Windows-Zertifikatspeicher - Zertifikate anzeigen, importieren, exportieren

Mit Zertifikate startet das Toolkit. Die Seite zeigt die persönlichen Zertifikate im Windows-Zertifikatspeicher - dieselben, die certmgr.msc (aktueller Benutzer) und certlm.msc (lokaler Computer) unter Eigene Zertifikate anzeigen - und erledigt, was in diesen Konsolen umständlich ist: ein Zertifikat als neuen CSR verlängern, es im Format exportieren, das ein Server braucht, und das Zertifikat der CA so importieren, dass es mit seinem privaten Schlüssel verknüpft ist.

Die Seite gibt es nur unter Windows. Auf der Kommandozeile entspricht ihr actk store.

Benutzer und ComputerCopy Anchor Link

Auf dem Tab Computer erklärt ein Hinweis Nur lesend die Einschränkung: Importieren, Löschen und das Exportieren privater Schlüssel im Computerspeicher erfordern Administratorrechte. Wählen Sie dort Als Administrator neu starten. Windows fragt einmal nach (UAC), das Toolkit startet mit erhöhten Rechten neu und öffnet direkt den Computerspeicher.

Zertifikat findenCopy Anchor Link

• Suche über Name, Aussteller und Fingerabdruck.
• Filter: Alle, Mit privatem Schlüssel, ≤ 30 Tage (läuft in den nächsten 30 Tagen ab) und Abgelaufen.
• Spalten: Status, Ausgestellt für, Aussteller, Läuft ab, Zweck, Schlüssel und Anzeigename. Ein Klick auf den Spaltenkopf sortiert, ein Zug am Rand ändert die Breite.
• Status zeigt immer ein Wort zur Farbe: Gültig, die verbleibenden Tage bei 30 oder weniger, oder Abgelaufen.
• Tastatur: ↑ ↓ wählen aus, Entf löscht; ein Rechtsklick öffnet die Aktionen für ein Zertifikat.

Ein ausgewähltes Zertifikat zeigt seine Details neben der Liste, gegliedert in Identität, Gültigkeit, alternative Namen (SANs), Aussteller, Kryptografie und Fingerabdrücke (SHA-256-Fingerabdruck, Fingerabdruck und Schlüssel-Pin, jeweils mit Kopier-Schaltfläche). Schwache Schlüssel, SHA-1/MD5-Signaturen und selbstsignierte Zertifikate werden markiert.

Zertifikat als neuen CSR verlängernCopy Anchor Link

Zertifikat auswählen und CSR aus Auswahl erstellen wählen (oder per Rechtsklick Neuer CSR aus diesem Zertifikat). CSR erstellen öffnet sich vorausgefüllt mit Typ, Antragsteller, Namen und Schlüsseltyp des Zertifikats. Das funktioniert für eine Verlängerung wie für ein Rekey: Der Antrag erhält immer einen neuen Schlüssel - der alte wird nie wiederverwendet.

Leerer CSR beginnt stattdessen mit einem leeren Formular.

Ausgestelltes Zertifikat importierenCopy Anchor Link

Hat die CA das Zertifikat für einen hier erstellten CSR ausgestellt, wählen Sie unter Dateien die Schaltfläche Importieren …. Der Import führt durch fünf Schritte: Zertifikatsdatei, Inhalt prüfen, Ziel, Überprüfen und Ergebnis.

1. Zertifikatsdatei. Die Datei der CA wählen - .cer, .crt, .pem oder .p7b - oder das PEM einfügen. Eine .pfx mit Schlüssel geht ebenfalls (Passwort eingeben).

2. Inhalt prüfen. Das Toolkit zeigt das Zertifikat, die Kette in der Datei und welcher private Schlüssel dazugehört. Den Schlüssel findet es selbst, indem es den SHA-256 des öffentlichen Schlüssels mit den Anträgen aus „CSR erstellen“ vergleicht:

   • ein Schlüssel im Windows-Schlüsselspeicher wird beim Import mit dem Zertifikat verknüpft - er wird nicht bewegt;
   • ein Schlüssel aus dieser Sitzung, der nie gespeichert wurde (bisher nur im Speicher), wird mit importiert;
   • eine gespeicherte .key-Datei wird von dort gelesen, wo Sie sie abgelegt haben.

   Findet sich kein passender Schlüssel, können Sie die .key-Datei selbst wählen. Ohne privaten Schlüssel wird das Zertifikat zwar importiert, lässt sich auf diesem Rechner aber nicht für TLS oder Signaturen verwenden.

3. Ziel. Eigene Zertifikate - dieser Benutzer oder Eigene Zertifikate - dieser Computer. Liegt der Schlüssel im Windows-Schlüsselspeicher, hat der Antrag das schon festgelegt: Das Zertifikat kommt in den Speicher, in dessen Schlüsselspeicher sein Schlüssel liegt. Bei einem Schlüssel aus einer Datei legen Sie fest, ob Windows ihn später wieder exportieren darf (Späteren Export des privaten Schlüssels erlauben), und können einen Anzeigenamen vergeben - standardmäßig der Common Name.

4. Überprüfen und Importieren.

Zwischenzertifikate kommen unter Zwischenzertifizierungsstellen. Ein Stammzertifikat wird bei einem Import nie installiert - einer Stammzertifizierungsstelle zu vertrauen entscheidet der Administrator, über certlm.msc oder eine Gruppenrichtlinie.

Danach binden Sie das Zertifikat an den Dienst (IIS-Site, RDP, LDAPS) oder exportieren es im Format, das ein Server braucht.

Zertifikat exportierenCopy Anchor Link

Zertifikat auswählen und Exportieren … wählen. Eine Vorlage wählen oder die benötigten Formate ankreuzen; ein Export schreibt alle in den gewählten Ordner.

• Eine .key-Datei wird standardmäßig mit dem Passwort verschlüsselt (Die .key mit dem Passwort verschlüsseln). Nur abwählen, wenn ein Server keinen verschlüsselten Schlüssel lesen kann.
• Kompatibel mit Windows Server 2016 und älter (3DES statt AES-256) schreibt die PFX mit 3DES. Windows Server 2016 und älter kann keine AES-256-PFX importieren.
• Vorhandene Dateien werden nie überschrieben. Existiert eine bereits im Ordner, wird nichts geschrieben.

.pfx und .key brauchen den privaten Schlüssel. Hat Windows ihn als nicht exportierbar markiert oder liegt er auf einer Smartcard bzw. einem HSM, stehen nur die Zertifikatsformate zur Verfügung - der Schlüssel bleibt, wo er ist. Den Schlüssel eines Computer-Zertifikats zu exportieren erfordert Administratorrechte.

Zertifikatsdateien, die nicht im Speicher liegen, wandeln Sie mit Dateien umwandeln um.

Kopieren und löschenCopy Anchor Link

• PEM kopieren kopiert das Zertifikat (nur den öffentlichen Teil) als PEM-Text. Fingerabdruck kopieren steht im Rechtsklick-Menü.
• Löschen … entfernt das Zertifikat und seinen privaten Schlüssel nach einer Rückfrage aus dem Speicher. Das lässt sich nicht rückgängig machen - vorher exportieren, falls es noch gebraucht wird.