Informační zpravodaj zabezpečení společnosti Microsoft (2718704)

Proč byl tento informační zpravodaj 13. června 2012 revidován? 
Společnost Microsoft tento zpravodaj revidovala, aby informovala zákazníky, že zařízení Windows Mobile 6.x, Windows Phone 7 a Windows Phone 7.5 nejsou touto chybou postižena. K tomuto závěru společnost Microsoft dospěla na základě dalšího šetření.

Co je cílem tohoto informačního zpravodaje? 
Účelem tohoto informačního zpravodaje je informovat zákazníky o tom, že společnost Microsoft potvrdila zneužívaní dvou neautorizovaných certifikátů, vydaných společností Microsoft, k aktivním útokům. V průběhu našeho vyšetřování bylo zjištěno, že certifikáty se slabým šifrováním vydala jiná certifikační autorita.

Společnost Microsoft vydala aktualizaci pro všechna podporovaná vydání systému Microsoft Windows, která tento problém řeší.

Týká se tato aktualizace i jiných neautorizovaných digitálních certifikátů? 
Ano, kromě tří neautorizovaných certifikátů, popsaných v tomto zpravodaji, se tato kumulativní aktualizace týká i neautorizovaných digitálních certifikátů, popsaných v předešlých zpravodajích: Informační zpravodaj zabezpečení společnosti Microsoft 2524375, Informační zpravodaj zabezpečení společnosti Microsoft 2607712 a Informační zpravodaj zabezpečení společnosti Microsoft 2641690.

Je problémem popsaným v tomto zpravodaji postižen i systém Windows 8 Consumer Preview?   
Ano. Pro verzi Windows 8 Consumer Preview je k dispozici aktualizace. Zákazníkům se systémem Windows 8 Consumer Preview doporučujeme do systému nainstalovat aktualizaci. Aktualizace jsou dostupné pouze prostřednictvím služby Windows Update.

Je problémem popsaným v tomto zpravodaji postižen i systém Windows 8 Release Preview ?  
Ano. Pro verzi Windows 8 Release Preview je k dispozici aktualizace. Zákazníkům se systémem Windows 8 Release Preview doporučujeme do systému nainstalovat aktualizaci. Aktualizace jsou dostupné pouze prostřednictvím služby Windows Update.

Co je kryptografie?
Kryptografie je věda o zabezpečení informací převodem mezi běžným, čitelným stavem (prostý text) a stavem, ve kterém jsou data skrytá (zašifrovaný text).

Ve všech formách kryptografie je pro převod dat v prostém textu na zašifrovaný text použita hodnota známá jako klíč podle postupu označovaného jako kryptografický algoritmus. V nejznámějším typu kryptografie využívajícím tajný klíč je zašifrovaný text převeden zpět na prostý pomocí stejného klíče. Při druhém typu kryptografie, která se provádí pomocí veřejného klíče, je pro převod zašifrovaného textu zpět na prostý použit jiný klíč.

Co je digitální certifikát?
Při kryptografii pomocí veřejných klíčů je třeba ponechat jeden z klíčů, označovaný jako soukromý, v tajnosti. Druhý klíč, veřejný, je určen ke sdílení s ostatními. Musí však existovat způsob, jakým vlastník klíče ostatním sdělí, komu klíč patří. K tomu slouží digitální certifikáty. Digitální certifikát označuje údaj odolný proti padělání, který zabalí veřejný klíč společně s informacemi o tomto klíči – kdo jej vlastní, k čemu jej lze používat, kdy vyprší jeho platnost atd.

K čemu se používají certifikáty?
Certifikáty primárně slouží k ověření identity osoby nebo zařízení, ověření platnosti služby nebo zašifrování souborů. Za normálních okolností není třeba o certifikátech vůbec přemýšlet. Může se však zobrazit zpráva, že vypršela platnost certifikátu nebo že je certifikát neplatný. V takovém případě je vhodné postupovat podle pokynů ve zprávě.

Co je certifikační autorita (CA)?
Certifikační autority jsou organizace, které vystavují certifikáty. Stanovují a ověřují pravost veřejných klíčů, které patří lidem nebo jiným certifikačním autoritám, a ověřují identitu osoby nebo organizace, která žádá o certifikát.

Co je seznam důvěryhodných certifikátů (CTL)?
Mezi příjemcem podepsané zprávy a tím, kdo ji podepsal, musí existovat důvěra. Jedním ze způsobů dosažení této důvěry je použití certifikátu, elektronického dokumentu, který ověřuje, že entity či osoby jsou opravdu tím, za koho se vydávají. Certifikát je vydáván entitě třetí stranou, které důvěřují obě zúčastněné strany. Každý příjemce podepsané zprávy tak zjišťuje, zda je vydavatel certifikátu důvěryhodný. Rozhraní CryptoAPI implementovalo postup, jenž vývojářům aplikací umožňuje vytvářet aplikace, které automaticky ověřují certifikáty podle předem daného seznamu důvěryhodných certifikátů či kořenů. Tento seznam důvěryhodných entit (nazývaných objekty) se nazývá seznam důvěryhodných certifikátů (CTL). Další informace naleznete v článku Certificate Trust Verification (Ověření důvěryhodnosti certifikátu) na webu MSDN.

Jaká byla příčina problému?
Společnost Microsoft má informace o aktivních útocích, využívajících neautorizované digitální certifikáty odvozené z certifikační autority společnosti Microsoft. Neautorizovaný certifikát lze zneužít k falšování obsahu, provádění útoků typu phishing nebo útoků prostředníkem. Tento problém má vliv na všechny podporované verze systému Microsoft Windows.

K čemu by mohl útočník tuto chybu zabezpečení zneužít? 
Útočník může zneužít tyto certifikáty k falšování obsahu, provádění útoků typu phishing nebo útoků prostředníkem.

Co je útok prostředníkem (man-in-the-middle)?
K útoku prostředníkem (man-in-the-middle) dojde v případě, že útočník přesměruje komunikaci mezi dvěma uživateli pomocí svého počítače, aniž by tyto dva komunikující uživatele znal. Jednotliví uživatelé v komunikaci nevědomě odesílají a přijímají data od útočníka, přičemž se domnívají, že komunikují pouze se zamýšleným uživatelem.

Jak společnost Microsoft pomáhá s řešením tohoto problému?
Aktualizovali jsme úložiště nedůvěryhodných certifikátů, ze kterého jsme odebrali důvěru v postižené certifikační autority společnosti Microsoft.

Jak lze po použití aktualizace ověřit certifikáty v úložišti nedůvěryhodných certifikátů společnosti Microsoft?  
Informace o zobrazení certifikátů naleznete v článku na webu MSDN s názvem How to: View Certificates with the MMC Snap-in (Postupy: Zobrazení certifikátů pomocí modulu snap-in konzoly MMC).

V oddílu Certificates MMC snap-in (Modul snap-in konzoly MMC certifikátů) ověřte, zda do složky Nedůvěryhodné certifikáty byly přidány následující certifikáty:

Podporovaná vydání systému Microsoft Windows

Většina zákazníků má povolenu automatickou aktualizaci, takže nebudou muset podnikat žádná opatření, protože aktualizace KB2718704 se stáhne a nainstaluje automaticky. Zákazníci, kteří nemají povolenu automatickou aktualizaci, musejí vyhledat a nainstalovat tuto aktualizaci ručně. Informace o zvláštních možnostech nastavení automatické aktualizace naleznete v článku 294871 znalostní báze Microsoft Knowledge Base.

Administrátorům a pro instalace v rozlehlých sítích, ale i koncovým uživatelům, kteří si chtějí aktualizaci KB2718704 nainstalovat ručně, doporučuje společnost Microsoft, aby tuto aktualizaci nainstalovali okamžitě pomocí softwaru pro správu aktualizací nebo vyhledáním aktualizací službou Microsoft Update. Další informace o tom, jak aktualizaci nainstalovat ručně, získáte v článku 2718704 znalostní báze Microsoft Knowledge Base.