Jak działa CertUtil w systemie operacyjnym Windows ?

Komenda     CertUtil to wszechstronne narzędzie wiersza poleceń używane w systemach Windows do zarządzania informacjami o certyfikatach. Jest częścią usług certyfikatów (Certificate Services) i pozwala na wykonywanie różnych zadań związanych z certyfikatami, takich jak:

1. Wykonywanie kopii zapasowej: Zawsze warto zrobić kopię zapasową aktualnej konfiguracji przed wprowadzeniem jakichkolwiek zmian. Możesz użyć polecenia certutil -backup do wykonania kopii zapasowej.

• Aby wykonać kopię zapasową komponentów urzędu certyfikacji (CA) za pomocą komendy CertUtil, możesz użyć poniższego polecenia:

1. Tworzenie kopii zapasowej:

   certutil -backupDB <ścieżka_do_folderu_kopii_zapasowej>
   certutil -backupKey <ścieżka_do_folderu_kopii_zapasowej>

   • certutil -backupDB tworzy kopię zapasową bazy danych CA.
   • certutil -backupKey tworzy kopię zapasową kluczy prywatnych CA.

   Upewnij się, że podajesz odpowiednią ścieżkę do folderu, w którym chcesz przechowywać kopie zapasowe.

2. Przywracanie kopii zapasowej:

   certutil -restoreDB <ścieżka_do_folderu_kopii_zapasowej>
   certutil -restoreKey <ścieżka_do_folderu_kopii_zapasowej>

   • certutil -restoreDB przywraca bazę danych CA z kopii zapasowej.
   • certutil -restoreKey przywraca klucze prywatne CA z kopii zapasowej.
2. Sprawdzanie konfiguracji magazynu certyfikacji (CA):  Możesz uzyskać szczegółowe informacje o konfiguracji CA, co jest przydatne dla administratorów IT.

• Przykłady :

  1. Wyświetlenie listy certyfikatów w magazynie lokalnym:

     certutil -store My

  2. Wyświetlenie listy certyfikatów w magazynie urzędu certyfikacji:

     certutil -store CA

  3. Wyświetlenie listy certyfikatów w magazynie zaufanych głównych urzędów certyfikacji:

     certutil -store Root

  4. Wyświetlenie informacji o konfiguracji CA z bardziej szczegółowymi opcjami:

     certutil -viewstore My

3. Konfigurowanie usług certyfikatów:  CertUtil umożliwia konfigurowanie różnych aspektów usług certyfikatów.

• Aby skonfigurować usługi certyfikatów za pomocą komendy CertUtil, możesz użyć różnych poleceń w zależności od konkretnego zadania. Oto kilka przykładów:

  1. Instalacja certyfikatu urzędu certyfikacji (CA):

     certutil -installcert CertFile.cer

  2. Konfiguracja szablonu certyfikatu:

     certutil -settemplate TemplateName

  3. Konfiguracja listy CRL (Certificate Revocation List):

     certutil -crl

  4. Konfiguracja polityki certyfikacji:

     certutil -setreg policy\EditFlags +EDITF_ATTRIBUTEENDDATE

  5. Konfiguracja właściwości urzędu certyfikacji:

     certutil -setreg ca\ValidityPeriod "Years"
     certutil -setreg ca\ValidityPeriodUnits 5

  Te polecenia pozwalają na różne aspekty konfiguracji usług certyfikatów. Pamiętaj, że niektóre z tych operacji mogą wymagać uprawnień administratora.
4. Weryfikacja certyfikatów, par kluczy i łańcuchów certyfikatów:  CertUtil pozwala na sprawdzanie poprawności certyfikatów i ich łańcuchów.
• Oto kilka poleceń CertUtil do weryfikacji certyfikatów, par kluczy i łańcuchów certyfikatów:

1. Weryfikacja certyfikatu:

   certutil -verify CertFile.cer

   To polecenie sprawdza poprawność certyfikatu, w tym jego łańcuch zaufania.

2. Weryfikacja pary kluczy:

   certutil -verifykeys CertFile.cer

   To polecenie sprawdza, czy klucz publiczny w certyfikacie pasuje do klucza prywatnego.

3. Weryfikacja łańcucha certyfikatów:

   certutil -verifychain CertFile.cer

   To polecenie sprawdza cały łańcuch certyfikatów, aby upewnić się, że każdy certyfikat w łańcuchu jest poprawny i zaufany.

4. Wyświetlenie szczegółowych informacji o certyfikacie:

   certutil -dump CertFile.cer

   To polecenie wyświetla szczegółowe informacje o certyfikacie, takie jak jego właściwości, klucze i inne dane.

5. Kodowanie i dekodowanie plików: Narzędzie umożliwia kodowanie plików do formatu Base64 lub heksadecymalnego oraz ich dekodowanie.
• Oto kilka poleceń CertUtil do kodowania i dekodowania plików:

1. Kodowanie pliku do formatu Base64:

   certutil -encode InFile OutFile

   To polecenie koduje zawartość pliku InFile do formatu Base64 i zapisuje wynik w pliku OutFile.

2. Dekodowanie pliku Base64:

   certutil -decode InFile OutFile

   To polecenie dekoduje zawartość pliku InFile z formatu Base64 i zapisuje wynik w pliku OutFile.

3. Kodowanie pliku do formatu heksadecymalnego:

   certutil -encodehex InFile OutFile

   To polecenie koduje zawartość pliku InFile do formatu heksadecymalnego i zapisuje wynik w pliku OutFile.

4. Dekodowanie pliku heksadecymalnego:

   certutil -decodehex InFile OutFile

   To polecenie dekoduje zawartość pliku InFile z formatu heksadecymalnego i zapisuje wynik w pliku OutFile.

Tak, możesz bezpiecznie użyć tych poleceń do sprawdzenia i konfiguracji usług certyfikatów, ale pamiętaj o kilku ważnych kwestiach:

1. Uprawnienia Administratora: Niektóre z tych poleceń mogą wymagać uprawnień administratora. Upewnij się, że masz odpowiednie uprawnienia przed ich wykonaniem.
2. Środowisko Testowe: Jeśli to możliwe, przetestuj polecenia w środowisku testowym przed ich użyciem w produkcji. To pomoże uniknąć niezamierzonych zmian w konfiguracji.
3. Kopie Zapasowe: Zawsze warto zrobić kopię zapasową aktualnej konfiguracji przed wprowadzeniem jakichkolwiek zmian. Możesz użyć polecenia certutil -backup do wykonania kopii zapasowej.

Jeśli te polecenia również nie dostarczą oczekiwanych informacji, może być konieczne sprawdzenie uprawnień lub konfiguracji systemu.

¹: Microsoft Learn