Сбой добавления сертификата ssl ошибка 1312

Я создал WebService с помощью WCF. Я занимаюсь самостоятельным хостингом и хочу включить HTTPS. Насколько я понимаю, для этого мне нужно создать сертификат и привязать его к порту, который я хочу использовать.

Вот шаги, которые я сделал, чтобы справиться с этим:

1. Создал сертификат на моем локальном компьютере, чтобы действовать как корневой центр сертификации
   • makecert -n «CN=Мой корневой центр сертификации» -r -sv RootCATest.pvk RootCATest.cer
2. Открыл MMC.exe и импортировал сохраненный файл .cer в папку «Доверенный корневой сертификатСертификаты».
   • makecert -sk MyKeyName -iv RootCATest.pvk -n «CN=MyMachineName» -ic RootCATest.cer -sr localmachine -ss my -sky exchange -pe MyMachineName.cer

3. Создан временный сертификат службы из подписанного корневого центра сертификации.

   • makecert -sk MyKeyName -iv RootCATest.pvk -n «CN=MyMachineName» -ic RootCATest.cer -sr localmachine -ss my -sky exchange -pe MyMachineName.cer

4. Попытка привязать сертификат к номеру порта (в данном случае 443)

   • netsh http add sslcert ipport=0.0.0.0:443 certhash=2c5ba85bcbca412a74fece02878a44b285c63981 appid={646937c0-1042-4e81-a3b6-47d678d68ba9}

Результатом шага 4 является следующая ошибка:

Не удалось добавить сертификат SSL, ошибка 1312

Указанный сеанс входа в систему не существует. Возможно, он уже был прекращен.

Кто-нибудь знает, почему я могу получить эту ошибку?

У меня была такая же ошибка. В первый раз, когда это произошло, как сказал Майкл, мне пришлось переместить сертификат в папку «Сертификаты (локальный компьютер)» -> «Личные» -> «Сертификат». У меня была такая же ошибка, когда я импортировал тот же сертификат на другой компьютер. Причина в том, что я использовал certmgr.msc для импорта сертификата. . Открывшееся окно показывает «Сертификаты — Текущий пользователь». Сертификаты, импортированные с помощью этого окна, приводят к сбою netsh с ошибкой 1312. Обязательно используйте оснастку сертификатов в MMC для импорта сертификатов. Оснастка сертификата из MMC показывает «Сертификаты (локальный компьютер)». Это позволяет выполнить netsh.

SSL Certificate add failed, Error 1312

A specified logon session does not exist. It may already have been terminated.

Раньше у меня была точно такая же проблема, и я потратил пару дней, пытаясь понять, в чем причина.

Короче говоря: проблема в том, что вы установили сертификат на сервер winrm, у которого нет ЧАСТНОГО КЛЮЧА.

Я проверял это несколько раз. Вы должны удалить свой сертификат и перестроить его, например, с помощью makecert, как это прекрасно описано здесь: http://blogs.technet.com/b/jhoward/archive/2005/02/02/365323.aspx

Вы можете легко проверить, есть ли у вашего сертификата закрытый ключ, следующим образом: mmc — certificates — local machine — personal. Посмотрите на значок сертификата — он ДОЛЖЕН иметь знак ключа на значке.

Я купил официальный сертификат Thawte для защиты веб-службы, размещенной на собственном хосте (консольное приложение) через определенный порт на нашем интернет-сервере. Затем я получил сертификат Thawte и установил его с помощью mmc на нашем интернет-сервере (тогда сертификат можно было просмотреть в разделе «Доверенные корневые центры сертификации» (со значком ключа на изображении, что показывает, что сертификат содержит закрытый ключ, что является обязательным чтобы иметь возможность привязать его к порту кстати).

Следующим шагом было включение <port> для https:

netsh http add urlacl url=https://+:<port>/ user=everyone

(что не было проблемой)

Следующим шагом было включение порта () для https:

netsh http add sslcert ipport=0.0.0.0:<port> certhash=<thumbprint to certificate> appid={<guid to application>}

Это не удалось с сообщением об ошибке:
Не удалось добавить SSL-сертификат, ошибка: 1312 Указанный сеанс входа не существует. Возможно, он уже был прекращен.

Затем я поискал в Интернете и попробовал различные предложенные обходные пути (без успеха).

Решение для моего случая состояло в том, чтобы добавить certstorename=Root в команду netsh:

netsh http add sslcert ipport=0.0.0.0:<port *1)> certstorename=Root certhash=<thumbprint to certificate *2)> appid={<guid to application *3)>}

Примечания:
Если к команде net netsh применено no certstorename, netsh использует по умолчанию значение MY (что нацелено на хранилище сертификатов: «Personal», где самоподписанные сертификаты хранятся нормально).
Корень нацелен на хранилище сертификатов: «Доверенные корневые центры сертификации».

*1): порт, который вы хотите использовать для подключения
*2): Вы можете извлечь отпечаток сертификата, если откроете сертификат (в системе Windows просто дважды щелкните сертификат в проводнике) — выберите вкладку «Подробности» и нажмите «Отпечаток». Затем отображается «отпечаток пальца», который можно скопировать. Скопируйте отпечаток и удалите все пробелы…
*3): В качестве appid вы можете использовать любой идентификатор в форме {xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx}, так как APPID является только информативным. С помощью команды «netsh http show sslcert» вы можете запросить связанные сертификаты на всей машине, и вы увидите информацию о том, какой appid привязан к какому сертификату (на практике это не очень полезно, кстати). В моем случае я взял (из сгенерированного VS) GUID в свое приложение веб-службы.

Я имел дело с этой проблемой, и я использую собственную службу WCF. Я только что сделал прорыв:

У меня был сертификат в папке персонала для магазина Machine. Срок его действия истек, и мой менеджер выдал новый. Новый не удался для меня с этой ошибкой. Я пробовал много вещей от Google, но в конце концов решил проблему, используя совершенно другое решение.

Я установил оба сертификата — просроченный и новый. Затем я использовал эту команду, чтобы получить их список:

certutil -store My

Я получаю этот вывод (информация является поддельной, а другие сертификаты не указаны):

================ Certificate 1 ================
Serial Number: 6d
Issuer: E=operations@voicetrust.com, CN=VoiceTrust Server CA, OU=VoiceTrust Oper
ations, O=VoiceTrust
 NotBefore: 03-Jan-2013 3:33 PM
 NotAfter: 03-Mar-2013 3:33 PM
Subject: E=hgulzar@voicetrust.com, CN=hornet.voicetrust.com, OU=Software Develop
ment, O=VoiceTrust eServices MENA FZ LLC, L=Dubai, C=AE
Non-root Certificate
Cert Hash(sha1): 98 5f a0 d3 11 6a 4b 64 3b db 0a a4 11 66 fc 08 28 74 7e 53
  Key Container = {E5BC0912-7808-4B89-B457-31946DE5990E}
  Unique container name: dfedfcc149408fb990a3bacd6d31126b_3277b2c9-9894-46d0-9b6
4-30f0d6589239
  Provider = Microsoft Enhanced Cryptographic Provider v1.0
Private key is NOT exportable
Encryption test passed

================ Certificate 2 ================
Serial Number: 6d
Issuer: E=operations@voicetrust.com, CN=VoiceTrust Server CA, OU=VoiceTrust Oper
ations, O=VoiceTrust
 NotBefore: 03-Nov-2013 3:33 PM
 NotAfter: 03-Dec-2013 3:33 PM
Subject: E=hgulzar@voicetrust.com, CN=hornet.voicetrust.com, OU=Software Develop
ment, O=VoiceTrust eServices MENA FZ LLC, L=Dubai, C=AE
Non-root Certificate
Cert Hash(sha1): 30 5f a0 d3 11 6a 4b 64 3b db 0a a4 11 66 fc 08 28 74 7e 53
  Key Container = {E5BC0912-7808-4B89-B457-31946DE5960E}
  *Unique container name:* 55edfcc149408fb990a3bacd6d31126b_3277b2c9-9894-46d0-9b6
4-30f0d6589239
  Provider = Microsoft Enhanced Cryptographic Provider v1.0
Private key is NOT exportable
Encryption test passed

Теперь все кажется в порядке, но срок действия сертификата 1 истек, и он работает, если я пытаюсь привязать его к порту, тогда как сертификат 2 завершается с ошибкой 1312.

Ключевым отличием, которое меня озадачило, было свойство Уникальное имя контейнера. Он должен представлять файл физического ключа на жестком диске в %ProgramData%MicrosoftCryptoRSAMachineKeys

Для сертификата 1 файл был, а для сертификата 2 такого файла не было. После поиска я нашел файл с сертификатом 2 в подпапке папки %AppData%MicrosoftCrypto. Это пользовательские ключи, а не ключи уровня машины. Удивительно, что сертификат импортируется в хранилище компьютеров, но всегда сохраняет ключ контейнера хранилища пользователя.

Я удалил файл 55edfcc149408fb990a3bacd6d31126b_3277b2c9-9894-46d0-9b64-30f0d6589239 из папки AppData и выполнил команду восстановления моего сертификата 2 в хранилище:

certutil -repairstore My 2

На этот раз уникальное имя контейнера отражало файл в соответствующей папке в папке «%ProgramData%MicrosoftCrypto», и ​​все заработало.

Надеюсь, это кому-то поможет.

Я весь день боролся с ошибкой 1312, для меня это исправило импорт сертификата в mmc в виде файла .p12 вместо .crt. Если вы создаете его с помощью OpenSSL, то после создания .crt выполните:

pkcs12 -export -in server.crt -inkey server.key -name “Your Name” -out server.p12

Как описано. Когда вы собираетесь импортировать его в mmc, он будет называться файлом «Обмен личной информацией» (и, по-видимому, файл .pfx также будет работать).

Я новичок в написании серверов и работе с SSL, и я понятия не имею, почему это работает, но я надеюсь, что это поможет.

Проблема была на шаге 4. Я использовал отпечаток из корневого сертификата для значения в certhash. Чтобы решить эту проблему, мне пришлось вернуться в MMC и обновить папку «Сертификаты (локальный компьютер)» -> «Личные» -> «Сертификат». Затем используйте отпечаток сертификата, который «выдан» корневым центром сертификации.

В моем случае проблема заключалась в том, что к файлу CER не был прикреплен закрытый ключ.

Я подключил PK, используя эти команды OpenSSL:

openssl x509 -in server.der -inform DER -out server.pem -outform PEM
openssl pkcs12 -export -in server.pem -inkey serverkey.pem -out server.p12

Работает с файлами CER/DER.

У меня была такая же проблема, и я решил импортировать сертификат с помощью этой команды:

c:> certutil -importPFX certname.pfx

Теперь сертификат появляется с помощью этой команды:

c:> certutil -store my

Перед этой командой сертификат не появляется

Есть несколько способов получить эту ошибку (другие ответы см. Выше).

Другой способ получить эту конкретную ошибку — попытаться привязать сертификат к порту, когда сертификат отсутствует в соответствующем хранилище.

Убедитесь, что сертификат хранится в корневом хранилище localMachine (вы можете использовать certutil или certmgr.exe из командной строки, чтобы правильно сбросить его).

Обновленная грамматика

Если:

1. у вас не было IIS на вашем компьютере (скажем, вы работали с собственным WCF), и
2. вы сделали запрос сертификата на другом компьютере с помощью диспетчера IIS (потому что вы не поняли, что закрытый ключ исходит из шифров, встроенных в запрос сертификата, а затем выданного .pb7)

Тогда:

1. просто установите .pb7 на машину IIS, которую вы использовали для запроса сертификата (локальная машина/личные/сертификаты — с использованием mmc);
2. экспортировать сертификат с этой машины, включая его закрытый ключ (назначить пароль); и
3. установите его с помощью mmc на сервере WCF (локальный компьютер/персональный/сертификаты — с помощью mmc).

Затем netsh позволит вам привязаться к порту 443. Больше никаких ошибок 1312.

Просто чтобы бросить еще один ответ на ринг, вот проблема, с которой я столкнулся:

Хотя я импортировал свой сертификат в хранилище сертификатов (Local Computer)..., я импортировал его в раздел Trusted Root Certification Authorities. Мне нужно было импортировать его в раздел Personal, иначе возникала эта ошибка.

Если кто-то еще столкнется с этой проблемой, и ответы здесь не дают четкого ответа, основная основная проблема заключается в том, что закрытый ключ необходимо импортировать. Если вы не пометите сертификат как экспортируемый при импорте, закрытый ключ не будет импортирован, и вы не сможете его привязать. Если вы удалите его и повторно импортируете и пометите как экспортируемый, то он будет работать.

Как указывали другие, это также должен быть локальный машинный магазин.

В моем случае у меня отсутствует закрытый ключ сертификата.

ЕСЛИ вы импортировали сертификат с помощью .NET, необходимо использовать определенные флаги импорта:

/// <summary>
/// Imports X.509 certificate from file to certificate store.
/// </summary>
/// <param name="fileName">Certificate file.</param>
/// <param name="password">Password.</param>
/// <param name="storeName">Store name.</param>
/// <param name="storeLocation">Store location.</param>
public static void ImportCertificate(string fileName, string password, StoreName storeName, StoreLocation storeLocation) {
    var keyStorageFlags =
        X509KeyStorageFlags.PersistKeySet
        | (storeLocation == StoreLocation.LocalMachine ? X509KeyStorageFlags.MachineKeySet : X509KeyStorageFlags.UserKeySet);
    var cert = new X509Certificate2(fileName, password, keyStorageFlags);
    var store = new X509Store(storeName, storeLocation);
    store.Open(OpenFlags.MaxAllowed);
    store.Add(cert);
    store.Close();
}

Метод ImportCertificate является частью пакета Woof.Security, созданного мной.

• https://github.com/HTD/Woof.Security

• https://www.nuget.org/packages/Woof.Security/

Аргумент certstorename должен быть строковым значением StoreName из пространства имен .net framework System.Security.Cryptography.X509Certificates.

Я работал над этим часами и в основном прочитал то, что @DoomerDGR8 сказал выше, но мое решение было намного проще. я побежал

 C:Windowssystem32> certutil -store TRUSTEDPUBLISHER

В нем перечислены несколько сертификатов, которые я установил, затем я запустил repair store для сертификата, который у меня возникла проблема при установке с помощью netsh.

C:Windowssystem32> certutil -repairstore TRUSTEDPUBLISHER 6

Число 6 в конце представляет собой индекс вашего сертификата, найденного в магазине, надеюсь, это поможет

В моем случае при создании сертификата я выбрал имя, отличное от My, для имени моего хранилища сертификатов. Имя по умолчанию — МОЙ. Поэтому, если у вас отличается, добавьте к команде certstorename=предоставленное вами имя магазина.

У меня была такая же ошибка при создании самоподписанного сертификата с OpenSSL (BouncyCastle). Я решил ее с помощью этого поста: Невозможно экспортировать сгенерированный сертификат с закрытым ключом в массив байтов в .net 4.0/4.5

Пришлось добавить:

        RsaPrivateKeyStructure rsa = RsaPrivateKeyStructure.GetInstance(seq); //new RsaPrivateKeyStructure(seq);
        RsaPrivateCrtKeyParameters rsaparams = new RsaPrivateCrtKeyParameters(
            rsa.Modulus, rsa.PublicExponent, rsa.PrivateExponent, rsa.Prime1, rsa.Prime2, rsa.Exponent1, rsa.Exponent2, rsa.Coefficient);

        var rsaPriv = DotNetUtilities.ToRSA(rsaparams);

        var cspParams = new CspParameters
        {
            KeyContainerName = Guid.NewGuid().ToString(),
            KeyNumber = (int)KeyNumber.Exchange,
            Flags = CspProviderFlags.UseMachineKeyStore
        };

        var rsaPrivate = new RSACryptoServiceProvider(cspParams);**

        // Import private key from BouncyCastle's rsa
        rsaPrivate.ImportParameters(rsaPriv.ExportParameters(true));

        // Set private key on our X509Certificate2
        x509.PrivateKey = rsaPrivate;

Итак, чтобы добавить (пока) исправление/ситуацию.

У меня был код C#, который использовал BouncyCastle для создания самозаверяющих сертификатов.

<packages>
  <package id="BouncyCastle" version="1.8.1" targetFramework="net45" />

Итак, мой код создал сертификаты и поместил их в правильные места в Cert-Store.

Используя приведенные здесь подсказки, моя установка On Premise Service Bus 1.1 не удалась… и это привело меня сюда.

В итоге я УДАЛИЛ оба сертификата, созданные моим кодом BouncyCastle (из хранилища сертификатов), и повторно импортировал их (с закрытыми ключами)… и все это сработало. Я импортировал ПЕРВЫМ в

Сертификаты (локальный компьютер)/Личные/Сертификаты

Потом скопировал вставил (в ммс) в любые другие места (магазины) они мне были нужны.

Мое «до» и «после» выглядело точно так же с моих глаз в MMC, НО это решило проблему. Иди разберись.

У меня только что была еще одна ошибка. Я обновил сертификат с истекшим сроком действия для нашей службы WorkFolders из нашего ЦС, используя тот же закрытый ключ. Затем я всегда получал ошибку 1312. Даже если Управление сертификатами показывает, что у меня есть закрытый ключ.
Я смог решить проблему только путем перевыпуска нового сертификата (без опции продления). Тогда это сработало с первой попытки.
Может быть, это поможет кому-то, кто также пробовал вариант обновления.

Для меня проблема была решена путем обеспечения того, чтобы хэш сертификата, который я использовал в своей командной строке, соответствовал сертификату, установленному на моем сервере:

Netsh http добавить sslcert ipport=0.0.0.0:8081 certhash=1061a577f0cc1c428186000dc84f02a7111ca1b2 appid={GUID}

С моей стороны предоставленные файлы были файлом P7B вместе с кучей файлов сертификатов. Застряв, я обратился за помощью к своему коллеге, и он подал мне идею импортировать сертификаты вместе с закрытым ключом через PFX.

Эта статья содержит мне инструкция конвертировать файл P7B в PFX. Подводя итог, вам просто нужно сделать следующее:

1. Используйте openssl, чтобы сначала преобразовать файл P7B в PEM.
2. Преобразуйте файл PEM в PFX.

Теперь вы можете импортировать файл PFX. Лучше прочитать статью, которую я указал выше, потому что в ней есть важная информация для заметок.

Это мое резюме всех исправлений в этой теме и того, как это сработало для меня:

1. Найдите «Windows PowerShell», щелкните правой кнопкой мыши значок и выберите «Запуск от имени администратора».
2. Найдите «Wordpad», щелкните правой кнопкой мыши значок и выберите «Запуск от имени администратора». (это сделано для того, чтобы вы могли копировать и вставлять между PowerShell и Wordpad.)
3. В PowerShell запустите «netsh HTTP show sslcert».
4. Из отображаемой информации скопируйте «Хэш сертификата», «Идентификатор приложения» и «Имя хранилища сертификатов». (Вам понадобится все это через мгновение.)
5. (Если вам нужно) найдите файл *.cer или *.crt и экспортируйте его как файл *.pfx.
6. В Powershell перейдите в папку вашего файла *.pfx.
7. Теперь запустите «certutil -importPFX .pfx».
8. Затем запустите «certutil -store my», чтобы отобразить установленные сертификаты.
9. Теперь, используя информацию из шага № 4, запустите этот «netsh http add sslcert ipport = 0.0.0.0: 8000 certstorename = certhash = appid =» (мне пришлось поместить их в этом порядке, с моим именем хранилища сертификатов и одинарными кавычками вокруг идентификатор приложения.)
10. Убедитесь, что сертификат SSL был добавлен, снова запустив «netsh HTTP show sslcert».

Это может показаться очевидным; тем не менее, я думаю, что это может избавить кого-то от головной боли. Я импортировал файл с расширением .cer в папку «Личные сертификаты» (для учетной записи «Персональный компьютер»). Через некоторое время я понял, что вместо этого мне нужно импортировать файл с расширением *.pfx. Исправил это и вуаля! Проблема решена!

Форум КриптоПро
 » 
Устаревшие продукты
 » 
КриптоПро CSP 3.6
 » 
Не получается простая вещь: привязка SSL-сертификата к порту

Форум КриптоПро
 » 
Устаревшие продукты
 » 
КриптоПро CSP 3.6
 » 
Не получается простая вещь: привязка SSL-сертификата к порту