Hoe exporteer/importeer ik al mijn certificaten?

[Handy-man]

Ik ben bezig met een standaard image maken voor de uitrol naar meerdere laptops.

Nu wil ik hier voor alle certificaten hebben die mijn computer rijk is. (een paar 100)
Niet 1 voor 1 maar in 1 keer export naar een bestand en weer terug naar de VM omgeving weer importeren.

ik heb dit geprobeert:

http://www.wintools.com.au/certexport.php
word er niet wijs uit,

http://www.jamesbannanit....ificates-with-powershell/
En deze gaat proberen naar het domein te gaan om ze daar op te halen.

Heeft iemand een goed idee?

Vriendelijke groet,
Handy-man

[Room42]

Ik moet wat aannames doen over het type certificaat dat je wilt exporteren en het OS, maar ik zou het met Powershell proberen. Via Google vond ik: Export-PfxCertificate.

[RobIII]

Waar hoort mijn topic?

Programming >> Client Software Algemeen

[Jester-NL]

Voordat je jezelf een bak overbodig werk op je hals haalt... over welke /wat voor certificaten hebben we het?

Mijn ervaring is namelijk dat ieder OS zo'n beetje alle benodigde root-certificaten standaard in huis heeft. Deze worden geüpdate via systeemupdates (indien nodig).
Intermediate certificaten horen over het algemeen aangeleverd te worden door de server die er gebruik van maakt, en worden vaak gecached.

Blijft over je persoonlijke certificaten. Als dat er enige honderden zijn, dan heb je een uitdaging. Die moet je namelijk (inclusief private key) gaan back-uppen naar .pfx en daarna weer (laten) uitpakken.
Maar goed, ik weet niet of het handig is om -tig certificaten in zijn geheel onderdeel te laten zijn van een standaard image...

[edit] Bedenk je ook dat Firefox (als daar gebruik van wordt gemaakt) een eigen certificaat-store gebruikt, en dat persoonlijke certificaten die wel in Firefox staan, niet noodzakelijkerwijs ook in de Windows-store staan... en omgekeerd.

[ Voor 15% gewijzigd door Jester-NL op 10-11-2016 07:56 . Reden: Aanvulling ]

[Handy-man]

Dank jullie wel!

Er zijn certificaten samen uit verschillende groepen.
Nog niet mee die certificaten mee genomen die je op intenet oploopt.
trusted root: 31
intermediate: 13
Third-Pary root:24

Probleem hier is dat het netwerk windows 7 is en de laptops windows 10 zijn.
Ik heb iets gevonden waar ik nu mee ga spelen om uit te vinden of dit iets oplost of dekkent is voor alles wat ik nodig heb.
Maar tips and tricks zijn altijd welkom.

Bedankt alvast.

[Jester-NL]

Handy-man schreef op donderdag 10 november 2016 @ 10:27:
Dank jullie wel!

Er zijn certificaten samen uit verschillende groepen.
Nog niet mee die certificaten mee genomen die je op intenet oploopt.
trusted root: 31
intermediate: 13
Third-Pary root:24

Ik zou geen tijd steken in het overzetten van deze certificaten. Nogmaals... de root-certificaten komen met je OS mee, en de intermediates worden aangeleverd door de sites die van een certificaat gebruik maken.
Daarnaast is er geen verschil tussen hoe Win 7 en Win 10 met certificaten omgaan. Vooralsnog lijkt het op uilen naar Athene brengen...

[MrTre]

Kan, maar het zou nog kunnen dat Handy-man 31 private CA's enzo heeft, onwaarschijnlijk maar mogelijk.

Anyway, als je vraag gaat over een zakelijke omgeving (lijkt mij wel als ik het zo lees) zal er zeer waarschijnlijk een Active Directory zijn, gebruik dan lekker een GPO om de certificaten te pushen. Immers, als er een cert bij komt of verloopt en vervangen wordt hoef je 'm alleen in het GPO aan te passen ipv heel je image.

zal

[Handy-man]

Bedankt voor de reacties,
Ik eerst de standaart export geprobeert en die neemt niet alles over.

trusted root: 27
intermediate: 0
Third-Pary root:24

ik heb geen recht om maar iets te doen op de GPO.
Er is wel een AD maar hier kan ik geen gebruik van maken bij het maken van de image.

Dus het moet wel een script gaan worden of een leuke app. als iemand iets weet, dan is de oplossing altijd welkom.

[MrTre]

Waarom niet?
Scriptje kan, powershell kan het vast ook. Maar dan nog, lijkt het mij leuk om inderdaad antwoord te krijgen waarom deze certificaten van/voor zijn en waarom ze nog niet standaard in het os zitten.

Het begint te ruiken alsof we een oplossing voor je stage-opdracht ofzo moeten verzinnen. :-)
Meedenken: ja-leuk, maar voorkauwen, nee-lijkt-me-niet-de-bedoeling.

[Handy-man]

thanks MrTre, zou kunnen dat iets dergelijks al eens bij iemand voor handen is gekomen en die een oplossing heeft gevonden en deze wil delen. Ik ben natuurlijk wel gewoon opzoek naar de oplossing.
Mocht ik die vinden deel ik deze.

Probleem is de erfenis van oude systemen / applicaties die nu nog in een 32bit besturing systeem draaien.
De certificaten worden niet standaart mee geleverd.

[akimosan]

Over welke certificaten hebben we het dan? Dat is nog steeds niet duidelijk.

Distributie via AD en GPO is gewoon de logische weg, indien je daar geen controle of beheer over hebt, neem je daarvoor contact op met je AD beheerder(s) / IT Support.

Als het gaat om 1 of 2 specifieke selfsigned certificate of non-trusted Root / intermediate CA's benodigd voor een specifieke applicatie of driver, dan kun je het nog scripten

Als het voor een specifieke applicatie benodigd is en die is of kan worden gepackaged, waarom neem je het dan niet mee in de package deployment voor die app of driver?

Maar als het gaat om de reguliere Root CA's en certificaten dan worden die via een PKI / AD / GPO of Windows update verspreid.

Zie ook bijvoorbeeld:

http://serverfault.com/qu...w-that-microsoft-no-longe

je kunt verder certutil gebruiken om certificaten te exporteren en importeren:

Een voorbeeld, ik heb een applicatie die als ik hem "unmanaged" wil installeren een driver voor een software VPN adapter toevoegt met een handtekening van een verlopen CA. Als ik handmatig de installatie uitvoer krijg ik de vraag of ik de uitgever wil vertrouwen en de driver installeren maar unmanaged gaat niet goed.
Dit heb ik ondervangen door eens het certificaat van de uitgever te exporteren en deze middels certutil te importeren in de juiste store.

certutil -addstore "TrustedPublisher" "C:\temp\vendor.cer"

In zo'n geval wil ik het certificaat niet in mijn AD of op elke client te hebben want enkel de paar clients die deze applicatie nodig hebben behoeven dit certificaat te krijgen (en dan nog enkel tijdens installatie, daarna mag het zelfs weg)
Daarom heb ik bovenstaand commando meegenomen in een script in mijn deployment.

Maar je AD beheerders zouden bij dit soort zaken zeker moeten kunnen helpen.

[Handy-man]

Thanks, "akimosan".

Ik heb mijn Beheerder gevraagt wat ze kunnen doen voor mij.
verzocht tot request voor cerifikaten. Kijken of dat lukt.

Bedankt voor het mee denken.