Toolkit-Fehlerbehebung
Häufige Probleme mit dem aethercert Toolkit lösen: SmartScreen-Warnung, fehlende WebView2-Laufzeit, schreibgeschützter Computerspeicher, fehlender Schlüssel, PFX-Importfehler.
Der Computer wurde durch Windows geschützt
SmartScreen zeigt Der Computer wurde durch Windows geschützt für ein heruntergeladenes Programm, das noch keine Reputation aufgebaut hat - das passiert bei jeder neuen Version eine Zeit lang, signiert oder nicht.
- Zuerst die Datei prüfen: Download prüfen.
- Weitere Informationen wählen, dann Trotzdem ausführen.
Ist die Datei als aus dem Internet stammend blockiert, können Sie diese Markierung auch
entfernen: Rechtsklick auf die Datei, Eigenschaften, Zulassen ankreuzen, OK -
oder Unblock-File .\aethercert-toolkit-windows-amd64-de-DE.msi in PowerShell.
Das Fenster bleibt leer oder die App startet nicht
Die App stellt ihr Fenster mit der Microsoft-Edge-WebView2-Laufzeit dar. Windows 11 bringt sie mit; unter Windows Server 2019 und 2022 installiert das Setup sie - der normale Installer lädt sie dabei von Microsoft, auf einem Server ohne Internetzugang also nicht. Nehmen Sie dort den Offline-Installer: Er enthält die Laufzeit und installiert sie ohne Verbindung.
msiexec /i aethercert-toolkit-windows-amd64-offline-de-DE.msiDer Computer-Tab ist nur lesbar
Importieren, Löschen und das Exportieren privater Schlüssel im Computerspeicher erfordern Administratorrechte. Wählen Sie im Hinweis auf dem Computer-Tab Als Administrator neu starten und bestätigen Sie die UAC-Abfrage. Einen Schlüssel in „CSR erstellen“ im Schlüsselspeicher von Dieser Computer zu erzeugen braucht dasselbe.
„Kein passender Schlüssel gefunden“ beim Import
Das Toolkit ordnet ein ausgestelltes Zertifikat seinem Schlüssel über den öffentlichen Schlüssel zu. Es findet keinen, wenn:
- der CSR anderswo erstellt wurde (IIS,
certreq, OpenSSL, ein anderer Rechner) - die.key-Datei selbst wählen oder auf dem Rechner importieren, der den Schlüssel hat; - der Schlüssel nur im Speicher existierte und die App vor dem Speichern geschlossen wurde - dann ist er verloren, und das Zertifikat muss mit einem neuen CSR neu beantragt werden;
- die Schlüsseldatei nach dem Speichern verschoben oder gelöscht wurde - sie am neuen Ort wählen;
- die CA das Zertifikat für einen anderen Antrag ausgestellt hat als gedacht - den Schlüssel-Pin in CSR prüfen mit dem des Zertifikats vergleichen.
Der Export bietet keine .pfx oder .key an
Der private Schlüssel des Zertifikats ist als nicht exportierbar markiert, liegt auf einer Smartcard oder einem HSM, oder das Zertifikat hat auf diesem Rechner keinen privaten Schlüssel. Dann stehen nur die Zertifikatsformate zur Verfügung. Bei einem Computerzertifikat als Administrator neu starten - seinen Schlüssel zu lesen erfordert Administratorrechte.
Ein im Windows-Schlüsselspeicher ohne Späteren Export des privaten Schlüssels erlauben erzeugter Schlüssel lässt sich nie exportieren; Windows legt das beim Erzeugen fest.
Windows Server 2016 kann die PFX nicht importieren
Windows Server 2016 und älter können keine mit AES-256 verschlüsselte PFX lesen. Exportieren
oder wandeln Sie sie erneut mit Kompatibel mit Windows Server 2016 und älter (3DES statt
AES-256) um, auf der Kommandozeile mit --legacy.
„Code signieren“ findet kein Zertifikat
Die Liste zeigt nur Zertifikate mit dem Zweck „Codesignatur“ und einem privaten Schlüssel; abgelaufene erscheinen, sind aber nicht wählbar. Importieren Sie eine Code-Signing-PFX unter Zertifikate, schließen Sie das USB-Token an und installieren Sie dessen Treiber - oder wählen Sie PFX-Datei. Nach dem Anschließen eines Tokens Liste aktualisieren.
„Signiert · Stamm nicht vertraut“
Die Signatur ist intakt, aber dieser Computer vertraut dem Stamm des Signaturzertifikats nicht. Bei einer internen CA, die auf diesem Rechner nicht verteilt ist, ist das normal. Verteilen Sie auf den Rechnern, die die Datei ausführen sollen, den Stamm (und bei selbstsignierten Zertifikaten das Zertifikat selbst unter Vertrauenswürdige Herausgeber), üblicherweise per Gruppenrichtlinie.
Der Scanner findet nichts
- Die Ports prüfen: Die Vorlage Gängige TLS-Ports deckt die üblichen ab.
- Eine Firewall zwischen Ihnen und den Zielen verwirft die Prüfungen - das Toolkit innerhalb dieses Netzes ausführen.
- Unter Optionen Offene Ports ohne TLS auflisten einschalten, um zu sehen, was überhaupt offen ist.
- Hostnamen, die sich nicht auflösen lassen, erscheinen unter Nicht auflösbar.
Interne Zertifikate gelten als nicht vertrauenswürdig
Das Vertrauen wird gegen die Mozilla-Stammzertifikate, den Windows-Zertifikatspeicher und
eine optionale PEM-Datei geprüft. Steht Ihre interne CA nicht im Stammspeicher dieses
Computers, fügen Sie ihren Stamm unter Einstellungen > Vertrauenswürdige
Zertifizierungsstellen > Zusätzliche Stammzertifikate (PEM-Datei) hinzu oder übergeben
--ca-file an actk. Prüfen Sie, ob Dem Stammzertifikatspeicher dieses Computers
vertrauen aktiv ist.
Ein Security-Scan-Ergebnis lautet „unbekannt“
Die Prüfung dieser Protokollversion wurde nicht abgeschlossen - meist unterbricht eine Firewall oder ein IPS ungewöhnliche Handshakes. Den Scan wiederholen; bleibt es so, das Gerät dazwischen prüfen. Unbekannte Ergebnisse kosten keine Punkte.
Datenschutz und Sicherheit - wie das Toolkit mit privaten Schlüsseln umgeht
Das aethercert Toolkit läuft vollständig lokal: kein Konto, keine Telemetrie, kein Upload. Wo private Schlüssel entstehen und liegen, was ins Netz geht und was gespeichert wird.
Toolkit-Versionshinweise
Was jede Version des aethercert Toolkit bringt: Windows-Zertifikatspeicher, CSR-Schlüssel im Windows-Schlüsselspeicher, geführte Abläufe, Zertifikatscanner und Security Scan.