Windows Certificate Stores (Certyfikaty Systemowe): Gdzie Windows przechowuje zaufane certyfikaty i jak nimi zarządzać?

Windows Certificate Stores (Certyfikaty Systemowe) to nic innego jak logiczne magazyny cyfrowych certyfikatów, kluczy prywatnych i list odwołanych certyfikatów (CRL), które system Windows i aplikacje wykorzystują do uwierzytelniania, szyfrowania i podpisywania cyfrowego. To tam Windows trzyma wszystkie swoje „dowody zaufania”. Bez tych certyfikatów większość bezpiecznej komunikacji, którą dziś znamy – strony internetowe, VPN-y, bezpieczne Wi-Fi – po prostu by nie działała.

Co to są Windows Certificate Stores i gdzie je znajdziesz?

Zacznijmy od tego, że nie jest to pojedynczy folder, który można sobie otworzyć w Eksploratorze. To nie taka prosta sprawa. Windows Certificate Stores to raczej zbiór logicznych magazynów, zarządzanych przez system. Główne miejsce, gdzie możesz je zobaczyć i nimi zarządzać, to narzędzie Menedżer Certyfikatów (certmgr.msc). Wpisz `certmgr.msc` w menu Start i tam masz to wszystko jak na dłoni.

Same certyfikaty i związane z nimi dane są przechowywane w rejestrze systemowym, głównie w gałęziach `HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SystemCertificates` (dla certyfikatów maszynowych, które dotyczą wszystkich użytkowników) oraz `HKEY_CURRENT_USER\SOFTWARE\Microsoft\SystemCertificates` (dla certyfikatów specyficznych dla zalogowanego użytkownika). Fizycznie, klucze prywatne i certyfikaty mogą również siedzieć w zaszyfrowanych plikach baz danych w różnych miejscach, np. w `C:\ProgramData\Microsoft\Crypto\RSA\MachineKeys` czy w profilach użytkowników, ale to już głębsze zakamarki, do których zwykły śmiertelnik nie powinien się pchać. Serio, nie grzeb tam.

Do czego służą i co zawierają?

Magazyny certyfikatów są fundamentem bezpieczeństwa. Zapewniają, że komunikujesz się z tym, z kim myślisz, że się komunikujesz, i że twoje dane są chronione. Zawierają kilka typów magazynów, z których najważniejsze to:

• Zaufane główne urzędy certyfikacji (Trusted Root Certification Authorities): To absolutna podstawa. Tu znajdują się certyfikaty głównych urzędów certyfikacji (CA), którym Windows ufa bezwarunkowo. Jeśli przeglądarka widzi certyfikat strony WWW, którego łańcuch zaufania prowadzi do jednego z tych korzeni, to uznaje stronę za bezpieczną. Usuniesz coś stąd? Masakra.
• Urzędy certyfikacji pośrednie (Intermediate Certification Authorities): Te certyfikaty tworzą mosty zaufania między certyfikatami końcowymi (np. strony WWW) a certyfikatami głównymi.
• Osobiste (Personal): Tutaj trafiają twoje własne certyfikaty, często używane do podpisywania e-maili, logowania się do VPN-ów czy innych zasobów wymagających uwierzytelniania osobistego.
• Zaufani wydawcy (Trusted Publishers): Certyfikaty wydawców oprogramowania, którym ufasz. Kiedy instalujesz program, Windows może sprawdzić jego podpis cyfrowy tutaj.
• Certyfikaty niezaufane (Untrusted Certificates): Magazyn na certyfikaty, które system (lub ty) jawnie odrzucił jako niezaufane. Dobra sprawa.

Czy można je usunąć/przenieść i co się stanie?

Tak jak już wspomniałem, to nie jest tradycyjny folder do usunięcia czy przeniesienia. Usunąć możesz pojedyncze certyfikaty, ale zrobienie tego w niewłaściwy sposób to przepis na katastrofę.

• Usunięcie certyfikatów z „Trusted Root Certification Authorities”: Automatycznie przestaną działać zabezpieczone strony internetowe (SSL/TLS), aplikacje przestaną się łączyć z usługami online, a system może zgłaszać błędy bezpieczeństwa wszędzie, gdzie używana jest kryptografia. Bez kitu, to jest jak wyjęcie bezpieczników z całego domu. Nie rób tego.
• Usunięcie certyfikatów „Personal”: Stracisz dostęp do zasobów, do których logowałeś się za pomocą tych certyfikatów (np. VPN firmowy, zaszyfrowana poczta).
• Usunięcie innych certyfikatów: Może to prowadzić do błędów uwierzytelniania dla konkretnych aplikacji czy usług.

Moim zdaniem, jeśli nie wiesz, co robisz, to lepiej w ogóle tego nie dotykać.

Typowe problemy z tym folderem (magazynem)

Problemy z certyfikatami to nic nowego. Widziałem ich w cholerę przez lata:

• Wygasłe certyfikaty: Najczęściej spotykany problem. Brak dostępu do stron, usług, bo certyfikat po prostu stracił ważność.
• Brakujące lub uszkodzone certyfikaty: Może to wynikać z nieprawidłowej instalacji oprogramowania, błędów systemu, a nawet wirusów. Skutek: błędy uwierzytelniania, brak zaufania.
• Instalacja niezaufanego certyfikatu: Zdarza się, że ktoś nieświadomie zainstaluje certyfikat, który nie pochodzi od zaufanego urzędu. To może otworzyć furtkę dla ataków Man-in-the-Middle, przechwytywania danych.
• Zbyt wiele certyfikatów: Chociaż rzadko powoduje poważne problemy, czasem nadmiar starych, nieużywanych certyfikatów może minimalnie spowalniać system, gdy ten musi je przeszukiwać.

Kiedy warto go wyczyścić?

„Wyczyścić” to mocno powiedziane. Bardziej „uporządkować”.

• Po odinstalowaniu starego oprogramowania lub VPN-u: Czasem zostają po nich niepotrzebne certyfikaty, zwłaszcza w magazynie „Personal” lub „Intermediate Certification Authorities”. Można je bezpiecznie usunąć, jeśli wiesz, że były związane tylko z tym, co odinstalowałeś.
• Gdy certyfikat firmowy wygaśnie i zostanie zastąpiony nowym: Stare, wygasłe certyfikaty możesz usunąć (po upewnieniu się, że nowy działa poprawnie).
• Podczas diagnostyki problemów z połączeniami SSL/TLS: Jeśli masz problemy z dostępem do bezpiecznych stron czy usług, warto zajrzeć do magazynów certyfikatów i sprawdzić, czy nie ma tam jakiegoś podejrzanego wpisu lub czy nie brakuje czegoś kluczowego (nie pytaj skąd wiem, że to bywa ratunkiem).
• Nigdy nie czyść magazynu „Trusted Root Certification Authorities” bez absolutnej pewności i kopii zapasowej. To jest ostatnia deska ratunku.

Reszta to już detale. To, co zrobisz z tą wiedzą — twoja sprawa.

Najczęstsze pytania

Czy mogę usunąć wszystkie certyfikaty z magazynu „Trusted Root Certification Authorities”?

Nie. Usunięcie tych certyfikatów spowoduje, że system operacyjny przestanie ufać większości bezpiecznych połączeń, co uniemożliwi przeglądanie stron HTTPS, korzystanie z wielu aplikacji i usług online.

Jak sprawdzić, czy mam wygasłe certyfikaty?

Możesz uruchomić `certmgr.msc`, przejść przez poszczególne magazyny (szczególnie „Personal” i „Intermediate Certification Authorities”) i sprawdzić kolumnę „Data wygaśnięcia”.

Co zrobić, jeśli przypadkowo usunąłem ważny certyfikat?

Jeśli usunięto certyfikat użytkownika („Personal”), zazwyczaj można go ponownie zaimportować z pliku PFX (jeśli masz jego kopię). W przypadku certyfikatów systemowych, czasem konieczne jest przywrócenie systemu z kopii zapasowej lub ponowna instalacja oprogramowania, które je dostarczało.