Error "La cadena de certificados fue emitida por una autoridad que no es de confianza" después de actualizar las aplicaciones SNAC

Después de actualizar de SQL Server Native Client 11.0 (Provider=SQLNCLI11) a Microsoft OLE DB Driver 19 for SQL Server, es posible que se produzca un error en los intentos de conexión con el siguiente mensaje de error:

[Microsoft OLE DB Driver 19 for SQL Server]: El cliente no puede establecer la conexión

[Microsoft OLE DB Driver 19 for SQL Server]: Proveedor SSL: la cadena de certificados fue emitida por una autoridad que no es de confianza.

Causa del error de confianza de la cadena de certificados al actualizar a Microsoft OLE DB Driver 19

Este error indica que el equipo cliente no puede comprobar la autenticidad del certificado de SQL Server porque fue emitido por una entidad de certificación (CA) en la que el cliente no confía.

Estos errores se producen si se cumplen las dos condiciones siguientes:

• La configuración Force encryption de la instancia de SQL Server está establecida en No.

• La cadena de conexión de cliente no especifica explícitamente un valor para la propiedad de cifrado o la opción Cifrado no se estableció ni actualizó explícitamente en el DSN.

El error se produce debido a un cambio en el comportamiento predeterminado de los controladores de cliente. Las versiones anteriores de los controladores de cliente asumen que el cifrado de datos está desactivado de forma predeterminada. Los nuevos controladores asumen que esta configuración está activada de forma predeterminada. Dado que el cifrado de datos es ON, el controlador intenta validar el certificado del servidor y produce un error.

Soluciones para el error de confianza de la cadena de certificados al actualizar a Microsoft OLE DB Driver 19

Instalación de un certificado en el que confía el cliente (recomendado)

Aprovisione un certificado TLS en la instancia de SQL Server de una entidad de certificación en la que confía el cliente. Asegúrese de que el servidor suministre los certificados intermedios necesarios para que el cliente pueda construir la cadena hasta una autoridad de certificación raíz de confianza. Este enfoque resuelve el error al mantener habilitado el cifrado y la validación de certificados. Para más información, consulte Configuración del Motor de base de datos de SQL Server para el cifrado de las conexiones.

Confiar en el certificado de servidor sin validación

Si no puede aprovisionar un certificado verificable inmediatamente, indique al controlador que omita la validación del certificado. La palabra clave que use depende de cómo compila la aplicación el cadena de conexión:

• En una cadena del proveedor, agregue TrustServerCertificate=yes.
• En una cadena ADO o de inicialización, agregue Trust Server Certificate=true.

Esta configuración no activa el cifrado por sí mismo. Indica al controlador que omita la validación del certificado cuando la conexión está cifrada, lo que deja vulnerable la conexión a ataques de intermediario. Úselo solo como medida temporal. En Strict el modo de cifrado, el controlador omite esta configuración y siempre valida el certificado.

Establezca la palabra clave de cifrado en Opcional.

Cambie la configuración de cifrado para que el controlador no requiera un certificado validado. La palabra clave que use depende de cómo compila la aplicación el cadena de conexión:

• En una cadena del proveedor, configure Encrypt=Optional.
• En una cadena ADO o de inicialización, establezca Use Encryption for Data=Optional.

El valor predeterminado en OLE DB Driver 19 es Mandatory. Si el cadena de conexión ya especifica Mandatory, yeso true, cambie el valor a Optional. Si el cadena de conexión no especifica un valor, agregue la palabra clave . Este cambio restaura el comportamiento de cifrado de la versión 18 y reduce la seguridad de la conexión.

Para obtener más información, consulte Cifrado y validación de certificados en OLE DB.

Usar OLE DB Driver 18.x como medida temporal

Microsoft OLE DB Driver for SQL Server 18.x no habilita el cifrado de forma predeterminada, por lo que no se ve afectado por este cambio. Trate esta opción como temporal y planee el traslado al controlador OLE DB 19. Puede descargar el controlador desde Notas de la versión de Microsoft OLE DB Driver for SQL Server.

Después de actualizar de SQL Server Native Client 11.0 (Driver={SQL Server Native Client 11.0}) a Microsoft ODBC Driver 18 for SQL Server (Driver={ODBC Driver 18 for SQL Server}), es posible que se produzca un error en los intentos de conexión con el siguiente mensaje de error:

[Microsoft][ODBC Driver 18 for SQL Server]Proveedor SSL: la cadena de certificados la emitió una entidad que no es de confianza.

[Microsoft][ODBC Driver 18 for SQL Server]El cliente no puede establecer la conexión

Causa del error de confianza de la cadena de certificados al actualizar a Microsoft ODBC Driver 18

Este error indica que el equipo cliente no puede comprobar la autenticidad del certificado de SQL Server porque fue emitido por una entidad de certificación (CA) en la que el cliente no confía.

Estos errores se producen si se cumplen las dos condiciones siguientes:

• La opción Forzar cifrado para la instancia de SQL Server se establece en No.

• La cadena de conexión de cliente no especifica explícitamente un valor para la propiedad de cifrado o la opción Cifrado no se estableció ni actualizó explícitamente en el DSN.

El error se produce debido a un cambio en el comportamiento predeterminado de los controladores de cliente. Las versiones anteriores de los controladores de cliente asumen que el cifrado de datos está desactivado de forma predeterminada. Los nuevos controladores asumen que esta configuración está activada de forma predeterminada. Dado que el cifrado de datos es ON, el controlador intenta validar el certificado del servidor y produce un error.

Soluciones para el error de confianza de la cadena de certificados al actualizar a Microsoft ODBC Driver 18

Instalación de un certificado en el que confía el cliente ODBC (recomendado)

Aprovisione un certificado TLS en la instancia de SQL Server de una entidad de certificación en la que confía el cliente. Asegúrese de que el servidor proporcione los certificados intermedios necesarios para que el cliente pueda crear la cadena hasta una CA raíz de confianza. Este enfoque resuelve el error al mantener habilitado el cifrado y la validación de certificados. Para más información, consulte Configuración del Motor de base de datos de SQL Server para el cifrado de las conexiones.

Confiar en el certificado de servidor sin validación en ODBC

Si no puede aprovisionar un certificado verificable inmediatamente, omita la validación de una de las maneras siguientes:

• En un cadena de conexión, agregue TrustServerCertificate=yes.
• En un DSN, seleccione la opción Trust server certificate (Certificado de servidor de confianza ).

Esta configuración no activa el cifrado por sí mismo. Indica al controlador que omita la validación del certificado cuando la conexión está cifrada, lo que la deja vulnerable a ataques de intermediario. Úselo solo como medida temporal. La opción Certificado de servidor de confianza solo se aplica cuando el cifrado de conexión está establecido en Opcional o Obligatorio. El controlador lo omite y siempre valida el certificado cuando se usa Strict.

Establezca Encrypt como Optional en la cadena de conexión o DSN.

Modifique la configuración de cifrado en la cadena de conexión o DSN:

• Si el cadena de conexión especifica Encrypt=yes o Encrypt=mandatory, cambie el valor a Encrypt=no o Encrypt=optional.
• Si el cadena de conexión no especifica un valor, agregue Encrypt=optional;. El valor predeterminado está yes en ODBC Driver 18 y versiones posteriores, y no en versiones anteriores.
• Si usa un DSN, abra el Administrador de orígenes de datos ODBC, seleccione el origen de datos y, a continuación, seleccione Configurar. Continúe con el asistente en la pantalla que contiene el cifrado de conexión, establézcalo en Opcional y, a continuación, seleccione Finalizar para guardar el DSN.

Para obtener más información, consulte DSN y palabras clave y atributos de la cadena de conexión y opciones de DSN del administrador de orígenes de datos ODBC.

Uso del controlador ODBC 17 como medida temporal

Microsoft controlador ODBC 17 para SQL Server no habilita el cifrado de forma predeterminada, por lo que no se ve afectado por este cambio. Considere esta opción como una medida temporal y planifique la migración al controlador ODBC 18. Puede descargar el controlador desde Descargar controlador ODBC para SQL Server.