« La chaîne de certificats a été émise par une autorité qui n’est pas approuvée » après la mise à niveau des applications SNAC

Après la mise à niveau de SQL Server Native Client 11.0 (Provider=SQLNCLI11) vers Microsoft OLE DB Driver 19 pour SQL Server, les tentatives de connexion peuvent échouer avec le message d’erreur suivant :

[Microsoft OLE DB Driver 19 pour SQL Server] : le client ne peut pas établir de connexion

[Microsoft OLE DB Driver 19 pour SQL Server] : Fournisseur SSL : La chaîne de certificats a été émise par une autorité qui n’est pas approuvée.

Cause de l’erreur d’approbation de chaîne de certificats lors de la mise à niveau vers Microsoft OLE DB Driver 19

Cette erreur indique que l’ordinateur client ne peut pas vérifier l’authenticité du certificat SQL Server, car il a été émis par une autorité de certification que le client n’approuve pas.

Ces erreurs se produisent si les deux conditions suivantes sont remplies :

• Le paramètre Forcer le chiffrement de l’instance SQL Server est défini sur Non.

• La chaîne de connexion cliente ne spécifie pas explicitement de valeur pour la propriété de chiffrement, ou l’option Chiffrement n’a pas été définie ou mise à jour explicitement dans le DSN.

L’erreur se produit en raison d’une modification du comportement par défaut des pilotes clients. Les versions antérieures des pilotes clients supposent que le chiffrement des données est DÉSACTIVÉ par défaut. Les nouveaux pilotes supposent que ce paramètre est ACTIVÉ par défaut. Étant donné que le chiffrement des données est ACTIVÉ, le pilote tente de valider le certificat du serveur et échoue.

Solutions pour l'erreur de confiance dans la chaîne de certificats lors de la mise à niveau vers Microsoft OLE DB Driver 19

Installer un certificat approuvé par le client (recommandé)

Provisionnez un certificat TLS sur l’instance SQL Server à partir d’une autorité de certification approuvée par le client. Assurez-vous que le serveur fournit tous les certificats intermédiaires requis afin que le client puisse générer la chaîne vers une autorité de certification racine approuvée. Cette approche résout l’erreur tout en gardant le chiffrement et la validation des certificats activés. Pour plus d’informations, consultez Configurer le moteur de base de données SQL Server pour le chiffrement des connexions.

Approuver le certificat de serveur sans validation

Si vous ne pouvez pas provisionner immédiatement un certificat vérifiable, indiquez au pilote d’ignorer la validation des certificats. Le mot clé que vous utilisez dépend de la façon dont votre application génère l’chaîne de connexion :

• Dans une chaîne du fournisseur, ajoutez TrustServerCertificate=yes.
• Dans une chaîne ADO ou d’initialisation, ajoutez Trust Server Certificate=true.

Ce paramètre n’active pas le chiffrement lui-même. Il indique au pilote d’ignorer la validation des certificats lorsque la connexion est chiffrée, ce qui laisse la connexion vulnérable aux attaques de l’adversaire dans le milieu. Utilisez-la uniquement comme mesure temporaire. En Strict mode de chiffrement, le pilote ignore ce paramètre et valide toujours le certificat.

Définir le mot clé de chiffrement sur Facultatif

Modifiez le paramètre de chiffrement afin que le pilote ne nécessite pas de certificat validé. Le mot clé que vous utilisez dépend de la façon dont votre application génère l’chaîne de connexion :

• Dans une chaîne du fournisseur, définissez Encrypt=Optional.
• Dans une chaîne ADO ou d’initialisation, définissez Use Encryption for Data=Optional.

La valeur par défaut dans OLE DB Driver 19 est Mandatory. Si la chaîne de connexion spécifie déjà Mandatory, yes ou true, remplacez la valeur par Optional. Si le chaîne de connexion ne spécifie pas de valeur, ajoutez le mot clé. Cette modification restaure le comportement de chiffrement de la version 18 et réduit la sécurité de la connexion.

Pour plus d’informations, consultez Chiffrement et validation de certificat dans OLE DB.

Utiliser OLE DB Driver 18.x comme mesure temporaire

Microsoft OLE DB Driver pour SQL Server 18.x n'active pas le chiffrement par défaut. Il n'est donc pas affecté par cette modification. Traitez cette option comme temporaire et planifiez votre déplacement vers OLE DB Driver 19. Vous pouvez télécharger le pilote depuis Notes de publication du Microsoft OLE DB Driver pour SQL Server.

Après la mise à niveau de SQL Server Native Client 11.0 (Driver={SQL Server Native Client 11.0}) vers Microsoft ODBC Driver 18 pour SQL Server (Driver={ODBC Driver 18 for SQL Server}), les tentatives de connexion peuvent échouer avec le message d’erreur suivant :

[Microsoft][ODBC Driver 18 pour SQL Server]Fournisseur SSL : la chaîne de certificats a été émise par une autorité qui n’est pas approuvée.

[Microsoft][ODBC Driver 18 pour SQL Server]Le client ne peut pas établir de connexion

Cause de l’erreur de confiance de la chaîne de certificats lors de la mise à niveau vers Microsoft ODBC Driver 18

Cette erreur indique que l’ordinateur client ne peut pas vérifier l’authenticité du certificat SQL Server, car il a été émis par une autorité de certification que le client n’approuve pas.

Ces erreurs se produisent si les deux conditions suivantes sont remplies :

• Le paramètre Forcer le chiffrement de l’instance SQL Server est défini sur Non.

• La chaîne de connexion cliente ne spécifie pas explicitement de valeur pour la propriété de chiffrement, ou l’option Chiffrement n’a pas été définie ou mise à jour explicitement dans le DSN.

L’erreur se produit en raison d’une modification du comportement par défaut des pilotes clients. Les versions antérieures des pilotes clients supposent que le chiffrement des données est DÉSACTIVÉ par défaut. Les nouveaux pilotes supposent que ce paramètre est ACTIVÉ par défaut. Étant donné que le chiffrement des données est ACTIVÉ, le pilote tente de valider le certificat du serveur et échoue.

Solutions pour l’erreur de confiance de la chaîne de certificats lors de la mise à niveau vers Microsoft ODBC Driver 18

Installer un certificat approuvé par le client ODBC (recommandé)

Provisionnez un certificat TLS sur l’instance SQL Server à partir d’une autorité de certification approuvée par le client. Assurez-vous que le serveur fournit tous les certificats intermédiaires requis afin que le client puisse générer la chaîne vers une autorité de certification racine approuvée. Cette approche résout l’erreur tout en gardant le chiffrement et la validation des certificats activés. Pour plus d’informations, consultez Configurer le moteur de base de données SQL Server pour le chiffrement des connexions.

Approuver le certificat de serveur sans validation dans ODBC

Si vous ne pouvez pas provisionner immédiatement un certificat vérifiable, ignorez la validation de l’une des manières suivantes :

• Dans un chaîne de connexion, ajoutez TrustServerCertificate=yes.
• Dans un DSN, sélectionnez l’option Faire confiance au certificat du serveur.

Ce paramètre n’active pas le chiffrement lui-même. Il indique au pilote d’ignorer la validation des certificats lorsque la connexion est chiffrée, ce qui laisse la connexion vulnérable aux attaques de l’adversaire dans le milieu. Utilisez-la uniquement comme mesure temporaire. L’option de certificat de serveur d’approbation s’applique uniquement lorsque le chiffrement de connexion est défini sur Facultatif ou Obligatoire. Le pilote l’ignore et valide toujours le certificat lorsque vous utilisez Strict.

Définir Encrypt sur Optional dans la chaîne de connexion ou le DSN

Modifiez les paramètres de chiffrement dans votre chaîne de connexion ou DSN :

• Si le chaîne de connexion spécifie Encrypt=yes ou Encrypt=mandatory, remplacez la valeur par Encrypt=no ou Encrypt=optional.
• Si le chaîne de connexion ne spécifie pas de valeur, ajoutez Encrypt=optional;. La valeur par défaut est yes dans ODBC Driver 18 et versions ultérieures, et no dans les versions antérieures.
• Si vous utilisez un DSN, ouvrez l’administrateur de source de données ODBC, sélectionnez votre source de données, puis sélectionnez Configurer. Continuez dans l’assistant jusqu’à l’écran contenant Connection Encryption, définissez l’option sur Facultatif, puis sélectionnez Terminer pour enregistrer le DSN.

Pour plus d’informations, consultez Mots-clés et attributs DSN et de chaîne de connexion et options DSN de l’administrateur de source de données ODBC.

Utiliser ODBC Driver 17 comme mesure temporaire

Microsoft ODBC Driver 17 pour SQL Server n'active pas le chiffrement par défaut. Il n'est donc pas affecté par cette modification. Traitez cette option comme temporaire et planifiez votre déplacement vers ODBC Driver 18. Vous pouvez télécharger le pilote à partir de Télécharger le pilote ODBC pour SQL Server.