývojář stáhnout ovladač podepsaný společností Microsoft z řídicího panelu. Tento balíček bude poté nainstalován na počítače uživatelů, obvykle bez bezpečnostních varování, za předpokladu, že systém důvěřuje příslušným certifikačním autoritám a řetězec důvěryhodnosti je správně nakonfigurován.
Ověření podpisu a EKU řadiče
Jakmile je podepsaný ovladač stažen, je vhodné zkontrolovat, zda Podpisy a certifikáty byly správně použity.Pro tento účel je opět referenčním nástrojem SignTool s příkazy jako například SignTool verify Echo.sys ověřit základní podpis nebo další parametry, jako například /pa /ph /v /d pro více informací, včetně hashů a ověření všech existujících podpisů v souboru.
Kromě ověření pomocí příkazového řádku můžete certifikáty ručně zkontrolovat ve vlastnostech souboru v Průzkumníku Windows. Na kartě „Digitální podpisy“ jsou uvedeny použité podpisy; výběrem jednoho z nich a kliknutím na „Podrobnosti“ → „Zobrazit certifikát“ získáte přístup ke všem relevantním informacím o řetězci důvěryhodnosti.
Na kartě s podrobnostmi certifikátu vám pole Rozšířené použití klíče (EKU) umožňuje potvrdit, že certifikát byl vydán s příslušnými rozšířeními pro podpisový kód a ovladače. Pokud jsou EKU nesprávné, systém může kryptografický podpis přijmout, ale přesto odmítnout nahrání ovladače, protože certifikát není pro tento konkrétní účel autorizován.
Pokročilá správa životního cyklu podepsaného kontroleru
Interní proces společnosti Microsoft pro podepisování odeslaných dokumentů obvykle zahrnuje několik zřetězených akcí. Nejprve se do binárního souboru ovladače přidá vložený podpis společnosti Microsoft založený na algoritmu SHA-2 . Pokud zákazník již do binárního souboru vložil své vlastní podpisy, mohou být v případě potřeby přepsány podpisem společnosti Microsoft, aby se zajistil soulad se zásadami pro nahrávání.
Systém poté vytvoří a podepíše nový soubor katalogu (.cat) certifikátem Microsoft SHA-2, který nahradí jakýkoli katalog původně odeslaný vývojářem. Tím je zajištěno, že integrita celého balíčku je řízena katalogem podepsaným společností Microsoft, zatímco jednotlivé binární soubory jsou podepsány podle pravidel režimu jádra.
Po instalaci ovladače v systému Windows (ať už pomocí nástrojů devcon, pnputil, vlastních instalačních programů nebo prostřednictvím služby Windows Update) by se při správné konfiguraci neměly zobrazovat zprávy typu „Systém Windows nemůže ověřit vydavatele tohoto ovladače“. Tyto typy varování obvykle označují problémy s řetězcem certifikátů, neúplné podpisy, neregistrované katalogy nebo nekompatibilitu se zásadami podepisování systému.
Ovladače ve Windows 10 a základní správa ovladačů
Z pohledu koncového uživatele nebo technika podpory je prvním nástrojem pro kontrolu stavu ovladačů ve Windows 10 Správce zařízení . Ten zobrazuje kompletní seznam zařízení nainstalovaných v počítači: ta, která fungují správně, se zobrazují bez varovných symbolů, zatímco ta s problémy jsou označena žlutými nebo červenými ikonami.
Nejrychlejším způsobem, jak jej otevřít, je použít vyhledávací lištu nabídky Start zadáním „Správce zařízení“ nebo pomocí kontextové nabídky nabídky Start (Win+X) a výběrem odpovídající možnosti. Z této konzole můžete aktualizovat, zakázat, odinstalovat nebo zkontrolovat vlastnosti každého ovladače, včetně jeho digitálního podpisu.
V ideálním případě je většina zařízení pokryta generickými nebo specifickými ovladači , které si systém Windows sám stáhne a nainstaluje prostřednictvím služby Windows Update. Pokud však systém nerozpozná konkrétní hardware, zobrazí se „neznámá zařízení“, která vyžadují další ruční správu ze strany uživatele nebo správce.
Neznámá zařízení a ruční umístění příslušného ovladače
Když se zobrazí neznámé zařízení s ikonou varování , nejúčinnějším způsobem jeho identifikace je obvykle kontrola jeho ID hardwaru. V jeho vlastnostech na kartě „Podrobnosti“ vyberte „ID hardwaru“ a zkopírujte řetězce začínající předponami PCI, USB nebo jinými. Tyto řetězce zahrnují výrobce a identifikátor modelu zařízení.
S tímto identifikátorem v ruce můžete bezpečně vyhledat odpovídající ovladač na oficiálních webových stránkách výrobce nebo v některých případech ve specializovaných databázích ovladačů. Po stažení balíčku, pokud se jedná o spustitelný instalační soubor, jednoduše postupujte podle pokynů průvodce. Pokud se však balíček zobrazí jako složka plná souborů INF, SYS a dalších, budete muset použít možnost „ Procházet tento počítač a vyhledat software ovladače “ a zadat cestu k této složce.
V mnoha případech, zejména u starších zařízení nebo neobvyklých hardwarových kombinací, je tento typ ručního vyhledávání jediným schůdným způsobem, jak zařízení správně zprovoznit. Vždy je třeba dbát na to, abyste stahovali ovladače pouze ze spolehlivých zdrojů , a nikoli z generických portálů, které obsahují ovladače s nežádoucím softwarem.
Ovladače bez rozpoznaného podpisu, speciální režimy a možnosti zabezpečení
Systém Windows 10 obsahuje další vrstvu zabezpečení, která vyžaduje, aby ovladače byly podepsány společností Microsoft nebo důvěryhodnými dodavateli . Z hlediska ochrany systému to dává dokonalý smysl, ale může se to stát problémem, když potřebujete nainstalovat legitimní ovladače, které nejsou správně podepsány nebo nemají podpis rozpoznán systémem.
V předchozích verzích systému Windows jste mohli ručně přijmout instalaci nepodepsaného ovladače pouhým kliknutím na tlačítko „Přesto nainstalovat“, ale počínaje systémem Windows 10 je tato možnost z velké části odstraněna. K instalaci těchto ovladačů je nyní nutné v závislosti na edici systému použít metody, jako je pokročilé spuštění s vypnutým ověřováním podpisu , testovací režim nebo změny skupinových zásad.
Nejkonzervativnější metoda zahrnuje restartování systému Windows ve speciálním režimu, který dočasně deaktivuje vynucování podpisu ovladačů . To se provádí prostřednictvím nastavení systému (Win+I → Aktualizace a zabezpečení → Obnovení) pomocí možnosti „Upřesnit spuštění“ a po procházení několika nabídek („Řešení problémů“ → „Upřesnit možnosti“ → „Nastavení spuštění“) výběrem možnosti, která deaktivuje vynucování podpisu ovladačů. To vám umožní nainstalovat potřebný ovladač, i když se ochrana znovu aktivuje při dalším restartu.
Zakázání podepisování ovladačů: Zásady skupiny, testovací režim a příkazy BCDEdit
V pokročilejších prostředích, jako jsou edice Pro nebo Enterprise systému Windows 10/11, můžete upravit chování podepisování ovladačů pomocí Zásad skupiny (GPEDIT) . Přechodem na Konfigurace uživatele → Šablony pro správu → Systém → Instalace ovladačů se dostanete k zásadě „Podepisování kódu pro ovladače zařízení“. Nastavení na hodnotu „Zakázáno“ zmírňuje požadavek na podepisování, ale toto by mělo být používáno s opatrností a měli byste si být vědomi dopadu na zabezpečení.
Další možností je Testovací režim (TESTSIGNING)Toto je určeno pro vývojáře pracující s ovladači, které jsou stále ve fázi testování. Aktivace tohoto režimu pomocí bcdedit /set TESTSIGNING ON (a restartování) umožňuje načtení ovladačů podepsaných testovacími certifikáty, obvykle vydanými samotnou organizací. V tomto režimu se na ploše zobrazuje vodoznak, který označuje, že systém pracuje v testovacím prostředí.
Nejdrastičtější možností je je úplně deaktivovat. kontroly integrity řadičů s příkazy jako bcdedit.exe /set nointegritychecks onTo umožňuje instalaci a načtení libovolného ovladače, podepsaného i nepodepsaného, a přestože to může být užitečné ve velmi specifických situacích (například při údržbě kritického hardwaru bez moderní podpory ve zcela izolovaném prostředí), představuje to značné bezpečnostní riziko. Kdykoli se tato metoda použije, doporučuje se ji znovu aktivovat pomocí bcdedit.exe /set nointegritychecks off po instalaci potřebných ovladačů.
Nebezpečí deaktivace ochrany podpisu řidiče
Uvolnění nebo zakázání podepisování ovladačů otevírá dveře hrozbám, které je velmi obtížné odhalit a ještě obtížnější je vymýtit: rootkity a malware podobný ovladačům . Tyto komponenty se načítají s oprávněními SYSTÉM a běží na velmi nízké úrovni, což jim umožňuje monitorovat provoz, zachycovat komunikaci, blokovat antivirový software a skrývat se před téměř jakýmkoli bezpečnostním nástrojem.
Jakmile je falešný ovladač tohoto typu úspěšně nainstalován, může být systém zcela napaden bez jakýchkoli zjevných příznaků. Detekce tradičními bezpečnostními řešeními je velmi obtížná, protože malware se maskuje jako legitimní ovladač. V mnoha případech je jediným spolehlivým způsobem, jak obnovit infikovaný počítač, formátování a přeinstalace systému od nuly.
Proto by měl být jakýkoli software, který trvá na trvalém zakázání podepisování ovladačů za účelem „optimalizace výkonu“, „aktivace skrytých funkcí“ nebo podobných slibů, považován za podezřelý. Vždy je lepší hledat alternativy: aktualizované oficiální ovladače, podepsané verze, kontrolované testovací režimy nebo dokonce v případě potřeby odpojit hardware od sítě, než ponechat systém nechráněný.
Ovladače pro Windows versus ovladače od výrobce: co použít a kdy
Jedním z bodů, který způsobuje značný zmatek, je rozdíl mezi generickými ovladači, které Microsoft dodává se systémem, a specifickými ovladači od jednotlivých výrobců. První jmenované umožňují většině zařízení fungovat „ihned po vybalení“ z krabice po připojení hardwaru, ale obvykle nabízejí pouze základní funkce komponenty.
Pokud se například jedná o multifunkční tiskárnu, pravděpodobně budete moci bez problémů tisknout pomocí ovladačů pro Windows, ale přístup ke skeneru, pokročilým funkcím pro manipulaci s papírem nebo diagnostickým panelům výrobce může být obtížný. Abyste ze zařízení vytěžili maximum, je nejlepší nainstalovat oficiální ovladače a software od dodavatele , které obvykle obsahují platné digitální podpisy a další možnosti konfigurace.
Při stahování ovladačů je zásadní ujistit se, že webová stránka, kterou navštěvujete, je skutečně webem výrobce a nikoli zprostředkovatelem třetí strany. Jednoduchý trik spočívá v pečlivé kontrole adresy URL domény a vyhýbání se generickým instalačním programům, které slibují „aktualizaci všech ovladačů“, ale přidávají adware nebo dokonce malware. Kdykoli je povoleno podepisování ovladačů, systém Windows pomůže blokovat tyto typy pochybných balíčků zobrazením varování nebo zabráněním jejich instalaci.
Nástroje pro aktualizaci a diagnostiku ovladačů
Pro uživatele, kteří raději část práce delegují, existují specializované nástroje, které detekují zastaralé ovladače a navrhují novější verze, jako například Driver Booster, Driver Talent, AVG Driver Updater, nebo techničtější řešení jako Snappy Driver Installer nebo DriverPack Solution. I když mohou být užitečné pro nalezení těžko dostupných balíčků, je vhodné je používat s opatrností a vždy ověřit zdroj navrhovaných ovladačů.
Na diagnostické stránce vám nástroje jako DriverView od Nirsoftu umožňují zobrazit seznam všech ovladačů nainstalovaných v systému a rychle rozlišit, které patří společnosti Microsoft (s platnými podpisy) a které pocházejí od třetích stran. Tato aplikace například zobrazuje ovladače od Microsoftu s bílým pozadím a ovladače od jiných společností zvýrazňuje červeně, což usnadňuje identifikaci potenciálních zdrojů problémů.
DriverView umožňuje seřadit seznam podle společnosti, filtrovat a skrýt ovladače od Microsoftu, zaměřit se na ovladače třetích stran a zobrazit podrobné informace o každém ovladači dvojitým kliknutím: název, cesta, verze, společnost atd. S těmito informacemi je snazší rozhodnout, zda je podezřelý ovladač součástí důvěryhodného softwaru, nebo zda by měl být odinstalován, aby se zlepšila stabilita nebo zabezpečení systému.
Čipové karty, certifikáty na kartě a Bit4id PKI Manager
V podnikovém a administrativním prostředí je velmi běžné, že certifikáty používané pro elektronické podpisy, ověřování nebo šifrování jsou uloženy na čipových kartách nebo kryptografických tokenech. Správa těchto zařízení – včetně PINů, PUKů a importu a exportu certifikátů – vyžaduje specifické nástroje, jako je Bit4id PKI Manager a související middleware.
Bit4id PKI Manager poskytuje přehled o připojených zařízeních (čtečky karet, tokeny) a po přihlášení pomocí PINu umožňuje zobrazit uživatelské certifikáty a certifikáty certifikační autority (CA) uložené v zařízení. Z jeho řídicího panelu můžete provádět úkoly, jako je odemčení PINu pomocí PUKu, změna PINu nebo PUKu, přihlášení a odhlášení z karty, přejmenování zařízení nebo import certifikátů ve formátu .p12/.pfx, které obsahují soukromý klíč.
Při importu certifikátu vás aplikace vyzve k výběru souboru, zadání PIN kódu karty, hesla kontejneru PFX/P12 a volitelně identifikátoru CKA_ID pro použití s PKCS#11. Naopak umožňuje exportovat certifikáty ve formátu .cer , který obsahuje pouze veřejný klíč, protože soukromý klíč čipové karty nelze z bezpečnostních důvodů nikdy extrahovat.
Zajímavou doplňkovou funkcí je možnost automatické synchronizace certifikátů karty s úložištěm certifikátů systému Windows , což je nezbytné pro aplikace jako Microsoft Edge, Chrome, Opera nebo Adobe Reader, které mohou tyto certifikáty používat k ověřování nebo podepisování dokumentů PDF přímo z prohlížeče nebo aplikace.
Ověření certifikátu ve Windows, prohlížečích a Adobe Readeru
Chcete-li ověřit, zda byly certifikáty na kartě správně nahrány do systému, můžete otevřít úložiště certifikátů systému Windows pomocí příkazu certmgr.msc z nabídky Start. Uživatelské certifikáty propojené s kartou by se měly zobrazit ve složce „Osobní“ → „Certifikáty“, pokud middleware fungoval správně.
V případě Firefoxu, který si udržuje vlastní úložiště certifikátů , je třeba v nastavení prohlížeče zkontrolovat sekci Zabezpečení a certifikáty. Pokud jsou moduly PKCS#11 správně nakonfigurovány a po zobrazení výzvy je zadán PIN, certifikáty čipových karet se zobrazí také na kartách Uživatelské a Autorizační certifikáty.
V aplikaci Adobe Acrobat Reader přejděte do sekce „Předvolby“ → „Podpisy“ → „Důvěryhodné identity a certifikáty“ a poté do sekce „Digitální identifikátory systému Windows“. Pokud se certifikáty nacházejí v úložišti certifikátů systému Windows, může je společnost Adobe použít přímo k digitálnímu podepisování dokumentů PDF . Typický postup je vybrat možnost „Použít certifikát“, vybrat oblast PDF, kam bude umístěn podpis, vybrat příslušný certifikát a dokončit proces zadáním PIN kódu karty po zobrazení výzvy.
Řešení běžných problémů s ovladači a certifikáty
Když se ovladač začne chovat nepravidelně nebo hardwarová komponenta přestane fungovat, je třeba nejprve zkontrolovat příslušnou ikonu ve Správci zařízení . Žlutá ikona označuje problém s ovladačem: může být poškozený, zastaralý, nesprávně podepsaný nebo může kolidovat s jiným softwarem.
Mezi doporučené akce patří použití vestavěného nástroje pro odstraňování problémů s hardwarem systému Windows , ruční aktualizace ovladače ze Správce zařízení, odinstalace a opětovná instalace ovladače nebo dokonce návrat k předchozí verzi, pokud problém způsobila nedávná aktualizace. V mnoha případech konflikty vyřeší pouhé povolení přeinstalace ovladače službou Windows Update.
Ve složitějších scénářích, jako jsou například instalace s více systémy se staršími systémy, mohou chyby jako „Podpisové certifikáty nejsou nainstalovány“ při instalaci ovladačů grafické karty v systému Windows 7 vyžadovat ruční extrahování instalačních souborů od výrobce a přechod do složky pro extrakci ve Správci zařízení, aby se vynutila instalace správného souboru INF. Pomáhá také zajistit, aby systém Windows 7 měl aktualizace, které povolují SHA-2 (například KB3033929), a pokud vše ostatní selže, zvažte dočasné zakázání podepisování ovladačů v daném systému, za předpokladu, že zůstane izolovaný a používá ovladače z důvěryhodného zdroje.
A konečně, pokud se problém týká certifikátů čipových karet (nekonzistentní PINy, chyby při přihlašování do middlewaru, selhání načítání certifikátů do úložiště), je vhodné shromáždit veškeré diagnostické informace ze Správce PKI , nainstalovaných verzí, výsledků testů v prohlížečích a aplikacích a odeslat je poskytovateli karty nebo certifikační autoritě, aby se urychlilo vyřešení incidentu.
Vzhledem k výše uvedenému je zřejmé, že pokročilá správa certifikátů a podpisů ovladačů ve Windows není jen otázkou „zajištění funkčnosti zařízení“, ale kombinací zabezpečení, kompatibility a osvědčených postupů: moudrý výběr certifikátů pro podepisování kódu, řízení jejich životního cyklu v Partnerském centru, respektování zásad SHA-2, znalost toho, kdy a jak uvolnit omezení podepisování, využívání nástrojů jako DriverView nebo Bit4id PKI Manager a především stahování a instalace ovladačů a certifikátů z důvěryhodných zdrojů, udržování rovnováhy mezi stabilitou, funkčností a ochranou před hrozbami nízké úrovně.