GlobalSign og AlphaSSL cross-sign på Windows Server

GlobalSign flyttede alle kunde- og partnerprodukter den 27. juli 2026 og de resterende konti den 13. september 2026. Udstedelse fra R3 med 200 dages gyldighed stoppede senest 27. august 2026. Er dit certifikat udstedt før din konto blev flyttet, kæder det stadig op til R3, R5 eller R6, og du skal ikke gøre noget før næste fornyelse.

Sender serveren den korte kæde til R46, fejler disse klienter:

• iOS før 15 og macOS før 12. R46 kom i Apples liste i september 2021.
• Android 13 og ældre. R46 kom i AOSP med Android 14 i oktober 2023.
• Java-installationer, der ikke har fået opdateringen fra juli 2024 (8u421, 11.0.24, 17.0.12, 21.0.4).
• Windows-maskiner uden udgående internetadgang, der ikke kan hente nye rødder fra Windows Update.
• Embedded udstyr, betalingsterminaler, printere og industrielt udstyr med et fast certifikatlager.

På Linux tilføjer du blot det cross-signede certifikat til kædefilen efter intermediate og genindlæser webserveren. Resten af vejledningen handler om Windows, hvor Schannel selv bygger kæden.

1. Åbn certifikatlageret for maskinen

Kør certlm.msc fra en kommandolinje startet som administrator. Alternativt: Win+R, mmc, File → Add/Remove Snap-in, vælg Certificates, Computer account, Local computer. Maskinlageret er det afgørende. Certifikater i brugerlageret indgår ikke i den kæde, serveren sender.

2. Importér det udstedende intermediate

1. Udvid Intermediate Certification Authorities og klik på undermappen Certificates.
2. Højreklik → All Tasks → Import.
3. Vælg GCC-intermediate-filen. Skift filtypen til All Files (*.*), hvis filen ikke vises.
4. Bekræft at lageret er Intermediate Certification Authorities → Finish.

3. Importér cross-cert-filen

Gentag trin 2 med r3r46cross2019.crt. Filen skal ligge i Intermediate Certification Authorities, ikke i Trusted Root. Den er teknisk set et intermediate, fordi den er signeret af en anden.

Kontrollér bagefter, at GlobalSign Root CA - R3 ligger i Trusted Root Certification Authorities. Uden den gamle rod kan serveren ikke bygge den lange kæde. Roden er med i alle vedligeholdte Windows-versioner.

4. Sæt GlobalSign Root R46 i karantæne

Så længe GlobalSign Root R46 er aktiv i Trusted Root, bygger Schannel den korte kæde og sender den. Cross-cert-filen ligger så ubrugt i Intermediate-lageret.

5. Eksportér PFX med kæde og bind om

Nogle tjenester holder fast i den kæde, der lå i den PFX-fil, certifikatet blev importeret fra. Eksportér certifikatet igen med hele kæden og bind det til tjenesten på ny.

$pw = Read-Host -AsSecureString "PFX-adgangskode"
Export-PfxCertificate -Cert Cert:\LocalMachine\My\<THUMBPRINT> `
  -FilePath C:\temp\server-med-kaede.pfx -Password $pw -ChainOption BuildChain

-ChainOption BuildChain bygger kæden ud fra maskinens lagre, altså efter at roden er sat i karantæne. Importér PFX-filen igen og bind den til den tjeneste, der bruger certifikatet.

6. Genstart

Kædedata caches i den proces, der byggede kæden, og i lsass og HTTP.SYS. En fuld genstart af Windows er den eneste måde at tømme det hele. At genstarte den enkelte rolle rammer ikke Schannels kæde-cache, så tjenesten kan svare med den gamle kæde bagefter og se ud, som om ændringen ikke virkede. Planlæg et genstartsvindue.

Chrome og Mozilla fjerner tilliden til GlobalSign Root CA - R3 den 15. april 2027, og til R5 den 15. april 2029. Selve cross-cert-filen er gyldig længere, men efter fjernelsen giver den intet i en opdateret browser. Den hjælper kun de klienter, der ikke får opdateringer, og som netop derfor stadig har R3.

Behandl opsætningen som en overgangsordning. Notér hvilke klienter der kræver den, og planlæg udskiftningen af dem. Kan du bekræfte at ingen af jeres klienter er ældre end oktober 2023, kan du fjerne karantænen og lade kæden være kort.