O que é uma âncora de confiança válida no Windows 7 relacionada ao Wifi?

Question

O erro abaixo começou a acontecer no trabalho com um laptop pessoal executando o Windows 7 Ultimate. Não consigo usar certificados instalados e não expirados para se conectar a uma rede sem fio privada. Nenhuma mudança recente foi feita pela TI que explicaria o problema. Funcionou bem há algumas semanas e acontece em dois laptops que eu possuo.

Os detalhes e algumas capturas de tela estão disponíveis aqui :

O erro que não entendemos é este:

The credentials provided by the server could not be validated. We recommend that you terminate the connection and contact your administrator with the information provided in the details. You may still connect but doing so exposes you to the security risk by a possible rogue server.

The server XYZ presented a valid certificate issued by Company Name Certificate Authority but Company Name Certificate Authority is not configured as a valid trust anchor for this profile.

Não sabemos resolver o problema sem ignorar o erro (nem o que mudou que possa explicar este novo erro).

A nova informação é que temos nossa própria autoridade de certificação raiz e que os certificados não foram atualizados recentemente nem expiraram.

    

Answer 1

Corri o mesmo problema. Encontrei a resposta.

1. Vá para o Painel de controle > Rede e Internet > Gerenciar redes sem fio.

2. Abra a rede sem fio. Ou clique no botão "Adicionar" para criar uma nova rede e, em seguida, abra-a.

3. A janela Propriedades da rede sem fio é exibida. Clique na guia Segurança.

4. Em "Escolher um método de autenticação de rede", selecione "Microsoft: Smart Card ou outro certificado". Eu suponho que isso já esteja selecionado.

5. Clique no botão "Configurações".

6. A janela "Cartão inteligente ou outras propriedades do certificado" é exibida.

7. Aqui está a resposta. Na lista "Autoridades de certificação raiz confiáveis", você precisa selecionar manualmente a CA raiz da sua empresa. Por padrão, todos estão em branco. É por isso que a mensagem de aviso é exibida na primeira vez se você não selecionar a CA raiz da sua empresa. Se você se conectar apesar do aviso, a CA raiz da sua empresa será selecionada e você não receberá mais o aviso nas conexões subsequentes. Assim, para evitar o aviso, basta selecionar esta caixa quando você configurar a rede, antes de se conectar pela primeira vez.

8. Se você não vir a CA de raiz da sua empresa, isso provavelmente se deve ao fato de que, por padrão, clicar duas vezes no certificado para instalá-lo provavelmente o coloca na guia "Autoridades de certificação intermediárias". Você precisa selecionar a guia "Autoridades de Certificação Raiz Confiáveis". Você pode ver onde os certificados vão abaixo: Internet Explorer > Opções da Internet > Conteúdo > Certificados

Answer 2

A maneira como um certificado SSL é autenticado como válido é seguindo uma cadeia de confiança. Seja qual for cert que sua empresa está usando para proteger wifi é então validado contra (pelo menos) um certificado intermediário que verifica se é legítimo. Esse certificado intermediário, por sua vez, é autenticado contra um certificado raiz de uma empresa verificada e confiável.

A forma como os certificados raiz são validados como autênticos e confiáveis é que a Microsoft cria confiança no Windows para certos certificados, mas essas raízes geralmente estão desatualizadas e não possuem alguns dos principais players do jogo SSL cert. A Verisign e a Thawt geralmente não têm problemas, mas a Digicert (Entrust.net) é uma grande empresa cert SSL que não é confiável pelo Windows para 802.1x (que eu suponho que seu wifi esteja usando para autenticar com base nas capturas de tela fornecidas ). Isso significa que o certificado provavelmente é válido, mas seu computador não sabe confiar nele. Você pode certamente importar esse certificado raiz como um certificado confiável para que não seja mais solicitado. Eu entraria em contato com o administrador do sistema para saber como fazer isso.

Isso pode ser causado pela expiração de um certificado intermediário ou raiz, caso sua empresa use sua própria CA ou emitindo um novo certificado raiz e não o implantando para você.

    

Answer 3

Eu cheguei exatamente ao mesmo ponto. Se eu aceitar o aviso de certificado, um prompt de ID do usuário / senha será exibido. Se eu inserir meu ID do usuário (o nome comum do certificado do cliente - não deveria ter que inseri-lo) e deixar a senha em branco, conecto-me com êxito. Muito estranho e não como era antes.

Editar. Tudo classificado. Eu tinha inserido manualmente um perfil de rede sem fio e usei um nome de minúscula, enquanto o sem fio corporativo começa com uma letra maiúscula. Minha conexão bem-sucedida mencionada anteriormente não estava usando meu perfil criado manualmente. Uma vez que eu defini um perfil com nome correto, tudo funcionou como costumava.