Existen dos mejoras que disminuya el tiempo que se requiere para administrar certificados SCEP mediante el servicio de inscripción de dispositivos de red en Windows Server 2008

Síntomas

En Windows Server 2008, intenta administrar certificados de protocolo de inscripción de certificados Simple (SCEP) mediante el servicio de inscripción de dispositivos de red (NDES). El NDES se instala como parte de los servicios de Certificate Server en Windows Server 2008. En este escenario, experimenta los problemas siguientes:

Problema 1

No se puede reutilizar las contraseñas entre los dispositivos.

Basado en el protocolo SCEP, un dispositivo es necesario para enviar una contraseña cuando solicita un certificado desde un servidor SCEP por primera vez. El servidor SCEP emite un certificado después de validar la contraseña.

El proceso mediante el cual el servidor SCEP emite un certificado después de validar la contraseña es la siguiente:

1. El administrador inicia sesión en un sitio Web de administración de SCEP y solicita una contraseña.

2. El servidor SCEP genera una contraseña aleatoria, lo almacena en la caché y, a continuación, muestra la contraseña para el administrador.

3. El administrador configura la contraseña en el dispositivo.

4. El dispositivo envía esta contraseña en la solicitud inicial de un certificado.
   
   Nota: Esta contraseña caduca en 60 minutos.

5. El servidor emite el certificado y, a continuación, quita la contraseña de la caché. La contraseña ya no puede utilizarse con otros dispositivos.

Problema 2

Certificados SCEP no pueden volver a inscribirse automáticamente después de su caducidad.

Debido a estos dos problemas, tardará administradores mucho tiempo a solicitud de las contraseñas para todos los dispositivos y aplicar certificados SCEP a ellos.

Solución

Para resolver estos dos problemas, instale la revisión 959193. Esta revisión incluye las siguientes mejoras de dos:

Mejora 1

Después de aplicar este hotfix, pueden reutilizar las contraseñas entre los dispositivos. El nuevo proceso para administrar las contraseñas es el siguiente:

1. El servidor SCEP confirma la configuración del registro para el modo de "Contraseña única". En este modo, una contraseña maestra es creada y almacenada en el registro mediante datos cifrados. Nunca caduca la contraseña maestra.

2. Un administrador inicia sesión en un sitio Web de administración de SCEP y solicita una contraseña. Se envía la contraseña maestra.

3. El administrador configura la contraseña en el dispositivo. Puesto que la contraseña es la misma para todos los dispositivos y nunca caduca, el administrador puede escribir fácilmente una secuencia de comandos para implementar la contraseña en todos los dispositivos.

Cómo habilitar mejora 1

Importante: esta sección, el método o la tarea contiene pasos que indican cómo modificar el registro. Sin embargo, pueden producirse problemas graves si modifica incorrectamente el registro. Por lo tanto, asegúrese de que sigue estos pasos cuidadosamente. Para una mayor protección, haga una copia de seguridad del registro antes de modificarlo. Entonces, puede restaurar el registro si se produce un problema. Para obtener más información acerca de cómo hacer copia de seguridad y restaurar el registro, haga clic en el número de artículo siguiente para verlo en Microsoft Knowledge Base:

322756 cómo hacer copia de seguridad y restaurar el registro en Windows
Para habilitar esta característica, cree la entrada de registro siguiente:Location: HKEY_LOCAL_MACHINE\Software\Microsoft\Cryptography\MSCEP\UseSinglePassword
Name: UseSinglePassword
Type: REG_DWORD
Value: 1

Nota: Si está ejecutando NDES bajo la cuenta servicio de red, debe conceder el permiso Control total a la cuenta de "Servicio de red" bajo la siguiente subclave del registro: HKEY_LOCAL_MACHINE\Software\Microsoft\Cryptography\MSCEP.

Mejora 2

Los certificados pueden volver a inscribirse automáticamente después de su caducidad. Esta característica se habilita automáticamente después de instalar la revisión.

De forma predeterminada, cuando se solicita una renovación de certificado mediante esta característica, el certificado del firmante debe tener el mismo nombre de asunto y el nombre de sujeto alternativo como el certificado solicitado. Para sortear este requisito, establezca el valor de la entrada de registro DisableRenewalSubjectNameMatch bajo la siguiente subclave en 1.

HKEY_LOCAL_MACHINE\Software\Microsoft\Cryptography\MSCEP\DisableRenewalSubjectNameMatch

Nota: Tendrá que crear esta entrada del registro con el tipo REG_DWORD si la entrada del registro no existe.

Estado

Microsoft ha confirmado que se trata de un problema de los productos de Microsoft que se enumeran en la sección "Aplicable a".

Más información

Para obtener más información acerca de SCEP, visite el siguiente Web de borradores de Internet (IETF) sitio Web:

http://www.ietf.org/proceedings/69/slides/pkix-3.pdf

Tenga en cuenta que este documento caduca el 25 de julio de 2009. Para obtener información después de esta fecha, busque "SCEP" en la página principal del sitio Web.

Microsoft proporciona información de contacto de terceros para ayudarle a encontrar soporte técnico. Esta información de contacto puede cambiar sin previo aviso. Microsoft no garantiza la exactitud de esta información de contacto de terceros.


Para obtener más información, haga clic en el siguiente número de artículo para verlo en Microsoft Knowledge Base:

824684 descripción de la terminología estándar que se utiliza para describir las actualizaciones de software de Microsoft