Actualización de la lista de certificados raíz de confianza en Windows

Todas las versiones de Windows tienen una función integrada para actualizar automáticamente los certificados raíz desde los sitios web de Microsoft. MSFT, como parte del Programa de certificados raíz de confianza de Microsoft, mantiene y publica una lista de certificados de confianza para clientes y dispositivos Windows en su repositorio en línea. Si el certificado verificado en su cadena de certificación hace referencia a la CA raíz que participa en este programa, el sistema descargará automáticamente este certificado raíz de los servidores de Windows Update y lo agregará a los de confianza.

En este artículo, intentaremos descubrir cómo actualizar manualmente la lista de certificados raíz en TrustedRootCA en redes desconectadas (aisladas) o computadoras/servidores sin acceso directo a Internet.

Administrar certificados raíz de confianza en Windows 10 y 11

¿Cómo ver la lista de certificados raíz de confianza en una computadora con Windows?

1. Para abrir el almacén de certificados raíz de una computadora con Windows 11/10/8.1/7 o Windows Server 2022/2019/2016, ejecute la consola mmc.exe;

2. Seleccione Archivo-> Agregar o quitar complemento, seleccione Certificados (certmgr) en la lista de complementos -> Agregar ;

3. Seleccione que desea administrar los certificados de la cuenta de equipo local;

   

4. Siguiente -> Aceptar -> Aceptar;

5. Expanda el nodo Certificados -> Confianza Raíz Certificación Autoridades Tienda. Esta sección contiene la lista de certificados raíz confiables en su computadora.

En la consola mmc, puede ver información sobre cualquier certificado o eliminarlo de los confiables.

También puede obtener una lista de certificados raíz de confianza con sus fechas de vencimiento mediante PowerShell:

Get-Childitem cert:\LocalMachine\root |format-list

Puede enumerar los certificados caducados, o que caducan en los próximos 60 días:

Get-ChildItem cert:\LocalMachine\root|Where {$_.NotAfter -lt  (Get-Date).AddDays(60)}|select NotAfter, Subject

Puede transferir manualmente el archivo del certificado raíz entre computadoras con Windows usando las opciones Exportar/Importar.

1. Puede exportar cualquier certificado a un archivo .CER haciendo clic en él y seleccionando Todas las tareas -> Exportar;

   

2. Puede importar este certificado en otra computadora usando la opción Todas las tareas -> Importar.

   

¿Cómo deshabilitar/habilitar la actualización automática de certificados raíz en Windows?

Como mencionamos, Windows actualiza automáticamente los certificados raíz. Puede habilitar o deshabilitar la renovación de certificados en Windows a través de un GPO o el registro.

Abra el Editor de políticas de grupo local (gpedit.msc) y vaya a Configuración de la computadora -> Plantillas administrativas -> Sistema -> Administración de comunicación por Internet -> Comunicación por Internet.

La opción Desactivar la actualización automática de certificados raíz de esta sección le permite desactivar la actualización automática de certificados raíz a través de los sitios de Windows Update. De forma predeterminada, esta política no está configurada y Windows siempre intenta renovar automáticamente los certificados raíz.

Si esta opción de GPO no está configurada y los certificados raíz no se renuevan automáticamente, verifique si esta configuración está habilitada manualmente en el registro. Verifique el valor del parámetro de registro usando PowerShell:

Get-ItemProperty -Path 'HKLM:\Software\Policies\Microsoft\SystemCertificates\AuthRoot' -Name DisableRootAutoUpdate

Si el comando devuelve que el valor del parámetro de registro DisableRootAutoUpdate es 1, la actualización de los certificados raíz está deshabilitada en su computadora. Para habilitarlo, cambie el valor del parámetro a 0.

Certutil: descargue certificados raíz de confianza desde Windows Update

La herramienta CLI Certutil.exe se puede usar para administrar certificados (introducida en Windows 10, para Windows 7 está disponible como una actualización separada). Se puede usar para descargar una lista actualizada de certificados raíz de Windows Update y guardarla en un archivo SST.

Para generar un archivo SST en una computadora con Windows 10 u 11 y con acceso directo a Internet, abra el símbolo del sistema elevado y ejecute el comando:

certutil.exe -generateSSTFromWU C:\PS\roots.sst

Updated SST file.
CertUtil: -generateSSTFromWU command completed successfully.

Como resultado, aparecerá un archivo SST que contiene una lista actualizada de certificados raíz en el directorio de destino. Haz doble clic para abrirlo. Este archivo es un contenedor que contiene certificados raíz de confianza.

Como puede ver, se abre un complemento familiar de Administración de certificados, desde el cual puede exportar cualquiera de los certificados que tiene. En mi caso, ha habido 358 artículos en la lista de certificados. Obviamente, no es racional exportar los certificados e instalarlos uno por uno.

certutil -syncWithWU

Puede usar el script de PowerShell para instalar todos los certificados del archivo SST y agregarlos a la lista de certificados raíz de confianza en una computadora:

$sstStore = ( Get-ChildItem -Path C:\ps\rootsupd\roots.sst )
$sstStore | Import-Certificate -CertStoreLocation Cert:\LocalMachine\Root

Ejecute el complemento certmgr.msc y asegúrese de que todos los certificados se hayan agregado a la autoridad de certificación raíz de confianza. En mi ejemplo de Windows 11, la cantidad de certificados raíz aumentó de 34 a 438.

Lista de certificados de confianza (STL) en Windows

Una Lista de certificados de confianza (CTL) es simplemente una lista de datos (como hashes de certificados) que está firmada por una parte confiable (Microsoft en este caso). El cliente de Windows descarga periódicamente de Windows Update esta CTL, que almacena los valores hash de todas las CA raíz de confianza. Debe entenderse que esta CTL no contiene los certificados en sí, solo sus hashes y atributos (por ejemplo, Friendly Name). Los dispositivos Windows pueden descargar un certificado de confianza de la Lista de certificados de confianza a pedido.

Puede descargar e instalar manualmente el archivo CTL. Para hacerlo, descargue el archivo http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab (actualizado dos veces al mes). Con cualquier archivador (o incluso el Explorador de Windows), descomprima el contenido del archivo authrootstl.cab. Contiene un solo archivo authroot.stl.

El archivo Authroot.stl es un contenedor con una lista de huellas digitales de certificados de confianza en formato de lista de confianza de certificados.

Puede instalar este archivo CTL en una entidad emisora de certificados raíz de confianza con el comando certutil:

certutil -enterprise -f -v -AddStore "Root" "C:\PS\authroot.stl"

root "Trusted Root Certification Authorities"
CTL 0 added to store.
CertUtil: -addstore command completed successfully.

También puede importar certificados utilizando la consola de administración de certificados (Raíz de confianza Autoridades de certificación -> Certificados -> Todas las tareas -> Importar). Especifique la ruta a su archivo STL con huellas digitales de certificado.

Después de ejecutar el comando, aparece una nueva sección Lista de certificados de confianza en el contenedor Autoridades de certificación raíz de confianza de la consola del Administrador de certificados (

certmgr.msc

).

De la misma forma, puede descargar e instalar la lista de los certificados revocados (no permitidos) que han sido eliminados del Programa de Certificado Raíz. Para hacerlo, descargue el archivo disallowedcertstl.cab (http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab), extráigalo y agregue al almacén de certificados no confiables con el comando:

certutil -enterprise -f -v -AddStore disallowed "C:\PS\disallowedcert.stl"

Actualización de certificados raíz de confianza a través de GPO en un entorno aislado

Si tiene la tarea de actualizar periódicamente los certificados raíz en un dominio de Active Directory aislado de Internet, existe un esquema un poco más complicado para actualizar los almacenes de certificados locales en equipos unidos a un dominio mediante políticas de grupo. Puede configurar actualizaciones de certificados raíz en las computadoras de los usuarios en las redes de Windows desconectadas de varias maneras.

La primera asume que usted descarga y copia manualmente con regularidad un archivo con certificados raíz a su red aislada. Puede descargar el archivo con los certificados raíz de Microsoft actuales de la siguiente manera:

certutil.exe -generateSSTFromWU roots.sst

Luego, los certificados raíz de este archivo se pueden implementar a través de SCCM o el script de inicio de PowerShell en GPO:

$sstStore = (Get-ChildItem -Path \\fr-dc01\SYSVOL\a-d.site\rootcert\roots.sst )
$sstStore | Import-Certificate -CertStoreLocation Cert:\LocalMachine\Root

La segunda forma es descargar los certificados raíz de Microsoft usando el comando:

Certutil -syncWithWU -f \\fr-dc01\SYSVOL\a-d.site\rootcert\

Aparecerán varios archivos de certificado raíz (formato de archivo CRT) en la carpeta de red compartida especificada (incluidos los archivos authrootstl.cab, disallowedcertstl.cab, disallowedcert.sst, thumbprint.crt).

Luego use las Preferencias de directiva de grupo para cambiar el valor del parámetro de registro RootDirURL en HKLM\Software\Microsoft\SystemCertificates\AuthRoot\AutoUpdate. Este parámetro debe apuntar a la carpeta de red compartida desde la cual sus computadoras con Windows recibirán nuevos certificados raíz. Ejecute la consola del dominio GPMC.msc, cree un nuevo GPO, cambie al modo de política de edición y expanda la sección Configuración del equipo -> Preferencias -> Configuración de Windows -> Registro. Cree una nueva propiedad de registro con la siguiente configuración:

• Acción: Actualizar

• Colmena: HKLM

• Ruta de clave: Software\Microsoft\SystemCertificates\AuthRoot\AutoUpdate

• Nombre del valor: RootDirURL

• Tipo: REG_SZ

• Datos de valor: archivo://\fr-dc01\SYSVOL\a-d.site certificado\

Queda por vincular esta política en la unidad organizativa de una computadora y, después de actualizar la configuración de GPO en el cliente, buscar nuevos certificados raíz en el almacén de certificados.

¿Cómo actualizar los certificados raíz de confianza en Windows 7?

A pesar de que Windows 7 se encuentra ahora en la fase de finalización del soporte, muchos usuarios y empresas aún lo utilizan.

Después de instalar una imagen limpia de Windows 7, es posible que muchos programas y herramientas modernos no funcionen en ella, ya que están firmados con nuevos certificados. En particular, ha habido quejas de que .Net Framework 4.8 o Microsoft Visual Studio (vs_Community.exe) no se pueden instalar en Windows 7 SP1 x64 sin actualizar los certificados raíz.

The installer manifest failed signature validation.

O

NET Framework has not been installed because a certificate chain could not be built to a trusted root authority.

Para actualizar los certificados raíz en Windows 7, primero debe descargar e instalar la actualización de MSU KB2813430 (https://support.microsoft.com/en-us/topic/an-update-is-disponible-that-enables-administrators-to-update-trusted-and-disallowed-ctls-in-disconnected-environments-in-windows-0c51c702-fdcc-f6be-708 9-4585fad729d6)

Después de eso, puede usar certutil para generar un archivo SST con certificados raíz (en la computadora actual o en otra):

certutil.exe -generateSSTFromWU c:\ps\roots.sst

Ahora puede importar certificados a los de confianza:

Ejecute MMC -> agregar complemento -> certificados -> cuenta de computadora> computadora local. Haga clic con el botón derecho en Autoridad de certificación raíz de confianza, Todas las tareas -> Importar, busque su archivo SST (en el tipo de archivo, seleccione Tienda de certificados serializados de Microsoft — *.sst) -> Abrir -> Coloque todos los certificados en lo siguiente tienda -> Autoridades de certificación raíz de confianza.

Actualización de certificados raíz en Windows XP mediante la herramienta Rootsupd.exe

En Windows XP, la utilidad rootsupd.exe se usaba para actualizar los certificados raíz de la computadora. La lista de certificados raíz y revocados se actualizó periódicamente. La herramienta se distribuyó como una actualización separada KB931125 (Actualización para certificados raíz). Veamos si podemos usarlo ahora.

1. Descargue la utilidad rootsupd.exe usando el siguiente enlace http://download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/rootsupd.exe. Por el momento (enero de 2021) el enlace no funciona, Microsoft decidió eliminarlo del público. Hoy puede descargar rootsupd.exe desde el sitio web de Kaspersky: http://media.kaspersky.com/utilities/CorporateUtilities/rootsupd.zip;

2. Para instalar los certificados raíz de Windows, simplemente ejecute el archivo rootsupd.exe. Pero intentaremos examinar su contenido con más detenimiento. Extraiga los certificados del archivo ejecutable con el comando:

   rootsupd.exe /c /t: C:\PS\rootsupd

   

3. Los certificados se almacenan en archivos SST, como authroots.sst, delroot.sst, etc. Para eliminar o instalar certificados, puede usar los siguientes comandos:

   updroots.exe authroots.sst
   updroots.exe -d delroots.sst

Sin embargo, como puede ver, estos archivos de certificado se crearon el 4 de abril de 2013 (casi un año antes del fin del soporte oficial para Windows XP). Por lo tanto, desde entonces la herramienta no se ha actualizado y no se puede utilizar para instalar certificados actualizados.

Pero puede usar la herramienta cerutil en Windows 10/11 para descargar root.sst, copiar ese archivo en Windows XP e instalar el certificado usando updroots.exe:

updroots.exe c:\temp\roots.sst

En este artículo, analizamos varias formas de actualizar los certificados raíz de confianza en las computadoras de la red de Windows que están aisladas de Internet (entorno desconectado).