DigiCert G5 cross-sign på Windows Server

Åbn certifikatet og se på Issuer-feltet, eller kør kommandoen nedenfor. Navnet på det udstedende intermediate afgør det.

Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Issuer, Thumbprint

Sender serveren den korte kæde til G5, fejler disse klienter:

• iOS før 18 og macOS før 15. G5 kom i Apples liste i september 2024.
• Android 13 og ældre. G5 kom i AOSP med Android 14 i oktober 2023.
• Java-installationer, der ikke har fået opdateringen fra januar 2024 (8u401, 11.0.22, 17.0.10, 21.0.2).
• Embedded udstyr og maskiner uden internetadgang, der ikke kan hente nye rødder.

På Linux tilføjer du blot det cross-signede certifikat til kædefilen efter intermediate og genindlæser webserveren. Resten af vejledningen handler om Windows, hvor Schannel selv bygger kæden.

1. Åbn certifikatlageret for maskinen

Kør certlm.msc fra en kommandolinje startet som administrator. Alternativt: Win+R, mmc, File → Add/Remove Snap-in, vælg Certificates, Computer account, Local computer. Maskinlageret er det afgørende. Certifikater i brugerlageret indgår ikke i den kæde, serveren sender.

2. Importér det udstedende intermediate

1. Udvid Intermediate Certification Authorities og klik på undermappen Certificates.
2. Højreklik → All Tasks → Import.
3. Vælg G5-intermediate-filen. Skift filtypen til All Files (*.*), hvis filen ikke vises.
4. Bekræft at lageret er Intermediate Certification Authorities → Finish.

3. Importér cross-cert-filen

Gentag trin 2 med DigiCertTLSRSA4096RootG5_under_DigiCertGlobalRootG2_2026.crt. Filen skal ligge i Intermediate Certification Authorities, ikke i Trusted Root. Den er teknisk set et intermediate, fordi den er signeret af en anden.

Kontrollér bagefter, at DigiCert Global Root G2 ligger i Trusted Root Certification Authorities. Uden den gamle rod kan serveren ikke bygge den lange kæde. Roden er med i alle vedligeholdte Windows-versioner.

4. Sæt G5-roden i karantæne

Så længe DigiCert TLS RSA4096 Root G5 er aktiv i Trusted Root, bygger Schannel den korte kæde og sender den. Cross-cert-filen ligger så ubrugt i Intermediate-lageret.

5. Eksportér PFX med kæde og bind om

Nogle tjenester holder fast i den kæde, der lå i den PFX-fil, certifikatet blev importeret fra. Eksportér certifikatet igen med hele kæden og bind det til tjenesten på ny.

$pw = Read-Host -AsSecureString "PFX-adgangskode"
Export-PfxCertificate -Cert Cert:\LocalMachine\My\<THUMBPRINT> `
  -FilePath C:\temp\server-med-kaede.pfx -Password $pw -ChainOption BuildChain

-ChainOption BuildChain bygger kæden ud fra maskinens lagre, altså efter at roden er sat i karantæne. Importér PFX-filen igen og bind den til den tjeneste, der bruger certifikatet.

6. Genstart

Kædedata caches i den proces, der byggede kæden, og i lsass og HTTP.SYS. En fuld genstart af Windows er den eneste måde at tømme det hele. At genstarte den enkelte rolle rammer ikke Schannels kæde-cache, så tjenesten kan svare med den gamle kæde bagefter og se ud, som om ændringen ikke virkede. Planlæg et genstartsvindue.

Fjern G5-roden fra Untrusted Certificates, eller sæt den tilbage til Enable all purposes i Trusted Root, og genstart serveren. Cross-cert-filen kan blive liggende i Intermediate-lageret, for Schannel vælger igen den korte kæde, så snart roden er aktiv.