Microsoft-Sicherheitsempfehlung (2749655)

Wo befinden sich die Updates für Windows 8 und Windows Server 2012? 
Die Updates für Windows 8 und Windows Server 2012 sind in dem „Kumulatives Update für die allgemeine Verfügbarkeit von Windows 8 Client und Windows Server 2012“ (KB2756872) enthalten. Weitere Informationen und Downloadadressen finden Sie im Microsoft Knowledge Base-Artikel 2756872. Diese Updates sind auch auf Microsoft Update und Windows-Update verfügbar.

Was genau umfasst diese Empfehlung? 
Mit dieser Empfehlung sollten Endbenutzer von einem Problem benachrichtigt werden, das Binärdateien betrifft, die mit digitalen Zertifikaten signiert wurden, die ohne ordnungsgemäße Zeitstempelattribute von Microsoft generiert worden sind.

Als präventive Aktion zur Unterstützung der Endbenutzer stellt Microsoft ein nicht sicherheitsrelevantes Update für unterstützte Veröffentlichungen von Microsoft Windows bereit. Mit diesem Update wird die Kompatibilität zwischen Microsoft Windows betroffenen Softwarebinärdateien sichergestellt.

Ist dies eine Sicherheitsanfälligkeit, für die ein Sicherheitsupdate von Microsoft erforderlich ist?  
Nein. Mit diesem Update wird eine vorhandene Tiefenverteidigungskomponente verbessert, die Endbenutzer von Microsoft dabei unterstützt, sicherheitsbezogene Funktionen in Windows zu verbessern.

Dies ist eine Sicherheitsempfehlung bezüglich eines nicht sicherheitsrelevanten Sicherheitsupdates. Ist das nicht ein Widerspruch?  
Sicherheitsempfehlungen behandeln Sicherheitsänderungen, die nicht unbedingt ein Security Bulletin erfordern, die sich aber dennoch auf die Gesamtsicherheit von Benutzern auswirken können. Sicherheitsempfehlungen sind eine Möglichkeit für Microsoft, Benutzern sicherheitsbezogene Informationen zu Problemen mitzuteilen, die nicht als Sicherheitsanfälligkeiten klassifiziert werden können und nicht unbedingt ein Security Bulletin erfordern, oder zu Problemen, für die kein Security Bulletin veröffentlicht worden ist. In dem vorliegenden Fall teilen wir die Verfügbarkeit eines Updates mit, das sich auf Ihre Fähigkeit auswirkt, nachfolgende Updates einschließlich Sicherheitsupdates durchzuführen. Daher behandelt diese Empfehlung keine bestimmte Sicherheitsanfälligkeit sondern vielmehr Ihre Gesamtsicherheit.

Microsoft veröffentlicht ein Update für diese Komponente, um die langfristige Stabilität und Kompatibilität für Software und Komponenten zu verbessern, bei denen die Funktion „Windows Authenticode Signature Verification“ verwendet wird.

Wodurch wird diese Bedrohung verursacht?  
Dieses Problem wird durch eine fehlende Zeitstempelerweiterung-EKU (Erweiterte Schlüsselverwendung) während der Zertifikatsgenerierung für und Signierung von wichtigen Microsoft-Komponenten und -Software verursacht. Einige Zertifikate, die 2012 zwei Monate lang verwendet wurden, enthalten keine X.509 Zeitstempelerweiterungs-EKU (Erweiterte Schlüsselverwendung).

Was bewirkt das Update?  
Mit diesem Update wird die fortgesetzte Funktionsfähigkeit alle Software sichergestellt, die mit einem bestimmten Zertifikat signiert wurde, bei dem keine Zeitstempelerweiterungs-EKU (Erweiterte Schlüsselverwendung) verwendet wurde. Um ihre Funktionsfähigkeit auszudehnen, ignoriert WinVerifyTrust den Mangel einer Zeitstempel-EKU für diese bestimmten X.509-Signaturen.

Wenn Microsoft ein nicht sicherheitsrelevantes Update veröffentlicht, um dieses Problem zu beheben, warum werden dann auch Bulletins erneut veröffentlicht?  
Mit dem Update wird die Mehrheit der Fälle behoben, bei denen Zertifikate die „Windows Authenticode Signature Verification“ verwenden, z. B. wenn eine Datei in Windows oder Internet Explorer angezeigt oder ausgeführt wird. Um jedoch sicherzustellen, dass alle Zertifikatsverwendung- und Überprüfungsfunktionen behoben werden, werden zusätzlich betroffene Pakete und Software aktualisiert bzw. erneut veröffentlicht. Dadurch soll sichergestellt werden, dass die CodeSign-Überprüfung von Drittanbietern ordnungsgemäß funktioniert.

Welche Auswirkungen sind zu erwarten, wenn dieses Update nicht installiert wird? 
Ohne dieses Update werden nicht ordnungsgemäß signierte Dateien, etwa ausführbare Abbilder, nach Ablauf des bei der Signierung verwendeten CodeSign-Zertifikats als nicht ordnungsgemäß signiert betrachtet. So werden z. B. nach dem Ablaufdatum einige Sicherheitsupdates nicht von Windows Update installiert, wenn dieses Update nicht installiert ist. Zu den weiteren Auswirkungen gehören, dass ein Anwendungsinstallationsprogramm u. U. eine Fehlermeldung anzeigt. Anwendungslösungen von Drittanbietern, die sich auf der Positivliste befinden, können ebenfalls betroffen sein.

Wann laufen die betroffenen CodeSign-Zertifikate ab? 
Die CodeSign-Zertifikate haben unterschiedliche Ablaufdaten. Das früheste Ablaufdatum ist im November 2012.

Wie werden die Zeitstempelerweiterungs- EKUs (Erweiterte Schlüsselverwendung) verwendet?  
Laut RFC3280 werden Zeitstempelerweiterungs-EKUs (Erweiterte Schlüsselverwendung) dazu verwendet, den Hash eines Objekts an eine Zeit zu binden. Diese signierten Aussagen zeigen, dass eine Signatur zu einem bestimmten Zeitpunkt existiert hat. Sie werden verwendet, wenn es um die Codeintegrität geht: wenn das Codesignaturzertifikat abgelaufen ist, um zu überprüfen, dass die Signatur erzeugt wurde, bevor das Zertifikat abgelaufen ist. Weitere Informationen zu Zertifikatzeitstempeln finden Sie in How Certificates Work und Windows Authenticode Portable Executable Signature Format.

Was versteht man unter einem „digitalen Zertifikat“? 
Bei der Kryptografie mit öffentlichen Schlüsseln muss einer der Schlüssel, der private Schlüssel, geheim gehalten werden. Der andere Schlüssel, der öffentliche Schlüssel, ist dafür vorgesehen, für alle Welt freigegeben zu werden. Für den Eigentümer des Schlüssels muss es jedoch eine Möglichkeit geben, der Welt mitzuteilen, wem der Schlüssel gehört. Dies kann mithilfe von digitalen Zertifikaten geschehen. Ein digitales Zertifikat ist ein elektronischer Berechtigungsnachweis, mit dem die Online-Identitäten von Individuen, Unternehmen und Computern bescheinigt werden. Digitale Zertifikate enthalten einen öffentlichen Schlüssel, der zusammen mit dazugehörigen Informationen verpackt ist: wer ihn besitzt, wofür er verwendet werden kann, wann er abläuft und so weiter.

Stellt dieses Problem eine Beeinträchtigung der betroffenen Zertifikate dar? 
Nein. Die betroffenen Zertifikate sind in keinster Weise beeinträchtigt, und uns sind derzeit keinerlei Auswirkungen auf Endbenutzer bekannt.

Was ist die Funktion „Windows Authenticode Signature Verification“?
Die Funktion „Windows Authenticode Signature Verification“ oder WinVerifyTrust führt an einem angegebenen Objekt eine Vertrauensverifizierung durch. Die Funktion übergibt die Anfrage an einen Vertrauensanbieter, der die Aktivitätskennung unterstützt, falls vorhanden. Die Funktion „WinVerifyTrust“ führt zwei Aktionen durch: Signaturüberprüfung an einem angegebenen Objekt und Vertrauensverifizierung. Weitere Informationen finden Sie in WinVerifyTrust Function.

Welche Auswirkungen hat dieses Problem auf Entwickler?  
Entwickler können von diesem Problem betroffen sein, wenn eine betroffene Redistributable von ihren Anwendungen verwendet wird. Das Problem wird korrigiert, wenn dieses Update auf Systemen installiert wird, auf denen die Anwendung des Entwicklers verwendet wird. Außerdem veröffentlicht Microsoft aktualisierte Versionen der betroffenen Redistributables. Entwickler sollten diese in künftige Updates ihrer Anwendungen integrieren.

Installieren des Updates für unterstützte Versionen von Microsoft Windows

Die Mehrheit der Benutzer hat die automatische Aktualisierung aktiviert und muss keine Maßnahmen ergreifen, da das Update KB2749655 automatisch heruntergeladen und installiert wird. Benutzer, die die automatische Aktualisierung nicht aktiviert haben, müssen auf Updates prüfen und dieses Update manuell installieren. Weitere Informationen zu bestimmten Konfigurationsoptionen bei der automatischen Aktualisierung finden Sie im Microsoft Knowledge Base-Artikel 294871.

Für Administratoren und Unternehmensinstallationen bzw. Endbenutzer, die Updates manuell installieren möchten, empfiehlt Microsoft, sofort das Update KB2749655 und alle erneut veröffentlichten Updates zu installieren, mit denen dieses Problem behoben wird. Dies kann mithilfe der Updateverwaltungssoftware geschehen, oder indem Microsoft Update auf Updates geprüft wird. Weitere Informationen zum manuellen Installieren des Updates finden Sie im Microsoft Knowledge Base-Artikel 2749655.