什么是 Windows 7 中与 Wifi 相关的有效信任锚？

Question

下面的错误刚刚在运行 Windows 7 Ultimate 的个人笔记本电脑上开始发生。我无法使用已安装的未过期证书连接到专用无线网络。IT 部门最近没有做出可以解释该问题的更改。几周前它运行良好，并且发生在我拥有的两台笔记本电脑上。

详细信息和一些屏幕截图可在此处获得：

我们不明白的错误是这样的：

无法验证服务器提供的凭据。我们建议您终止连接并使用详细信息中提供的信息联系您的管理员。您仍然可以连接，但这样做会使您面临可能的流氓服务器的安全风险。

服务器 XYZ 提供了由公司名称证书颁发机构颁发的有效证书，但公司名称证书颁发机构未配置为此配置文件的有效信任锚。

我们不知道在不忽略错误的情况下解决问题（也不知道可以解释这个新错误的更改）。

新信息是我们拥有自己的根 CA，并且证书最近没有更新，也没有过期。

Answer 1

我遇到了同样的问题。找到了答案。

1. 进入控制面板 > 网络和 Internet > 管理无线网络。

2. 打开无线网络。或者，单击“添加”按钮创建一个新网络，然后打开它。

3. 出现无线网络属性窗口。单击安全选项卡。

4. 在“选择网络身份验证方法”下，选择“Microsoft：智能卡或其他证书”。我假设这已经被选中。

5. 单击“设置”按钮。

6. 出现“智能卡或其他证书属性”窗口。

7. 这是答案。在“受信任的根证书颁发机构”列表下，您必须手动选择您公司的根 CA。默认情况下，这些都是空白的。这就是如果您没有选择公司的根 CA 时第一次出现警告消息的原因。如果您不顾警告而进行连接，那么您公司的根 CA 现在已被选中，并且您在后续连接时不会再收到警告。因此，为避免出现警告，请在首次连接之前设置网络时选中此框。

8. 如果您在此处没有看到您公司的根 CA，这可能是因为默认情况下，双击您的证书进行安装可能会将其置于“中间证书颁发机构”选项卡下。您需要改为选择“受信任的根证书颁发机构”选项卡。您可以在以下位置查看证书：Internet Explorer > Internet 选项 > 内容 > 证书

Answer 2

SSL 证书验证有效的方式是遵循信任链。无论您的公司使用什么证书来保护 WiFi，都会根据（至少）一个中间证书进行验证，以验证其合法性。该中间证书又根据来自经过验证且受信任的公司的根证书进行身份验证。

验证根证书真实性和可信性的方式是 Microsoft 在 Windows 中建立对某些证书的信任，但这些根证书通常已经过时，并且在 SSL 证书游戏中没有一些主要参与者。Verisign 和 Thawt 通常没有问题，但 Digicert (Entrust.net) 是一家巨大的 SSL 证书公司，Windows 本身不信任 802.1x（我假设您的 wifi 正在使用它来根据提供的屏幕截图进行身份验证） ）。这意味着该证书可能有效，但您的计算机不知道信任它。您当然可以将该根证书导入为受信任的证书，这样您就不会再收到此提示。我会联系您的系统管理员了解如何执行此操作。

如果您的公司使用自己的 CA，则这可能是由于中间证书或根证书过期所致，或者是由于他们颁发了新的根证书但未将其部署给您所致。