Что означает код HRESULT 0x800B0112 (CERT_E_UNTRUSTEDCA)?

 
Предыдущий Следующий
TRUST_E_EXPLICIT_DISTRUST CERT_E_INVALID_POLICY

CERT_E_UNTRUSTEDCA

CERT_E_UNTRUSTEDCA: граница сбоя, проверка и исправление

Код CERT_E_UNTRUSTEDCA, числовое значение 0x800B0112, фиксирует конкретный результат операции. Цепочка сертификатов обработана корректно, но политика не доверяет одному из сертификатов центра сертификации.

Для CERT_E_UNTRUSTEDCA старший бит HRESULT делает значение ошибкой. Константа CERT_E_UNTRUSTEDCA объявлена в winerror.h и относится к области «проверка сертификатов и цепочек доверия».

Контекст подсистемы

Для CERT_E_UNTRUSTEDCA код формируется при построении или проверке цепочки сертификатов. Для CERT_E_UNTRUSTEDCA он описывает конкретное нарушение политики доверия, имени, назначения, срока действия или отзыва; установка корневого сертификата без проверки фактической цепочки может скрыть симптом и создать проблему безопасности.

Для CERT_E_UNTRUSTEDCA не следует начинать с очистки состояния или переустановки компонента. Для CERT_E_UNTRUSTEDCA сначала необходимо привязать результат к одному вызову, объекту и поколению его состояния.

В имени CERT_E_UNTRUSTEDCA закодированы ориентиры для расследования: CERT — сертификат; UNTRUSTEDCA — технический признак «untrustedca». Для CERT_E_UNTRUSTEDCA эти ориентиры задают конкретный предмет проверки, но не заменяют контракт вызвавшего API.

Смысл результата: признаки в имени константы

Маркер CERT в CERT_E_UNTRUSTEDCA направляет проверку на сертификат. Для CERT_E_UNTRUSTEDCA сопоставьте этот признак с фактическими параметрами первого неуспешного вызова.

Для CERT_E_UNTRUSTEDCA часть UNTRUSTEDCA относится к области «технический признак «untrustedca»». При разборе CERT_E_UNTRUSTEDCA проверьте, какое состояние этого объекта ожидалось и какое наблюдалось реально.

Для CERT_E_UNTRUSTEDCA в техническом контексте особенно важны: центр сертификации, цепочка сертификатов, провайдер. При расследовании CERT_E_UNTRUSTEDCA их следует проверять как связанные части одной операции, а не как независимые симптомы.

Диагностические данные

  • До повторной попытки по CERT_E_UNTRUSTEDCA нужно сохранить весь набор сертификатов, полученный сервером или приложением.
  • Для воспроизводимого отчёта по CERT_E_UNTRUSTEDCA нужно записать проверяемое DNS-имя, EKU, политики и момент времени проверки.
  • В первичном журнале по CERT_E_UNTRUSTEDCA нужно зафиксировать построенную цепочку и статус каждого её элемента.
  • На границе сбоя по CERT_E_UNTRUSTEDCA нужно проверить источники CRL/OCSP и сетевую доступность точек распространения.
  • Для сравнения с исправным случаем по CERT_E_UNTRUSTEDCA нужно сравнить хранилища доверия процесса, пользователя и локального компьютера.

Проверка по шагам

  1. Для CERT_E_UNTRUSTEDCA: Построить цепочку certutil или API CertGetCertificateChain на той же машине и в том же контексте; сохраните первый hresult и точное время результата.
  2. Для CERT_E_UNTRUSTEDCA: Проверить SAN/CN, EKU, Basic Constraints, path length и политики сертификатов; отдельно отметьте изменение состояния объекта.
  3. Для CERT_E_UNTRUSTEDCA: Отдельно проверить срок действия и состояние отзыва каждого сертификата; все остальные условия оставьте неизменными.
  4. Для CERT_E_UNTRUSTEDCA: Убедиться, что отсутствующий промежуточный сертификат не подменяется случайным сертификатом с тем же именем; не удаляйте исходные данные до завершения сравнения.
  5. Для CERT_E_UNTRUSTEDCA: После изменения повторить проверку в исходном процессе, а не только в графическом просмотрщике; повторите шаг на исправном контрольном примере.

Корректирующие действия

Корректирующее действие для CERT_E_UNTRUSTEDCA должно устранять условие «Цепочка сертификатов обработана корректно, но политика не доверяет одному из сертификатов центра сертификации» на уровне центр сертификации. Для CERT_E_UNTRUSTEDCA простое подавление HRESULT, бесконечный повтор или очистка всех настроек не доказывают восстановление контракта.

Для CERT_E_UNTRUSTEDCA контрольный прогон должен включать успешный путь, повтор операции после изменения состояния и корректное освобождение ресурсов. Для CERT_E_UNTRUSTEDCA один случайный успех недостаточен.

Документация

Нужно найти другой код? Найти другой код состояния или ошибки.