ID d'événement Windows 5378 – SCHANNEL : Erreur de validation de la chaîne de certificats TLS/SSL

Commencez par examiner les détails complets de l'événement pour identifier le certificat spécifique et le code d'erreur :

1. Ouvrez Observateur d'événements → Journaux Windows → Système
2. Filtrez pour l'ID d'événement 5378 en utilisant l'option de filtre
3. Double-cliquez sur l'événement 5378 le plus récent pour voir les détails
4. Notez l'empreinte numérique du certificat et la description de l'erreur dans les données de l'événement
5. Utilisez PowerShell pour récupérer des informations détaillées sur le certificat :

# Obtenir les détails du certificat par empreinte numérique
$thumbprint = "PASTE_THUMBPRINT_HERE"
Get-ChildItem -Path Cert:\LocalMachine\My | Where-Object {$_.Thumbprint -eq $thumbprint} | Format-List *

# Vérifiez tous les magasins de certificats pour le certificat
Get-ChildItem -Path Cert:\LocalMachine -Recurse | Where-Object {$_.Thumbprint -eq $thumbprint}

Examinez la période de validité du certificat, les informations sur l'émetteur et les objectifs prévus. Cette analyse initiale aide à déterminer si le problème est l'expiration du certificat, l'absence de confiance ou des problèmes de chaîne.

Validez la chaîne complète de certificats et assurez-vous que tous les certificats requis sont présents :

1. Utilisez PowerShell pour tester la construction de la chaîne de certificats :

# Testez la chaîne de certificats pour un serveur spécifique
$serverName = "your-server.domain.com"
$port = 443

# Créez une connexion TCP et récupérez le certificat
$tcpClient = New-Object System.Net.Sockets.TcpClient
$tcpClient.Connect($serverName, $port)
$sslStream = New-Object System.Net.Security.SslStream($tcpClient.GetStream())
$sslStream.AuthenticateAsClient($serverName)
$cert = $sslStream.RemoteCertificate
$sslStream.Close()
$tcpClient.Close()

# Affichez la chaîne de certificats
$cert2 = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2($cert)
$chain = New-Object System.Security.Cryptography.X509Certificates.X509Chain
$chain.Build($cert2)
$chain.ChainElements | ForEach-Object { $_.Certificate | Format-List Subject, Issuer, NotAfter }

2. Vérifiez les autorités de certification racines de confiance :

# Liste des AC racines de confiance
Get-ChildItem -Path Cert:\LocalMachine\Root | Format-Table Subject, Thumbprint, NotAfter

# Vérifiez une AC racine spécifique
Get-ChildItem -Path Cert:\LocalMachine\Root | Where-Object {$_.Subject -like "*YourCA*"}

3. Vérifiez que les certificats intermédiaires sont installés :

# Vérifiez le magasin de certificats intermédiaires
Get-ChildItem -Path Cert:\LocalMachine\CA | Format-Table Subject, Issuer, NotAfter

Installez les certificats racine ou intermédiaires manquants pour compléter la chaîne de confiance :

1. Téléchargez le certificat racine requis auprès de votre autorité de certification
2. Installez le certificat racine en utilisant PowerShell :

# Installer le certificat racine
$certPath = "C:\path\to\rootca.cer"
$cert = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2($certPath)
$store = New-Object System.Security.Cryptography.X509Certificates.X509Store("Root", "LocalMachine")
$store.Open("ReadWrite")
$store.Add($cert)
$store.Close()

Write-Host "Certificat racine installé avec succès"

3. Installez les certificats intermédiaires :

# Installer le certificat intermédiaire
$intermediatePath = "C:\path\to\intermediate.cer"
$intermediateCert = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2($intermediatePath)
$intermediateStore = New-Object System.Security.Cryptography.X509Certificates.X509Store("CA", "LocalMachine")
$intermediateStore.Open("ReadWrite")
$intermediateStore.Add($intermediateCert)
$intermediateStore.Close()

4. Mettez à jour les listes de révocation de certificats :

# Forcer la mise à jour de la CRL
certlm.msc
# Naviguez vers Autorités de certification intermédiaires → Certificats
# Clic droit sur le certificat → Toutes les tâches → Mettre à jour la liste de révocation de certificats

5. Testez la connexion après l'installation du certificat pour vérifier la correction

Modifier le comportement de validation des certificats via les paramètres du registre et la stratégie de groupe :

1. Configurer les paramètres du registre de validation des certificats :

# Désactiver la vérification de révocation des certificats (dépannage temporaire uniquement)
$regPath = "HKLM:\SOFTWARE\Microsoft\Cryptography\OID\EncodingType 0\CertDllCreateCertificateChainEngine\Config"
New-ItemProperty -Path $regPath -Name "MaxUrlRetrievalTimeoutMilliseconds" -Value 15000 -PropertyType DWord -Force
New-ItemProperty -Path $regPath -Name "MaxUrlRetrievalByteCount" -Value 100000000 -PropertyType DWord -Force

2. Configurer la journalisation SCHANNEL pour un dépannage détaillé :

# Activer la journalisation des événements SCHANNEL
$schannelPath = "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL"
New-ItemProperty -Path $schannelPath -Name "EventLogging" -Value 7 -PropertyType DWord -Force

3. Définir la stratégie de chaîne de certificats via le registre :

# Configurer la stratégie de chaîne de certificats
$chainPath = "HKLM:\SOFTWARE\Policies\Microsoft\SystemCertificates\ChainEngine\Config"
if (!(Test-Path $chainPath)) { New-Item -Path $chainPath -Force }
New-ItemProperty -Path $chainPath -Name "MaxUrlRetrievalTimeoutMilliseconds" -Value 30000 -PropertyType DWord -Force

4. Redémarrer les services affectés pour appliquer les modifications :

# Redémarrer le service HTTP et les services dépendants
Restart-Service -Name "HTTP" -Force
Restart-Service -Name "W3SVC" -Force -ErrorAction SilentlyContinue

Effectuer une analyse complète de la chaîne de certificats et un dépannage au niveau du réseau :

1. Utiliser les outils OpenSSL pour une analyse détaillée des certificats :

# Télécharger et analyser la chaîne de certificats en utilisant PowerShell
$serverName = "problematic-server.com"
$port = 443

# Créer un rapport détaillé de la chaîne de certificats
$webRequest = [Net.WebRequest]::Create("https://$serverName")
try {
    $webRequest.GetResponse()
} catch {
    $exception = $_.Exception
    if ($exception.InnerException -is [System.Security.Authentication.AuthenticationException]) {
        Write-Host "Échec de la validation du certificat : $($exception.InnerException.Message)"
    }
}

2. Analyser l'accessibilité de la liste de révocation des certificats :

# Tester l'accessibilité des points de terminaison CRL et OCSP
$cert = Get-ChildItem -Path Cert:\LocalMachine\My | Where-Object {$_.Subject -like "*your-cert*"}
$cert.Extensions | Where-Object {$_.Oid.FriendlyName -eq "CRL Distribution Points"} | ForEach-Object {
    $_.Format($true)
}

# Tester le répondeur OCSP
$cert.Extensions | Where-Object {$_.Oid.FriendlyName -eq "Authority Information Access"} | ForEach-Object {
    $_.Format($true)
}

3. Surveiller la validation des certificats en temps réel :

# Surveiller les événements SCHANNEL en temps réel
Get-WinEvent -FilterHashtable @{LogName='System'; Id=5378} -MaxEvents 10 | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

# Configurer une surveillance continue
Register-WmiEvent -Query "SELECT * FROM Win32_NTLogEvent WHERE LogFile='System' AND EventCode=5378" -Action {
    $event = $Event.SourceEventArgs.NewEvent
    Write-Host "Erreur de validation du certificat détectée à $($event.TimeGenerated)"
    Write-Host "Message : $($event.Message)"
}

4. Créer un rapport complet de validation des certificats :

# Générer un rapport de validation des certificats
$report = @()
Get-ChildItem -Path Cert:\LocalMachine\My | ForEach-Object {
    $cert = $_
    $chain = New-Object System.Security.Cryptography.X509Certificates.X509Chain
    $isValid = $chain.Build($cert)
    
    $report += [PSCustomObject]@{
        Subject = $cert.Subject
        Thumbprint = $cert.Thumbprint
        NotAfter = $cert.NotAfter
        IsValid = $isValid
        ChainStatus = ($chain.ChainStatus | ForEach-Object { $_.Status }) -join ", "
    }
}
$report | Export-Csv -Path "C:\temp\certificate-validation-report.csv" -NoTypeInformation