Увімкнення підтримки SHA2 сертифікатів на Windows Server 2003

11

Спочатку трохи довідкової інформації. У мене є пакет SSIS, який працює в 32-бітному середовищі Windows Server 2003 SP2. Пакет нещодавно почав виходити з ладу із наступною помилкою під час виконання сценарію, який завантажує веб-сторінку за допомогою SSL-з'єднання:

"The underlying connection was closed: Could not establish trust relationship for the SSL/TLS secure channel.

Деяке копання виявило декілька речей: я також не міг отримати доступ до спірного веб-сайту, використовуючи IE8 із сервера (я можу з Firefox), і веб-сайт щойно видав новий сертифікат SHA256.

Після деяких досліджень моє теперішнє припущення полягає в тому, що проблема в тому, що я не маю підтримки для сертифікатів SHA2 на цьому сервері. Я схопив сертифікат з сайту і побіг, CertUtil -verify [cert file]який дає такий результат:

 The signature of the certificate can not be verified. 0x80096004 (-2146869244)

Я знайшов пару виправлень від Microsoft, і, наскільки я розумію, будь-яка з них повинна включати підтримку сертифікатів SHA2:

Тож я запитав виправлення для kb968730 і спробував його встановити, але отримав таку помилку:

The installation cannot continue because the following packages might not be valid:
    KB2616676_V2 c:\windows\system32\dllcache\crypt32.dll 5.131.3790.4905
    KB2616676_V2 c:\windows\system32\crypt32.dll          5.131.3790.4905
Reinstall the packages listed above, and then reinstall KB968730

Версія бібліотеки crypt32, яка входить до виправлення, дорівнює 5.131.3790.4477, що пояснює, чому інсталятор не буде працювати.

На даний момент я не зовсім впевнений, що мені потрібно зробити. Стаття kb968730 вказує, що crypt32.dll - єдиний файл, який оновлюється виправленням, що змушує задуматися, оскільки я вже нову версію, чи не маю я вже цього функціоналу? Але, здавалося б, я цього не роблю, якщо я не помиляюся про першопричину проблеми.

windows-server-2003 ssl-certificate hash

— grin0048
джерело

Ви спробували зробити те, що було сказано, та перевстановити перераховані вище пакети ?

— Майкл Хемптон

1

Я не маю. Я трохи замислився над цим повідомленням про помилку, і це звучить так, що ви отримаєте, якщо намагатиметесь встановити пакети, старші за ті, які у вас вже є.

— grin0048

Ця відповідь Google призводить до правильних виправлень, проте завантаження виправлень за замовчуванням стосується 64-розрядної версії Server 2003 . Якщо ви отримаєте помилку, що файл призначений для іншої архітектури, натисніть посилання, щоб відобразити всі мови та версії, і ви можете завантажити пакет x86. Пряме посилання на 32-розрядне виправлення Server 2003 та SBS 2003 - це hotfixv4.microsoft.com/Windows%20Server%202003/sp3/Fix262679/…

— вироджене

Це було використано для усунення та усунення проблеми за допомогою: dps.ws.hmrc.gov.uk/dpsauthentication/service Особливо той факт, що він не завантажується в IE8 (на більшості серверних машин Windows 2003 деякі з наших клієнтів)

— reckface

4

Версія Crypt32.dll 5.131.3790.5235 виправляє проблему (після перезавантаження). Він доступний на веб-сайті http://support2.microsoft.com/kb/2868626

Раніше встановлена версія була версією 5.131.3790.5014, і це не вирішило проблему. Відповідно до цієї публікації ( https://mendel129.wordpress.com/tag/crypt32-dll/ ), є два варіанти версії 5014: один із оновлення Windows (KB2661254, не працює) та інший як QFE (KB968730 ).

— Фу
джерело

2

Цю проблему вирішено, встановивши KB3072630 , який встановлюється автоматично, якщо у вас включено оновлення Windows. Номер версії Crypt32.dll після оновлення 5.131.3790.5668.

KB938397 та KB968730 застаріли та замінені вище оновленням.

— Vinix
джерело

0

Я також отримав цю помилку. Я б заздалегідь встановив сертифікат на призначений сервер і отримав цю помилку. Моє рішення полягало в тому, що мені потрібно було йти вперед і встановлювати кореневий / проміжний сертифікат на кожному сервері, який викликав цей конкретний сертифікат. Це, мабуть, тому, що я щойно оновив свій внутрішній КА.

Отже, якщо є X кількість серверів, які дзвонять до цього сертифіката, встановіть його на цих серверах. Це вирішило мою проблему.

— Senciso
джерело

Хоча ви отримали те саме повідомлення про помилку, у вас виникла інша проблема. Ваша відповідь не допомагає ввімкнути підтримку SHA2 на Windows Server 2003. Можливо, вам буде краще знайти питання, яке більш відповідає вашому відповіді.

— Ladadadada