Cria automaticamente Certificados de Nome Alternativo de Assunto (SAN)

Question

Estamos executando uma CA corporativa no Windows 2008R2. Acabei de fazer uma atualização para o windows 7 na minha estação de trabalho. Agora, toda vez que eu me conecto a um servidor remoto usando o rdp, recebo um aviso informando que o servername está errado. Isso ocorre porque eu uso apenas o nome do host para conexão e o certificado é criado usando o fqdn.

Os certificados nos servidores foram criados usando o registro automático com um modelo baseado no modelo do computador.

Existe uma maneira de incluir automaticamente o nome do host como um nome alternativo de assunto (san) e ainda usar o registro automático? Gostaria que os certificados de registro automático tivessem server e server.domain.local como um nome válido.

    

Answer 1

Você precisaria criar um novo modelo de certificado de Computador com a opção Nome do Assunto: Fornecer na solicitação selecionada. Você precisará fornecer o nome do assunto e o nome do assunto alternativo na solicitação.

Infelizmente, não há como registrar automaticamente essa opção, pois os Serviços de Certificados do Windows só permitem o uso do nome DNS ou do SPN para o alternativo.

Como um aparte, fazer algo assim não seria considerado uma prática recomendada de segurança, já que um invasor pode executar ataques man-in-the-middle com um certificado falsificado.