Erro "A cadeia de certificados foi emitida por uma autoridade que não é confiável" após a atualização de aplicativos SNAC

Depois de atualizar do SQL Server Native Client 11.0 (Provider=SQLNCLI11) para o Microsoft OLE DB Driver 19 para SQL Server, as tentativas de conexão podem falhar com a seguinte mensagem de erro:

[Microsoft OLE DB Driver 19 para SQL Server]: o cliente não consegue estabelecer conexão

[Microsoft OLE DB Driver 19 para SQL Server]: Provedor SSL: a cadeia de certificados foi emitida por uma autoridade que não é confiável.

Causa do erro de confiança da cadeia de certificados ao atualizar para o Microsoft OLE DB Driver 19

Esse erro indica que o computador cliente não pode verificar a autenticidade do certificado do SQL Server porque ele foi emitido por uma AC (autoridade de certificação) em que o cliente não confia.

Esses erros ocorrerão se ambas as seguintes condições forem verdadeiras:

• A configuração de Forçar criptografia para a instância do SQL Server está definida como Não.

• A cadeia de conexão do cliente não especifica explicitamente um valor para a propriedade de criptografia ou a opção Criptografia não foi definida ou atualizada explicitamente no DSN.

O erro ocorre devido a uma alteração no comportamento padrão dos drivers cliente. As versões mais antigas dos drivers cliente pressupõem que a criptografia de dados é OFF por padrão. Os novos drivers pressupõem que essa configuração seja ON por padrão. Como a criptografia de dados é ON, o driver tenta validar o certificado do servidor e falha.

Soluções para erro de confiança da cadeia de certificados ao atualizar para o Microsoft OLE DB Driver 19

Instalar um certificado em que o cliente confia (recomendado)

Provisione um certificado TLS na instância SQL Server de uma autoridade de certificação em que o cliente confia. Verifique se o servidor fornece todos os certificados intermediários necessários para que o cliente possa montar a cadeia até uma AC raiz confiável. Essa abordagem resolve o erro mantendo a criptografia e a validação de certificado habilitadas. Para obter mais informações, confira Configurar o Mecanismo de Banco de Dados do SQL Server para criptografia de conexões.

Confiar no certificado do servidor sem validação

Se você não puder provisionar um certificado verificável imediatamente, diga ao driver para ignorar a validação do certificado. A palavra-chave usada depende de como seu aplicativo cria o cadeia de conexão:

• Em uma cadeia de caracteres do provedor, adicione TrustServerCertificate=yes.
• Em uma string de inicialização ou em ADO, adicione Trust Server Certificate=true.

Essa configuração não ativa a criptografia sozinha. Ele instrui o driver a ignorar a validação do certificado quando a conexão é criptografada, o que deixa a conexão vulnerável a ataques de adversário no meio. Use-o apenas como uma medida temporária. No Strict modo de criptografia, o driver ignora essa configuração e sempre valida o certificado.

Definir a palavra-chave de criptografia como Opcional

Altere a configuração de criptografia para que o driver não exija um certificado validado. A palavra-chave usada depende de como seu aplicativo cria o cadeia de conexão:

• Em uma cadeia de caracteres do provedor, defina Encrypt=Optional.
• Em uma cadeia de caracteres de inicialização ou ADO, defina Use Encryption for Data=Optional.

O valor padrão no Driver 19 do OLE DB é Mandatory. Se a cadeia de conexão já especificar Mandatory, yes ou true, altere o valor para Optional. Se o cadeia de conexão não especificar um valor, adicione a palavra-chave. Essa alteração restaura o comportamento de criptografia da versão 18 e reduz a segurança da conexão.

Para obter mais informações, consulte Criptografia e validação de certificado no OLE DB.

Usar o Driver 18.x do OLE DB como medida temporária

Microsoft Driver do OLE DB para SQL Server 18.x não habilita a criptografia por padrão, portanto, ela não é afetada por essa alteração. Trate essa opção como temporária e planeje sua mudança para o Driver 19 do OLE DB. Você pode baixar o driver em Notas de versão do Microsoft Driver do OLE DB para SQL Server.

Depois de atualizar do SQL Server Native Client 11.0 (Driver={SQL Server Native Client 11.0}) para o Microsoft ODBC Driver 18 for SQL Server (Driver={ODBC Driver 18 for SQL Server}), as tentativas de conexão podem falhar com a seguinte mensagem de erro:

[Microsoft][Driver ODBC 18 para SQL Server]Provedor SSL: A cadeia de certificados foi emitida por uma autoridade que não é confiável.

[Microsoft][Driver ODBC 18 para SQL Server]O cliente não consegue estabelecer conexão

Causa do erro de confiança da cadeia de certificados ao atualizar para o Microsoft ODBC Driver 18

Esse erro indica que o computador cliente não pode verificar a autenticidade do certificado do SQL Server porque ele foi emitido por uma AC (autoridade de certificação) em que o cliente não confia.

Esses erros ocorrerão se ambas as seguintes condições forem verdadeiras:

• A configuração Forçar criptografia para a instância do SQL Server está definida como Não.

• A cadeia de conexão do cliente não especifica explicitamente um valor para a propriedade de criptografia ou a opção Criptografia não foi definida ou atualizada explicitamente no DSN.

O erro ocorre devido a uma alteração no comportamento padrão dos drivers cliente. As versões mais antigas dos drivers cliente pressupõem que a criptografia de dados é OFF por padrão. Os novos drivers pressupõem que essa configuração seja ON por padrão. Como a criptografia de dados é ON, o driver tenta validar o certificado do servidor e falha.

Soluções para erro de confiança da cadeia de certificados ao atualizar para o Microsoft ODBC Driver 18

Instalar um certificado no qual o cliente ODBC confia (recomendado)

Provisione um certificado TLS na instância SQL Server de uma autoridade de certificação em que o cliente confia. Verifique se o servidor forneça todos os certificados intermediários necessários para que o cliente possa montar a cadeia até uma AC raiz confiável. Essa abordagem resolve o erro mantendo a criptografia e a validação de certificado habilitadas. Para obter mais informações, confira Configurar o Mecanismo de Banco de Dados do SQL Server para criptografia de conexões.

Confiar no certificado do servidor sem validação no ODBC

Se você não puder provisionar um certificado verificável imediatamente, ignore a validação de uma das seguintes maneiras:

• Em um cadeia de conexão, adicione TrustServerCertificate=yes.
• Em um DSN, selecione a opção Confiar no certificado do servidor.

Essa configuração não ativa a criptografia sozinha. Ele instrui o driver a ignorar a validação do certificado quando a conexão é criptografada, o que deixa a conexão vulnerável a ataques de adversário no meio. Use-o apenas como uma medida temporária. A opção de certificado do servidor de confiança só se aplica quando a Criptografia de Conexão é definida como opcional ou obrigatória. O driver ignora e sempre valida o certificado quando você usa Strict.

Defina Encrypt como Optional na cadeia de conexão ou no DSN

Modifique as configurações de criptografia em sua cadeia de conexão ou DSN:

• Se a cadeia de conexão especificar Encrypt=yes ou Encrypt=mandatory, altere o valor para Encrypt=no ou Encrypt=optional.
• Se o cadeia de conexão não especificar um valor, adicione Encrypt=optional;. O valor padrão está yes em ODBC Driver 18 e versões posteriores e no em versões anteriores.
• Se você usar um DSN, abra o Administrador da Fonte de Dados ODBC, selecione sua fonte de dados e selecione Configurar. Continue por meio do assistente para a tela que contém a Criptografia de Conexão, defina-a como Opcional e selecione Concluir para salvar o DSN.

Para obter mais informações, consulte palavras-chave e atributos de DSN e da cadeia de conexão e opções de DSN do Administrador de Fonte de Dados ODBC.

Usar o ODBC Driver 17 como uma medida temporária

Microsoft ODBC Driver 17 para SQL Server não habilita a criptografia por padrão, portanto, ela não é afetada por essa alteração. Trate essa opção como temporária e planeje sua mudança para o ODBC Driver 18. Você pode baixar o driver em Baixar o driver ODBC para SQL Server.