馬特的心靈雞湯

更換Windows遠端憑證

發表於 2024-05-04 分類於 windows

前言

近期收到要求修正來自於Nessus的報告弱點修正，雖然並不是專門處理的SP或MIS什麼的，只是個弱弱的碼農，但手上經手拿來開發、展示的虛擬機器有個幾台，這篇文章是紀錄如何處理來自於Nessus的弱點。
先前在客戶端也碰到一模一樣的弱點，那個時候的SP大大處理完後，只講了一句：「很恐怖，不要問」，沒想到過了半年，就落到自己頭上來了。

處理弱點

本次處理的弱點Port號皆為3389，也就是預設用來RDP的通訊埠號。

編號	名稱	原文	概要
51192	無法信任 SSL 憑證	SSL Certificate Cannot Be Trusted	無法信任此服務的 SSL 憑證。
57582	SSL 自我簽署憑證	SSL Self-Signed Certificate	此服務的 SSL 憑證鏈結以未識別的自我簽署憑證結束。

※ 當然Nessus的解法說明也很簡單，花錢買對的憑證就對了，但想也知道不可能為了開發用的機器，一台一台去購買。另外一條路就是建立自己內部的憑證中心，並且簽發。

環境

Host - Windows 11 - 22H2 (22621.1992)
Target - Windows Server 2022 - 21H2 (20348.1906)

測試修改流程

建立使用SSL憑證

參考先前的文章使用PowerShell建立自簽SSL憑證，快速建立一張測試用的憑證。

# 子憑證輸出密碼
$certPassword = ConvertTo-SecureString -String "secure" -Force -AsPlainText;
$certFilePath = "Certificate"
# 建立CA
$caparam = @{  
    Subject           = 'C=TW,ST=Taiwan,L=Taipei,O=Demo,OU=IT,CN=Demo Develop CA,E=nobody@demo.net'  
    KeyUsage          = @("CertSign", "CrlSign")  
    CertStoreLocation = 'Cert:\LocalMachine\My'  
    TextExtension     = @('2.5.29.19={text}CA=true&pathlength=0')  
    HashAlgorithm     = "SHA256"  
    NotAfter          = (Get-Date).AddYears(20)  
    KeyAlgorithm      = "RSA"  
    KeyLength         = 4096  
    FriendlyName      = "DemoCA"  
}  

$rootCa = New-SelfSignedCertificate @caparam;  

# 建立憑證參數  
$paramsCert = @{  
    Type              = 'Custom'  
    Subject           = 'C=TW,ST=Taiwan,L=Taipei,O=ESi,OU=IT,CN=Demo Develop Cert,E=nobody@demo.net'  
    KeyUsage          = @('DigitalSignature', 'DataEncipherment', 'KeyEncipherment')  
    TextExtension     = @(  
        '2.5.29.37={text}1.3.6.1.5.5.7.3.2,1.3.6.1.5.5.7.3.1',  
        '2.5.29.17={text}DNS=target&IPAddress=10.100.100.101' )  
    KeyAlgorithm      = 'RSA'  
    KeyLength         = 4096  
    KeyExportPolicy   = "Exportable"  
    CertStoreLocation = 'Cert:\LocalMachine\My'  
    NotAfter          = (Get-Date).AddYears(20)  
    Signer            = $rootCa;  
    FriendlyName      = "Demo 開發憑證"  
}  

# 建立自簽憑證  
$selfSign = New-SelfSignedCertificate @paramsCert;  

# 移動CA憑證到可信任的位置  
$rootCa | Move-Item -Destination "Cert:\LocalMachine\Root";  

New-Item -Path $certFilePath -ItemType Directory -Force

# 產出憑證檔案  
Export-PfxCertificate -Cert $selfSign -FilePath "$certFilePath\server.pfx" -Password $certPassword  
Export-PfxCertificate -Cert $rootCa -FilePath "$certFilePath\ca.pfx" -Password $certPassword;