Mon entreprise distribue un programme d’installation Windows pour un produit serveur. Conformément aux bonnes pratiques, il est signé à l’aide d’un certificat. Conformément aux conseils de Microsoft, nous utilisons un certificat de signature de code GlobalSign, dont Microsoft affirme qu’il est reconnu par défaut par toutes les versions de Windows Server.
Tout cela fonctionne bien, sauf lorsqu’un serveur a été configuré avec Stratégie de groupe : Configuration ordinateur / Modèles d’administration / Système / Gestion de la communication Internet / Paramètres de communication Internet / Désactiver la mise à jour automatique des certificats racines défini sur Activé.
Nous avons constaté qu’un de nos premiers bêta-testeurs fonctionnait avec cette configuration, ce qui provoquait l’erreur suivante lors de l’installation :
Un fichier requis ne peut pas être installé car le fichier cabinet [chemin long vers le fichier cab] a une signature numérique invalide. Cela peut indiquer que le fichier cabinet est corrompu.
Nous avons considéré cela comme une anomalie, car personne n’a pu expliquer pourquoi le système était configuré ainsi. Cependant, maintenant que le logiciel est disponible au grand public, il semble qu’un pourcentage à deux chiffres de nos clients soit configuré avec ce paramètre et personne ne sait pourquoi. Beaucoup sont réticents à modifier ce paramètre.
Nous avons rédigé un article de base de connaissances pour nos clients, mais nous ne voulons vraiment pas que le problème survienne du tout, car nous nous soucions réellement de l’expérience client.
Certaines choses que nous avons remarquées lors de notre investigation :
-
Une installation fraîche de Windows Server n’affiche pas le certificat GlobalSign dans la liste des autorités racines de confiance.
-
Avec Windows Server non connecté à Internet, l’installation de notre logiciel fonctionne correctement. À la fin de l’installation, le certificat GlobalSign est présent (non importé par nous). En arrière-plan, Windows semble l’installer de manière transparente lors de la première utilisation.
Voici donc ma question à nouveau. Pourquoi est-il si courant de désactiver la mise à jour des certificats racines ? Quels sont les effets secondaires potentiels de la réactivation des mises à jour ? Je veux m’assurer que nous pouvons fournir à nos clients les conseils appropriés.
Source : Server Fault,)