Details zum Ereignis mit ID 87 der Quelle Microsoft-Windows-CertificationAuthority

Ereignisquelle:	Microsoft-Windows-CertificationAuthority
Ereignis-ID:	87 (0x57)
Ereignisprotokoll:	Application
Ereignistyp:	Fehler
Symbolischer Name:	MSG_E_BAD_DEFAULT_CA_XCHG_CSP
Ereignistext (englisch):	Active Directory Certificate Services could not use the default provider for encryption keys. %1
Ereignistext (deutsch):	Von Active Directory-Zertifikatdienste konnte nicht der Standardanbieter für Verschlüsselungsschlüssel verwendet werden. %1

Parameter

Die im Ereignistext enthaltenen Parameter werden mit folgenden Feldern befüllt:

%1: ErrorCode (win:UnicodeString)

Beispiel-Ereignisse

Active Directory Certificate Services could not use the default provider for encryption keys. Keyset does not exist 0x80090016 (-2146893802 NTE_BAD_KEYSET)

Beschreibung

Kennen Sie TameMyCerts? TameMyCerts ist ein Add-On für die Microsoft Zertifizierungsstelle (Active Directory Certificate Services). Es erweitert die Funktion der Zertifizierungsstelle und ermöglicht die Anwendung von Regelwerken, um die sichere Automatisierung von Zertifikat-Ausstellungen zu realisieren. TameMyCerts ist einzigartig im Microsoft-Ökosystem, hat sich bereits in unzähligen Unternehmen auf der ganzen Welt bewährt und steht unter einer freien Lizenz. Es kann über GitHub heruntergeladen und kostenlos verwendet werden. Professionelle Wartung wird ebenfalls angeboten.

Dieses Ereignis kann auftreten, wenn die Zertifizierungsstelle den unter dem Registry-Wert EncryptionCsp konfigurierten Wert nicht verarbeiten kann, beispielsweise wenn ein Hardware Security Modul (HSM) zum Einsatz kommt, und keine Schlüssel erzeugt werden können.

Der Wert befindet sich unter:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CertSvc\Configuration\{Common-Name-der-CA}\EncryptionCSP

Er wird während der Installation der Zertifizierungsstelle auf den gleichen Wert gesetzt wie für das Zertifizierungsstellen-Zertifikat.

Er wird verwendet, um die Schlüsselpaare für die Zertifizierungsstellen-Austauschzertifikate (CA Exchange) zu erzeugen. Die Zertifizierungsstellen-Austauschzertifikate werden verwendet für die Archivierung privater Schlüssel, aber auch für die Unternehmens-PKI (Enterprise PKI, pkiview.msc) Managementkonsole.

Im Allgemeinen kann für die Zertifizierungsstellen-Austauschzertifikate gefahrlos ein Software Key Storage Provider verwendet werden. Dieser kann konfiguriert werden mit folgendem Kommandozeilenbefehl:

certutil -setreg CA\EncryptionCSP\Provider "Microsoft Software Key Storage Provider"

Anschließend muss der Zertifizierungsstellen-Dienst neu gestartet werden, damit die Änderungen angenommen werden.

Siehe auch Ereignis 86 und 88.

Sicherheitsbewertung

Die Sicherheitsbetrachtung richtet sich nach den drei Dimensionen Vertraulichkeit (Confidentiality), Integrität (Integrity) und Verfügbarkeit (Availability).

Hierzu wurde noch keine Beschreibung verfasst.

Bewertung durch Microsoft

Microsoft bewertet dieses Ereignis im Securing Public Key Infrastructure (PKI) Whitepaper mit einem Schweregrad von "Niedrig".

Weiterführende Links:

Externe Quellen

Event ID 87 – AD CS Key Archival and Recovery (Microsoft)
Securing Public Key Infrastructure (PKI) (Microsoft)