쪽팔리면 질문하지 맙시다. 소중한 답변 댓글을 삭제하는건 부끄러운 일 입니다
목표는 DST Root CA X3를 저 2개중 하나를 써서 제거하는 방법입니다 (cmd/bat로 파워셀 안 호출하고 처리 가능한 방법이라면 다른 명령이라도 상관없습니다)
설치나 추가는 쉬운데, 제거는 Microsoft 문서대로 지문 주거나해도 삭제가 안 됩니다
성공하신분 계시면 1줄 공유 좀 해주세요
참고로 삭제할려는 이유는 certbot때문입니다
이걸로 자동으로 갱신한 인증서 젤 끝에는 DST X3로 사인된 인증서가 붙어있는데, 이거땜에 만일 시스템에 저넘이 남아있으면 인증서를 신뢰 못한다는 에러를 보게 됩니다
제 서버들이야 인증서 유포전에 해당 부분을 삭제해서 올리고 있지만, 다른 사람이 돌리는 서버까지 어찌할 순 없어서 해당 작업이 필요하네요
맨날 삽질만 하고 삽니다
http://www.2cpu.co.kr/hardware_2014/44147
컴 케이스 작다고 불타거나 하지 않아요
똑같은 작업 몇백번하다가 지쳐서 삽질했는데, 막혀서 글 남겨봅니다
이게 맞는지 잘 모르겠습니다.
certutil -delstore "Root" "DST Root CA X3"
원하시는 기능이 맞으면 좋겟습니다.
https://crt.sh/?d=8395
문제의 인증서 여기서 받을 수 있으니 이걸 수동으로 신뢰 할 수 있는 루트 인증 기관에 추가후 해보시면 확인됩니다
명령어 후
certutil -delstore "Root" "DST Root CA X3"
진행 해보세요.
그래서 명령어 2번 쳐야하는데, AuthRoot랑 Root꺼요
다 삭제하고 말씀하신 링크에서 받아서 넣고 AuthRoot꺼만 지웠는데 잘 지워집니다.
도와주셔서 감사합니다
흐흐 해결되셔서 다행입니다.
다른곳에 인증서 물려있는거 있는거 같아서
찾아보니 AuthRoot(타사 루트인증기관) 거기에 있더라고요.
혹시 근데 이게 어떤 취약점이나 그런것때문에 지우시는건가요?
딱히 저게 있다고 보안상 문제는 없는데, FileZilla같은 일부 소프트의 작동에 영향을 주더군요 (예를 들어 FTPs로 된 서버 접속할떄 이 인증서를 신뢰하겠냐고 묻는데, 그만 물어보게 하단의 체크를 누를려고하면 안 됩니다)
Certificate -> R3 -> ISRG Root X1 (Self Signed)순으로 호출해야할게 Certificate -> R3 -> ISRG Root X1 -> DST X3 (Self Signed)순으로 호출해버립니다 (이러는 순간 인증서의 유효성이 문제가 됩니다)
DST X3로 사인된 ISRG Root X1쪽을 지워도 되지만, 애는 아직까지 유효기간이 남아있는지라 불필요해진 기간 만기된쪽을 지워서 해결볼려고 생각한것뿐입니다
이외에 윈도 웃기는점이 사용자가 문제있다고 RootCA의 일부를 지웠는데, 업데이트같은거 하면 지맘대로 부활해있거나해요 (가끔 분명히 지웠는데도 DST X3가 부활해있는걸 발견하기도 합니다)
다른 OS는 자동으로 부활하는것 아직까지 발견 못했으니 윈도 종특인거같네요
제가 관리하는데는 다 돈주고 인증서 써서
해당 문제가 없었군요..
기억해둬야겠네요.
좋은 하루되십쇼~~~
아마 부활하는것은.. 해당 인증서가 마소 서버에 남아있는게 아닌가 싶네요..
다만 가끔 잊어버릴만하면 부활해서 사람을 귀찮게 구네요
Get-ChildItem -Path Cert:\LocalMachine\Root
으로 썸프린트를 찾아서
certutil -delstore "Root" 썸프린트
하니까 삭제되네요
DAC9024F54D8F6DF94935FB1732638CA6AD77C13 CN=DST Root CA X3, O=Digital Signature Trust Co.
이넘인데
certutil -delstore "Root" DAC9024F54D8F6DF94935FB1732638CA6AD77C13
주고나서 certmgr에서 새로 고침이나 새로 열어서 확인해보면 그대로 있습니다
위에 알려주신 인증서 설치하고 썸프린트 삭제시도했더니 그건 안지워지네요.. 긁적
$thumbprint = "DAC9024F54D8F6DF94935FB1732638CA6AD77C13" # 삭제하려는 인증서의 Thumbprint
# Thumbprint와 일치하는 인증서를 찾습니다.
$cert = Get-ChildItem -Path Cert:\CurrentUser\Root | Where-Object { $_.Thumbprint -eq $thumbprint }
if ($cert -ne $null) {
# 인증서를 삭제합니다.
Remove-Item -Path $cert.PSPath
Write-Host "인증서 '$thumbprint' 삭제 완료."
} else {
Write-Host "Thumbprint '$thumbprint'를 가진 인증서를 찾을 수 없습니다."
}
삭제 확인했습니다
#:: double-click to run or just copy-paste into powershell - it's a standalone hybrid script
$_Paste_in_Powershell = { $:code;
$thumbprint = "DAC9024F54D8F6DF94935FB1732638CA6AD77C13" # 삭제하려는 인증서의 Thumbprint
# Thumbprint와 일치하는 인증서를 찾습니다.
$cert = Get-ChildItem -Path Cert:\CurrentUser\Root | Where-Object { $_.Thumbprint -eq $thumbprint }
if ($cert -ne $null) {
# 인증서를 삭제합니다.
Remove-Item -Path $cert.PSPath
Write-Host "인증서 '$thumbprint' 삭제 완료."
} else {
Write-Host "Thumbprint '$thumbprint'를 가진 인증서를 찾을 수 없습니다."
}
} ; start -verb runas powershell -args "-nop -c & {`n`n$($_Paste_in_Powershell-replace'"','\"')}"
$_Press_Enter
이렇게 해서 cmd에 우겨넣은후 실행하니 잠깐 메세지 뜨더니 삭제되네요
문젠 10에선 작동하는데, 7에서 하면 Remove-Item따윈 못 처리하겠다고 해버리네요
이외에 보안 수준을 안 낮추면 실행시 문제가 됩니다
파워셀 피할려는 이유가 저런식으로 OS 버전에 따라서 작동 유무가 달라지는거랑 ExecutionPolicy에 따라 제대로 작동 안 해서 그런겁니다
코드 감사합니다 (해당 코드는 저장해놨다가 다른 스크립트 짤떄 잘 써먹겠습니다)
추신 : 10년 넘은 7은 커녕 XP조차 가끔 손되야해서 호환성 문제가 골치아프네요
저 코드는 챗GPT가 알려준 거라, 저도 배우고 갑니다. 좋은하루 되세요.
문젠 안 먹히네요