Qu'est-ce qu'une ancre de confiance valide dans Windows 7 concernant le Wifi?

8

L'erreur ci-dessous vient de se produire au travail avec un ordinateur portable personnel exécutant Windows 7 Ultimate. Je ne peux pas utiliser de certificats installés et non expirés pour me connecter à un réseau sans fil privé. Aucune modification récente n'a été apportée par le service informatique pour expliquer le problème. Cela a bien fonctionné il y a plusieurs semaines et se produit sur deux ordinateurs portables que je possède.

Les détails et quelques captures d'écran sont disponibles ici :

La tentative de connexion n'a pas pu être terminée

L'erreur que nous ne comprenons pas est la suivante:

Les informations d'identification fournies par le serveur n'ont pas pu être validées. Nous vous recommandons de mettre fin à la connexion et de contacter votre administrateur avec les informations fournies dans les détails. Vous pouvez toujours vous connecter, mais cela vous expose au risque de sécurité d'un éventuel serveur non autorisé.

Le serveur XYZ a présenté un certificat valide émis par l'autorité de certification du nom de l'entreprise, mais l'autorité de certification du nom de l'entreprise n'est pas configurée comme ancre de confiance valide pour ce profil.

Nous ne savons pas résoudre le problème sans ignorer l'erreur (ni ce qui a changé qui pourrait expliquer cette nouvelle erreur).

La nouvelle information est que nous avons notre propre autorité de certification racine et que les certificats n'ont pas été mis à jour récemment ni expiré.

WiredPrairie
la source

Réponses:

8

J'ai rencontré le même problème. J'ai trouvé la réponse.

  1. Accédez à Panneau de configuration> Réseau et Internet> Gérer les réseaux sans fil.

  2. Ouvrez le réseau sans fil. Ou cliquez sur le bouton "Ajouter" pour créer un nouveau réseau, puis ouvrez-le.

  3. La fenêtre Propriétés du réseau sans fil apparaît. Cliquez sur l'onglet Sécurité.

  4. Sous "Choisir une méthode d'authentification réseau", sélectionnez "Microsoft: carte à puce ou autre certificat". Je suppose que cela est déjà sélectionné.

  5. Cliquez sur le bouton "Paramètres".

  6. La fenêtre "Smart Card ou autres propriétés de certificat" apparaît.

  7. Voici la réponse. Dans la liste "Autorités de certification racines de confiance", vous devez sélectionner manuellement l'autorité de certification racine de votre entreprise. Par défaut, ils sont tous vides. C'est pourquoi le message d'avertissement apparaît la première fois si vous ne sélectionnez pas l'autorité de certification racine de votre entreprise. Si vous vous connectez malgré l'avertissement, l'autorité de certification racine de votre entreprise est désormais sélectionnée et vous ne recevez plus d'avertissement sur les connexions suivantes. Donc, pour éviter l'avertissement, il suffit de cocher cette case lors de la configuration du réseau, avant de vous connecter pour la première fois.

  8. Si vous ne voyez pas l'autorité de certification racine de votre entreprise ici, cela est probablement dû au fait que, par défaut, double-cliquer sur votre certificat pour l'installer le place probablement sous l'onglet «Autorités de certification intermédiaires». Vous devez plutôt sélectionner l'onglet "Autorités de certification racines de confiance". Vous pouvez voir où vont les certificats sous: Internet Explorer> Options Internet> Contenu> Certificats

Windows7User
la source
3
Ce n'est pas le problème que je rencontre car le certificat d'entreprise était déjà correctement répertorié dans la liste des autorités de certification racines de confiance.
WiredPrairie
2

La façon dont un certificat SSL est authentifié comme valide consiste à suivre une chaîne de confiance. Le certificat que votre entreprise utilise pour sécuriser le wifi est ensuite validé par rapport à (au moins) un certificat intermédiaire qui vérifie qu'il est légitime. Ce certificat intermédiaire est, à son tour, authentifié par rapport à un certificat racine d'une entreprise vérifiée et de confiance.

La façon dont les certificats racine sont validés comme authentiques et peuvent être approuvés est que Microsoft établit la confiance dans Windows pour certains certificats, mais ces racines sont généralement obsolètes et n'ont pas de joueurs majeurs dans le jeu de certificats SSL. Verisign et Thawt n'ont généralement aucun problème, mais Digicert (Entrust.net) est une énorme société de certification SSL qui n'est pas approuvée de manière native par Windows pour 802.1x (que je suppose que votre wifi utilise pour s'authentifier en fonction des captures d'écran fournies) ). Cela signifie que le certificat est probablement valide, mais votre ordinateur ne sait pas lui faire confiance. Vous pouvez certainement importer ce certificat racine en tant que certificat de confiance afin de ne plus y être invité. Je contacterais votre administrateur système pour savoir comment procéder.

Cela peut être dû soit à l'expiration d'un certificat intermédiaire ou racine si votre entreprise utilise sa propre autorité de certification, soit à émettre un nouveau certificat racine et à ne pas vous le déployer.

MDMarra
la source
(Je viens de le découvrir) La société utilise sa propre autorité de certification et aucun certificat n'a expiré ou n'a été récemment mis à jour.
WiredPrairie
Pour développer cela - au sein d'un domaine Active Directory, le contrôleur de domaine est généralement considéré comme "approuvé" par les machines jointes au domaine. Les machines en dehors du domaine, comme votre ordinateur portable personnel, peuvent avoir à faire explicitement confiance au certificat. Cela ne ressemble pas à ce qui se passe ici, mais c'est assez proche pour mériter d'être mentionné.
Joel Coehoorn
@Joel - Cela n'a rien à voir avec ça. Lorsque vous configurez 802.1x via NPS, vous devez fournir un certificat SSL. Cela n'a rien à voir avec le fait d'être membre d'un domaine. De plus, votre caractérisation de la confiance est un peu décalée.
MDMarra
1

Je suis arrivé exactement au même point. Si j'accepte l'avertissement de certificat, une invite d'ID utilisateur / mot de passe apparaît. Si j'entre mon ID utilisateur (le nom commun du certificat client - je ne devrais pas avoir à le saisir) et que je laisse le mot de passe vide, je me connecte avec succès. Assez bizarre et pas comme avant.

Éditer. Tout trié. J'avais entré manuellement un profil de réseau sans fil et utilisé un nom en minuscule alors que le réseau sans fil d'entreprise commence par une lettre majuscule. Ma connexion réussie mentionnée précédemment n'utilisait pas du tout mon profil créé manuellement. Une fois que j'ai défini un profil nommé correctement, tout a fonctionné comme avant.

Andrew
la source