Microsoft-Sicherheitsempfehlung (2728973)

Was genau umfasst diese Empfehlung? 
Mit dieser Empfehlung sollen Benutzer darüber benachrichtigt werden, dass Microsoft sich Microsoft-Zertifizierungsstellen bewusst ist, die sich außerhalb unserer empfohlenen sicheren Speicherpraxis bewegen. Bei einer alltäglichen Prüfung und aufgrund großer Vorsicht werden diese Zertifikate in den Speicher für nicht vertrauenswürdige Zertifikate gestellt und durch neue Zertifizierungsstellen ersetzt, die unseren hohen Standard der PKI-Verwaltung (Public Key-Infrastruktur) erfüllen. Uns ist keinerlei Missbrauch der Zertifizierungsstellen bekannt, doch wir ergreifen Präventivmaßnahmen, um Endbenutzer zu schützen. Dieses Problem betrifft alle unterstützten Versionen von Microsoft Windows.

Microsoft hat ein Update für alle unterstützten Versionen von Microsoft Windows veröffentlicht, mit dem das Problem behoben wird.

Werden mit diesem Update weitere nicht autorisierte digitale Zertifikate behoben? 
Ja, zusätzlich zum Beheben der achtundzwanzig in dieser Empfehlung beschriebenen nicht autorisierten Zertifikate ist dieses Update kumulativ und behebt nicht autorisierte digitale Zertifikate, die in vorherigen Empfehlungen beschrieben sind: Microsoft-Sicherheitsempfehlung 2524375, Microsoft-Sicherheitsempfehlung 2607712, Microsoft-Sicherheitsempfehlung 2641690 und Microsoft-Sicherheitsempfehlung 2718704.

Obwohl in diesem Update Zertifikate behandelt werden, die in vorherigen Empfehlungen beschrieben sind, enthält dieses Update nicht alle Funktionen, die in vorherigen Empfehlungen vorgestellt wurden. Weitere Informationen finden Sie unter „Bekannte Probleme“ im Microsoft Knowledge Base-Artikel 2728973.

Sind Windows 8 Release Preview oder Windows Server 2012 Release Candidate von dem Problem betroffen, dass in dieser Empfehlung behoben wird?  
Ja. Das Update ist Windows 8 Release Preview und Windows Server 2012 Release Candidate verfügbar. Benutzer mit Windows 8 Release Preview und Windows Server 2012 Release Candidate sind angehalten, die Updates auf ihren Systemen zu installieren. Weitere Informationen zum Installieren des Updates für Windows 8 Release Preview und Windows Server 2012 Release Candidate finden Sie im Abschnitt Empfohlene Maßnahmen dieser Empfehlung.

Was ist Kryptografie?
Kryptografie ist die Wissenschaft des Sicherns von Informationen, indem diese aus ihrem normalen, lesbaren Zustand (Klartext genannt) in einen Zustand konvertiert werden, in dem die Daten verschleiert sind (Chiffretext genannt).

In allen Formen der Kryptografie wird ein als Schlüssel bekannter Wert in Verbindung mit einem Verfahren namens Kryptoalgorithmus verwendet, um Klartextdaten in Chiffretext zu transformieren. In der vertrautesten Art der Kryptografie, der Kryptografie mit einem geheimen Schlüssel, wird der Chiffretext mit dem gleichen Schlüssel zurück in Klartext transformiert. In einer zweiten Art der Kryptografie jedoch, der Kryptografie mit öffentlichen Schlüsseln, wird ein anderer Schlüssel verwendet, um den Chiffretext zurück in Klartext zu transformieren.

Was versteht man unter einem „digitalen Zertifikat“?
Bei der Kryptografie mit öffentlichen Schlüsseln muss einer der Schlüssel, der private Schlüssel, geheim gehalten werden. Der andere Schlüssel, der öffentliche Schlüssel, ist dafür vorgesehen, für alle Welt freigegeben zu werden. Für den Eigentümer des Schlüssels muss es jedoch eine Möglichkeit geben, der Welt mitzuteilen, wem der Schlüssel gehört. Dies kann mithilfe von digitalen Zertifikaten geschehen. Ein digitales Zertifikat ist ein gegen Eingriffe gesichertes Datenpaket, das einen öffentlichen Schlüssel zusammen mit Informationen dazu enthält: wer der Besitzer ist, wofür es verwendet werden kann, wann es abläuft und so weiter.

Wofür werden Zertifikate verwendet?
Zertifikate werden hauptsächlich dazu verwendet, die Identität einer Person oder eines Geräts zu überprüfen, einen Dienst zu authentifizieren oder Dateien zu verschlüsseln. Normalerweise müssen Sie gar nicht an Zertifikate denken. Unter Umständen wird Ihnen jedoch eine Nachricht angezeigt, die Ihnen mitteilt, dass ein Zertifikat ungültig oder abgelaufen ist. In solchen Fällen sollten Sie den Anweisungen in der Nachricht folgen.

Was ist eine Zertifizierungsstelle (CA)?
Zertifizierungsstellen sind die Unternehmen, die Zertifikate veröffentlichen. Sie richten öffentliche Schlüssel ein, die Personen oder andere Zertifizierungsstellen gehören, und überprüfen deren Echtheit. Außerdem überprüfen sie die Identität einer Person oder eines Unternehmens, die um ein Zertifikat bittet.

Was ist eine Zertifikatvertrauensliste (CTL)?
Zwischen dem Empfänger einer signierten Nachricht und dem Unterzeichner der Nachricht muss Vertrauen bestehen. Dieses Vertrauen kann durch ein Zertifikat hergestellt werden; das ist ein elektronisches Dokument, mit dem überprüft wird, ob die Organisationen oder Personen diejenigen sind, die sie vorgeben, zu sein. Ein Zertifikat wird einer Organisation durch einen Drittanbieter ausgestellt, dem beide Parteien vertrauen. Dadurch entscheidet jeder Empfänger einer signierten Nachricht, ob der Herausgeber des Zertifikats des Unterzeichners vertrauenswürdig ist. CryptoAPI hat eine Methode implementiert, die Anwendungsentwicklern ermöglicht, Anwendungen zu erstellen, die Zertifikate automatisch anhand einer vordefinierten Liste von vertrauenswürdigen Zertifikaten oder Stammzertifikaten überprüfen. Diese Liste vertrauenswürdiger Organisationen (Zertifikatbesitzer genannt) wird Zertifikatvertrauensliste (CTL: Certificate Trust List) genannt. Weitere Informationen finden Sie in dem MSDN-Artikel Überprüfung des Vertrauens in Zertifikate.

Was hat das Problem verursacht?
Microsoft ist sich Microsoft-Zertifizierungsstellen bewusst, die sich außerhalb unserer empfohlenen sicheren Speicherpraxis bewegen. Uns ist keinerlei Missbrauch der Zertifizierungsstellen bekannt, doch wir ergreifen Präventivmaßnahmen, um Endbenutzer zu schützen.

Was kann ein Angreifer über diese Sicherheitsanfälligkeit erreichen? 
Ein Angreifer kann mit diesen Zertifikaten Inhalte nachahmen, Phishingangriffe oder Man-in-the-Middle-Angriffe durchführen.

Was ist ein Man-in-the-Middle-Angriff?
Ein Man-in-the-Middle-Angriff tritt auf, wenn ein Angreifer die Kommunikation zwischen zwei Benutzern durch den Computer des Angreifers umleitet, ohne dass die beiden kommunizierenden Benutzer davon wissen. Jeder Benutzer in der Kommunikation sendet unbewusst Datenverkehr an den Angreifer und erhält Datenverkehr von diesem, während er die ganze Zeit denkt, nur mit dem beabsichtigten Benutzer zu kommunizieren.

Was unternimmt Microsoft, um zur Behebung dieses Problems beizutragen?
Die betroffenen Microsoft-Zertifizierungsstellen wurden in den Speicher für nicht vertrauenswürdige Zertifikate gestellt und durch neue Zertifizierungsstellen ersetzt, die unseren hohen Standard der PKI-Verwaltung (Public Key-Infrastruktur) erfüllen.

Wie kann ich nach der Installation des Updates die Zertifikate im Speicher für nicht vertrauenswürdige Zertifikate von Microsoft überprüfen?  
Bei Systemen, auf denen die automatische Aktualisierung widerrufener Zertifikate verwendet wird (weitere Informationen finden Sie im Microsoft Knowledge Base-Artikel 2677070), einschließlich Windows 8 Release Preview und Windows Server 2012 Release Candidate, können Sie das Anwendungsprotokoll in der Ereignisanzeige auf einen Eintrag mit den folgenden Werten prüfen:

• Quelle: CAPI2
• Ebene: Informationen
• Ereigniskennung: 4112
• Beschreibung: Erfolgreiche automatische Aktualisierung der unzulässigen Zertifikatliste mit Gültigkeitsdatum: Donnerstag, 21. Juni 2012 (oder später).

Bei Systemen, auf denen die automatische Aktualisierung widerrufener Zertifikate nicht verwendet wird, überprüfen Sie im MMC-Snap-In „Zertifikate“, ob die folgenden Zertifikate dem Ordner Nicht vertrauenswürdigen Zertifikate hinzugefügt wurden:

Hinweis Weitere Informationen zum Anzeigen von Zertifikaten mit dem MMC-Snap-In finden Sie in dem MSDN-Artikel Gewusst wie: Anzeigen von Zertifikaten mit dem MMC-Snap-In.

Für unterstützte Editionen von Windows XP und Windows Server 2003

Die Mehrheit der Benutzer hat die automatische Aktualisierung aktiviert und muss keine Maßnahmen ergreifen, da das Update KB2728973 automatisch heruntergeladen und installiert wird. Benutzer, die die automatische Aktualisierung nicht aktiviert haben, müssen auf Updates prüfen und dieses Update manuell installieren. Weitere Informationen zu bestimmten Konfigurationsoptionen bei der automatischen Aktualisierung finden Sie im Microsoft Knowledge Base-Artikel 294871.

Für Administratoren und für Installationen in Unternehmen bzw. für Endbenutzer, die das Update KB2728973 manuell installieren möchten, empfiehlt Microsoft, das Update sofort mit Updateverwaltungssoftware zu installieren bzw. mithilfe des Dienstes Microsoft Update auf Updates zu prüfen. Weitere Informationen zum manuellen Installieren des Updates finden Sie im Microsoft Knowledge Base-Artikel 2728973.

Für unterstützte Editionen von Windows Vista, Windows Server 2008, Windows 7, Windows Server 2008 R2, Windows 8 Release Preview und Windows Server 2012 Release Candidate

Die Mehrheit der Benutzer hat die automatische Aktualisierung aktiviert und muss keine Maßnahmen ergreifen, da das Problem durch eine automatische Aktualisierung widerrufener Zertifikate behoben wird, indem die Zertifikate dem Speicher für nicht vertrauenswürdige Zertifikate hinzugefügt werden.

Die automatische Aktualisierung widerrufener Zertifikate ist für Windows Vista, Windows Server 2008, Windows 7 und Windows Server 2008 R2 durch den Dienst Microsoft Update verfügbar und im Microsoft Knowledge Base-Artikel 2677070 beschrieben. Die automatische Aktualisierung widerrufener Zertifikate ist in Windows 8 Release Preview und Windows Server 2012 Release Candidate enthalten.

Endbenutzern, die die automatische Aktualisierung widerrufener Zertifikate (2677070) nicht aktiviert haben, oder bei Systemen, die nicht mit dem Internet verbunden sind, empfiehlt Microsoft, dass Benutzer das Update KB2728973 sofort installieren. Weitere Informationen zum manuellen Installieren des Updates finden Sie im Microsoft Knowledge Base-Artikel 2728973.

Für Administratoren und Unternehmensinstallationen empfiehlt Microsoft Benutzern, das Update sofort mithilfe von Updateverwaltungssoftware zu installieren. Weitere Informationen zu diesem Update finden Sie im Microsoft Knowledge Base-Artikel 2728973.