ID d'événement Windows 36888 – Schannel : Échec de la poignée de main TLS/SSL avec erreur de validation de certificat

Commencez par examiner les détails spécifiques de l'erreur dans le Visualiseur d'événements pour comprendre le type de défaillance :

1. Ouvrez Visualiseur d'événements → Journaux Windows → Système
2. Filtrez pour l'ID d'événement 36888 en utilisant l'option de filtre
3. Double-cliquez sur l'événement le plus récent pour voir les informations détaillées
4. Notez le code d'erreur, l'empreinte numérique du certificat et toute donnée supplémentaire
5. Utilisez PowerShell pour extraire des informations détaillées sur l'événement :

Get-WinEvent -FilterHashtable @{LogName='System'; Id=36888} -MaxEvents 10 | ForEach-Object {
    [PSCustomObject]@{
        TimeCreated = $_.TimeCreated
        Message = $_.Message
        LevelDisplayName = $_.LevelDisplayName
        Properties = $_.Properties
    }
} | Format-Table -Wrap

Les codes d'erreur courants incluent 0x80092012 (certificat révoqué), 0x800B0109 (chaîne de certificats invalide) et 0x80092013 (certificat expiré). Documentez ces codes pour un dépannage ciblé.

Vérifiez la chaîne de certificats et le statut de validation pour la connexion défaillante :

1. Identifiez le serveur cible à partir des détails de l'événement
2. Utilisez PowerShell pour tester la chaîne de certificats :

# Tester le certificat pour un serveur spécifique
$serverName = "your-server.domain.com"
$port = 443

try {
    $tcpClient = New-Object System.Net.Sockets.TcpClient
    $tcpClient.Connect($serverName, $port)
    $sslStream = New-Object System.Net.Security.SslStream($tcpClient.GetStream())
    $sslStream.AuthenticateAsClient($serverName)
    
    Write-Host "Sujet du certificat : " $sslStream.RemoteCertificate.Subject
    Write-Host "Émetteur du certificat : " $sslStream.RemoteCertificate.Issuer
    Write-Host "Valide à partir de : " $sslStream.RemoteCertificate.GetEffectiveDateString()
    Write-Host "Valide jusqu'à : " $sslStream.RemoteCertificate.GetExpirationDateString()
    
    $sslStream.Close()
    $tcpClient.Close()
} catch {
    Write-Error "Échec de la validation du certificat : $($_.Exception.Message)"
}

3. Vérifiez le magasin de certificats pour les certificats intermédiaires manquants :

Get-ChildItem -Path Cert:\LocalMachine\CA | Where-Object {$_.Subject -like "*intermediate*"}

Si des certificats intermédiaires manquent, téléchargez-les et installez-les depuis l'autorité de certification.

Ajustez les paramètres du protocole TLS et les suites de chiffrement pour résoudre les problèmes de compatibilité :

1. Vérifiez la configuration actuelle du protocole TLS dans le registre :

# Vérifiez les paramètres du client TLS 1.2
Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client" -Name "Enabled" -ErrorAction SilentlyContinue

# Vérifiez les paramètres du client TLS 1.3
Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.3\Client" -Name "Enabled" -ErrorAction SilentlyContinue

2. Activez TLS 1.2 et TLS 1.3 s'ils sont désactivés :

# Activez TLS 1.2
New-Item -Path "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client" -Force
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client" -Name "Enabled" -Value 1 -Type DWord
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client" -Name "DisabledByDefault" -Value 0 -Type DWord

# Activez TLS 1.3
New-Item -Path "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.3\Client" -Force
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.3\Client" -Name "Enabled" -Value 1 -Type DWord

3. Configurez l'ordre des suites de chiffrement pour la compatibilité :

# Obtenez l'ordre actuel des suites de chiffrement
Get-TlsCipherSuite | Select-Object Name, Certificate, KeyExchange, Cipher

# Définissez l'ordre recommandé des suites de chiffrement (nécessite un redémarrage)
$cipherOrder = @(
    "TLS_AES_256_GCM_SHA384",
    "TLS_AES_128_GCM_SHA256",
    "TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384",
    "TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256"
)
Set-TlsCipherSuite -Name $cipherOrder

Activez la journalisation complète de Schannel pour capturer des informations détaillées sur la poignée de main :

1. Activez la journalisation des événements Schannel dans le registre :

# Activer la journalisation Schannel
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL" -Name "EventLogging" -Value 7 -Type DWord

# Créer la clé de registre de journalisation si elle n'existe pas
if (!(Test-Path "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Logging")) {
    New-Item -Path "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Logging" -Force
}

# Activer la journalisation détaillée
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Logging" -Name "LogLevel" -Value 7 -Type DWord

2. Redémarrez le système ou les services concernés pour appliquer les modifications de journalisation
3. Surveillez le journal Système pour des événements Schannel supplémentaires :

# Surveiller les événements Schannel en temps réel
Get-WinEvent -FilterHashtable @{LogName='System'; ProviderName='Schannel'} -MaxEvents 50 | 
Sort-Object TimeCreated -Descending | 
Select-Object TimeCreated, Id, LevelDisplayName, Message | 
Format-Table -Wrap

4. Analysez les journaux détaillés de la poignée de main pour identifier les points de défaillance spécifiques
5. Utilisez des outils de capture de paquets réseau comme Wireshark pour examiner les paquets de poignée de main TLS si nécessaire

Résolvez les problèmes de confiance et de validation des certificats grâce à une gestion appropriée des certificats :

1. Vérifiez et mettez à jour le magasin de confiance des certificats :

# Lister les certificats racine de confiance
Get-ChildItem -Path Cert:\LocalMachine\Root | Where-Object {$_.Subject -like "*YourCA*"}

# Importer le certificat racine manquant
$certPath = "C:\path\to\root-certificate.cer"
Import-Certificate -FilePath $certPath -CertStoreLocation Cert:\LocalMachine\Root

# Importer le certificat intermédiaire
Import-Certificate -FilePath "C:\path\to\intermediate.cer" -CertStoreLocation Cert:\LocalMachine\CA

2. Configurer la vérification de la révocation des certificats :

# Désactiver la vérification de la révocation des certificats si l'accès réseau est limité
Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Cryptography\OID\EncodingType 0\CertDllCreateCertificateChainEngine\Config" -Name "MaxUrlRetrievalTimeoutMilliseconds" -Value 5000 -Type DWord

# Configurer les paramètres du cache CRL
Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Cryptography\OID\EncodingType 0\CertDllCreateCertificateChainEngine\Config" -Name "ChainCacheResyncTimeSeconds" -Value 900 -Type DWord

3. Tester la validation des certificats par programmation :

# Tester la validation de la chaîne de certificats
$cert = Get-ChildItem -Path Cert:\LocalMachine\My | Where-Object {$_.Thumbprint -eq "YourCertThumbprint"}
$chain = New-Object System.Security.Cryptography.X509Certificates.X509Chain
$chain.ChainPolicy.RevocationMode = [System.Security.Cryptography.X509Certificates.X509RevocationMode]::Online
$chain.ChainPolicy.RevocationFlag = [System.Security.Cryptography.X509Certificates.X509RevocationFlag]::EntireChain

if ($chain.Build($cert)) {
    Write-Host "La chaîne de certificats est valide"
} else {
    Write-Host "Échec de la validation de la chaîne de certificats :"
    $chain.ChainStatus | ForEach-Object { Write-Host "  $($_.Status): $($_.StatusInformation)" }
}

4. Mettre à jour Windows et les magasins de certificats :

# Mettre à jour le magasin de certificats racine
certlm.msc # Méthode manuelle

# Ou utiliser PowerShell pour mettre à jour depuis Windows Update
Update-Help -Module PKI -Force