Бөлісу құралы:

CertificateTransparencyEnforcementDisabledForCas

Отключите принудительное использование прозрачности сертификата для списка хэшей subjectPublicKeyInfo

Поддерживаемые версии

  • На Windows и macOS начиная с 77 или позже

Описание

Отключает применение требований прозрачности сертификата для списка хэшей subjectPublicKeyInfo.

Эта политика позволяет отключить требования раскрытия информации о прозрачности сертификатов для цепочек сертификатов, которые содержат сертификаты с одним из указанных хэшей subjectPublicKeyInfo. Это позволяет сертификатам, которые в противном случае были бы ненадежными, поскольку они не были должным образом обнародованы, по-прежнему использоваться для узлов Enterprise.

Чтобы отключить принудительное использование прозрачности сертификатов, когда установлена эта политика, должен быть выполнен один из следующих наборов условий:

  1. Хеш имеет имя субъекта сертификата сервера PublicKeyInfo.
  2. Хэш имеет значение subjectPublicKeyInfo, которое появляется в сертификате CA в цепочке сертификатов, этот сертификат CA ограничен расширением nameConstraints X.509v3, одно или несколько directoryName nameConstraints присутствуют в allowSubtrees, а directoryName содержит атрибут organizationName.
  3. Хэш имеет значение subjectPublicKeyInfo, которое отображается в сертификате CA в цепочке сертификатов, сертификат CA имеет один или несколько атрибутов organizationName в теме сертификата, а сертификат сервера содержит такое же количество атрибутов organizationName, в том же порядке и с байтовые идентичные значения.

Хэш subjectPublicKeyInfo указывается путем объединения имени алгоритма хеширования, символа "/" и кодирования Base64 этого алгоритма хеширования, применяемого к DER-кодированному subjectPublicKeyInfo указанного сертификата. Эта кодировка Base64 имеет тот же формат, что и отпечаток SPKI, как определено в RFC 7469, раздел 2.4. Нераспознанные алгоритмы хеширования игнорируются. Единственный поддерживаемый алгоритм хеширования на данный момент это "sha256".

Если вы отключите эту политику или не настроите ее, любой сертификат, который требуется раскрыть через прозрачность сертификата, будет считаться ненадежным, если он не раскрыт в соответствии с политикой прозрачности сертификата.

Поддерживаемые функции

  • Может быть обязательным: Да
  • Может быть рекомендовано: Нет
  • Обновление динамической политики: Да
  • На профиль: Да
  • Применимо к профилю, вошедшего с помощью учетной записи Майкрософт: Да

Тип данных

  • Список строк

Сведения и параметры Windows

Сведения о групповой политике (ADMX)

  • Уникальное имя GP: CertificateTransparencyEnforcementDisabledForCas
  • Имя GP: Отключить применение прозрачности сертификата для списка хэшей subjectPublicKeyInfo
  • Путь к групповой политике (обязательный): административные шаблоны/Microsoft Edge
  • Путь GP (рекомендуется): N/A
  • Имя файла GP ADMX: MSEdge.admx

Пример значения

sha256/AAAAAAAAAAAAAAAAAAAAAA==

sha256//////////////////////w==

Параметры реестра

  • Путь (обязательный): ПРОГРАММНОЕ ОБЕСПЕЧЕНИЕ\Policies\Microsoft\Edge\CertificateTransparencyEnforcementDisabledForCas
  • Путь (рекомендуется): N/A
  • Имя значения: 1, 2, 3, ...
  • Тип значения: список REG_SZ

Пример значения реестра

SOFTWARE\Policies\Microsoft\Edge\CertificateTransparencyEnforcementDisabledForCas\1 =

sha256/AAAAAAAAAAAAAAAAAAAAAA==

SOFTWARE\Policies\Microsoft\Edge\CertificateTransparencyEnforcementDisabledForCas\2 =

sha256//////////////////////w==

Информация о Mac и настройки

  • Имя ключа предпочтения: CertificateTransparencyEnforcementDisabledForCas
  • Пример значения:
<array>
  <string>sha256/AAAAAAAAAAAAAAAAAAAAAA==</string>
  <string>sha256//////////////////////w==</string>
</array>

См. также