Как изменить алгоритм подписи в центре сертификации?

Question

[Игорь Кривинцов]

Добрый день, подскажите как изменить алгоритм хеш подписи. Я сделал запрос на генерацию сертификата в Exchenge сервере. Хеш функцию скопировал в запрос CSR , но система пишет что необходим алгоритм SHA 2 , не пойму как переключить режим.
Пробовал по этой статье, но что то не выходит https://www.bulygin.su/2016/04/sha1-sha256-windows...

Comments

[Максим Гришин]

Для начала проверьте сам запрос, вдруг там SHA1. И для полноты картины после изменения настроек в реестре перезагрузите сервер и проверьте, что настройки сохранились. Если нет, ищите что меняет.

[Игорь Кривинцов]

Максим Гришин,
Сервер перезапустил, там все норм
C:\Users\admin>certutil -getreg ca\csp\CNGHashAlgorithm
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CertSvc\Configuration\la-DC-CA\csp:

CNGHashAlgorithm REG_SZ = SHA256
CertUtil: -getreg — команда успешно выполнена.

C:\Users\admin>

а Как запрос проверить?, подскажите

[Роман Безруков]

Игорь Кривинцов, корневой сертификат перевыпускали после изменений алгоритма ?

[Максим Гришин]

Игорь Кривинцов, попробуйте certutil -dump file.csr -v, должно показать помимо прочего какие алгоритмы запрошены при создании запроса. Если там хэш-алгоритм SHA1, нужно пересоздать запрос.

[Игорь Кривинцов]

Роман Безруков, Нет , не перевыпускал, по статье как написано прошел только и все

[Роман Безруков]

Игорь Кривинцов, шаг 4 в статье - надо перевыпустить

[Игорь Кривинцов]

Роман Безруков, А, про этот шаг, да , я его делал.

[Роман Безруков]

Игорь Кривинцов, а запрос для Exchange со старыми ключами генерировали, т.е. перевыпуск или абсолютно новый ? повторно отправляли запрос в ЦС?

[Игорь Кривинцов]

Роман Безруков, запрос делал новый , мне не совсем понятно , с какими ключами имеете ввиду . Я впервые делаю сертики. Иду по шагам как в статье https://firstssl.ru/faq/csr-for-exchange2016?yscli...
Только на последнем шаге система просит sha 2 а у меня sha 1

[Роман Безруков]

Игорь Кривинцов, запрос проверяли, как советовал Максим Гришин? есть в выводе упоминания SHA1? Если есть - создаете новый запрос и отправляете в ЦС, если нет - просто отправляете запрос в ЦС

[Игорь Кривинцов]

Максим Гришин, В запросе в алгоритмах шифрования везде указан sha1 , как указать на sha 2 ?

[Игорь Кривинцов]

Роман Безруков, sha 1 в запросе указан, но как указать sha 2 есть при создании запроса нигде нет возможности указать что использовать sha2 а не sha 1

[Роман Безруков]

Игорь Кривинцов, создайте новый запрос

[Игорь Кривинцов]

Роман Безруков, создавал уже несколько раз, и везде sha 1 указан

[Роман Безруков]

Игорь Кривинцов, Запрос - это всего лишь описание вашего сервиса/сайта/домена, в котором также можно указать требуемую длину ключа и необходимый шаблон сертификата. Все остальное (алгоритмы шифрования, криптопровайдеры, политики выдачи, типы сертификатов и т.д.) определяется и устанавливается центром сертификации.
Вы создали запрос - что происходит при отправке запроса в ЦС (по сути, команда certutil -submit csrfile cerfile), какая ошибка возникает?

есть Signature Hash Algorithm - он должен быть SHA256;
есть Thumbprint Algorithm - он всегда SHA1

[Alexey Dmitriev]

Стоит вообще проверить что в условиях\настройках шаблона, по которому вы выпускаете сертификат.

[Игорь Кривинцов]

Роман Безруков, Добрый день, ошибок нет, запрос делаю, все данные указываю, получаю на выходе файл с хеш, пробую открывать его командой certutil , а там как обычно стоит sha 1. Нашел в интернете статью, о том что в каких то начальных версиях exchenge был такой баг, что он всегда sha 1 выдавал запрос. Попробовал накатить обновления , но не помогло. https://support.microsoft.com/ru-ru/topic/%D1%81%D...

[Игорь Кривинцов]

Роман Безруков, Когда я создал запрос у меня появился файл запроc.req , я его открываю блокнотом , там есть хеш функция, ее я копирую и перехожу на сайт где у меня есть ssl сертификат. Его я переиздаю , там есть поле где я должен вставить свою хеш функцию. Вставляю и получаю ошибку что у меня sha 1.
Вопрос.
Я должен обратится к своему локально установленному ЦС ? зачем если по инструкции готовый файл запрос.req я должен скопировать в форму для переиздания сертификата на сайте reg.ru

[Роман Безруков]

Игорь Кривинцов, Запрос не определяет ни условия выдачи, ни алгоритмы шифрования. В запросе Вы описываете субъект (сферического коня в вакууме), которому нужно цифровое удостоверение с конкретными именами, определенной длиной ключа, сроком действия и назначениями (Client/Server Authentication и т.д.). А уже ЦС определяет, может ли он выдать такой сертификат или нет.
В приведенной статье речь идет про самоподписанные сертификаты, которые создаются при установке Exchange - их не надо трогать вообще, Exchange с ними работает сам.
Озвучьте номер билда вашего Exchange.

файл запроc.req , я его открываю блокнотом , там есть хеш функция

это не хэш-функция, это ваш запрос в кодировке Base64.

Я должен обратится к своему локально установленному ЦС

процедура запроса сертификатов одинакова для внутреннего ЦС и коммерческого ЦС

по инструкции готовый файл запрос.req я должен скопировать в форму для переиздания сертификата на сайте reg.ru

обычно в такой случае запрос формируется другими способами, а не средствами Exchange, ну и часто запрашивается wildcard-сертификат, который потом просто импортируется на сервера Exchange и привязывается к его сервисам (IIS, SMTP).

Вставляю и получаю ошибку что у меня sha 1

покажите ошибку

[Игорь Кривинцов]

Роман Безруков,

Я все делаю на тестовом стенде, никогда не занимался ни exchenge ни сертиками. У меня есть домен ch-tambov, там предложили бесплатный сертификат, я вот решил попробовать его разместить.

[Роман Безруков]

Игорь Кривинцов, тогда просто закажите там сертификат и потом импортируйте его в Exchange - запрос прямо на сайте reg.ru генерируйте, закрытый ключ пометьте как экспортируемый

[Игорь Кривинцов]

Роман Безруков, Так и сделал, спасибо.
Подскажи пожалуйста, если например у меня в лок сети домен la.local а внешний домен ch-tambov.ru , у меня почта идет на отправку с стенда где домен la.local а обратно не идет, пишет что не знает такого la.local "Host or domain name not found. Name service error for
name=la.local type=AAAA: Host not found" , как сделать чтобы работало? и на будущее я так понимаю что одинаковых имен во внешней зоне и внутренней нельзя делать, верно?

[Роман Безруков]

Игорь Кривинцов, ну у вас снаружи торчит ch-tambov.ru, а внутри la.local - это классическая организация...чтобы почта ходила, нужно правильно настроить внешний и внутренний ДНСы - для Exchange нужны Pinpoint DNS или Split DNS:
Configure external DNS for Exchange
Configure internal DNS for Exchange
Configure mail flow and client access on Exchange ...

[Игорь Кривинцов]

Роман Безруков, Роман , добрый день, встречалась ли вам такая ошибка, не могу зайти в центр управление Exchenge 2016, по адреce центра перехожу, ввожу логин и пароль, потом появляется страница с текстом
Страница недоступнаСайт exchenge пока не может обработать этот запрос.
HTTP ERROR 500
пробовал пересоздавать вирт каталоги , но тщетно. Были в интернете стать, с указанием проверить переменную , вроде все верно.
Все началось после того как я установил второй exchenge и введ его в домен, создал записи A в днс зонах. зоны удалил , но проблема осталась

[Роман Безруков]

Игорь Кривинцов, встречалась - много раз, по разным причинам.
В качестве совета: вашей организации, видимо, надо нанять инженера, знающего Exchange, вам в помощь, чтобы совместно с ним настроить ваш Exchange, заодно еще и научитесь...