Documento informativo sobre seguridad de Microsoft (2749655)

¿Dónde están las actualizaciones para Windows 8 y Windows Server 2012? 
Las actualizaciones para Windows 8 y Windows Server 2012 están incluidas en "Actualización acumulativa de disponibilidad general de cliente de Windows 8 y Windows Server 2012" (KB2756872). Para obtener más información y los vínculos de descarga, vea el artículo 2756872 de Microsoft Knowledge Base. Estas actualizaciones también están disponibles en Microsoft Update y Windows Update.

¿Cuál es el alcance de este documento informativo? 
La finalidad de este documento informativo es notificar a los clientes de un problema que afecta a los archivos binarios que se firmaron con certificados digitales generados por Microsoft sin los atributos de marca de hora adecuados.

Como acción de prevención para ayudar a los clientes, Microsoft proporciona una actualización no relacionada con la seguridad para las versiones compatibles de Microsoft Windows. Esta actualización ayuda a garantizar la compatibilidad entre Microsoft Windows y los archivos binarios del software afectado.

¿Se trata de una vulnerabilidad de la seguridad que requiere la publicación de una actualización de seguridad por parte de Microsoft?  
No. Esta actualización mejora un componente de defensa en profundidad existente para los clientes de Microsoft a fin de contribuir a mejorar las características relacionadas con la seguridad en Windows.

Es un documento informativo sobre seguridad acerca de una actualización no relacionada con la seguridad ¿No es contradictorio?  
Los documentos informativos sobre seguridad tratan cambios en la seguridad que pueden no requerir un boletín de seguridad pero que pueden afectar a la seguridad general de los clientes. Los documentos informativos sobre seguridad constituyen una forma que tiene Microsoft para comunicar información relacionada con la seguridad a los clientes acerca de problemas que no se pueden clasificar como vulnerabilidades y pueden no requerir un boletín de seguridad, o acerca de problemas para los que no se ha publicado ningún boletín de seguridad. En este caso, se comunica la disponibilidad de una actualización que determinará la capacidad de realizar actualizaciones posteriores, incluidas las actualizaciones de seguridad. Por lo tanto, este documento informativo no corrige una vulnerabilidad de seguridad específica, sino, la seguridad general.

Microsoft publica una actualización para este componente a fin de mejorar la estabilidad y la compatibilidad a largo plazo del software y los componentes que usan la función de comprobación de firma Authenticode de Windows.

¿Qué provoca este problema?  
Este problema se debe a la ausencia de una extensión de uso mejorado de clave (EKU) de marca de hora durante la generación de certificados y la firma de los componentes y su por básicos de Microsoft. Algunos certificados usados durante dos meses de 2012 no contenían una extensión de uso mejorado de clave (EKU) de marca de hora X.509.

¿Cómo funciona esta actualización?  
Esta actualización le ayudará a garantizar la funcionalidad continuada de todo el software que se firmó con un certificado específico que no usó una extensión de uso mejorado de clave (EKU) de marca de hora. Para ampliar su funcionalidad, WinVerifyTrust ignorará la falta de una EKU de marca de hora para estas firmas X.509 específicas.

Si Microsoft va a publicar una actualización no relacionada con la seguridad que corrige este problema, ¿por qué también va a publicar de nuevo los boletines?  
La actualización corrige la mayoría de los casos en los que los certificados usan la comprobación de firmas Authenticode de Windows como, por ejemplo, cuando un archivo se ve o se ejecuta en Windows o Internet Explorer. No obstante, para garantizar que se corrigen todas las funciones de uso y validación de certificados, además, los paquetes y software afectados se actualizarán o volverán a publicar de nuevo para garantizar que la comprobación de CodeSign de terceros funciona correctamente.

¿Cuál es la repercusión de no instalar esta actualización? 
Sin esta actualización, los archivos firmados incorrectamente, como, por ejemplo, las imágenes ejecutables, no se considerarán firmados correctamente después de la expiración del certificado CodeSign usado en el proceso de firma. Por ejemplo, Windows Update no instalará algunas actualizaciones de seguridad después de la fecha de caducidad si no se instala esta actualización. Otros efectos son, por ejemplo, que un programa de instalación de aplicaciones pueda mostrar un mensaje de error. También se pueden ver afectadas las soluciones de inclusión en listas blancas de aplicaciones de terceros.

¿Cuándo expiran los certificados de firma de código afectados? 
Los certificados de CodeSign tienen distintas fechas de caducidad. La fecha de caducidad más temprana es noviembre de 2012.

¿Cómo se usan las extensiones de uso mejorado de clave (EKU) de marca de hora?  
Según RFC3280, las extensiones de uso mejorado de clave (EKU) de marca de hora se usan para enlazar el hash de un objeto a una hora. Estas instrucciones firmadas muestran que existió una firma en un determinado momento. Se usan en situaciones de integridad de código en las que ha expirado el certificado de firma de código a fin de comprobar que la firma se realizó antes de la expiración del certificado. Para obtener más información acerca de las marcas de tiempo de certificado, vea Funcionamiento de los certificados y Formato de firma de ejecutable portátil Authenticode de Windows.

¿Qué es un certificado digital? 
En la criptografía de clave pública, una de las claves, denominada la clave privada, se debe mantener en secreto. La otra clave, denominada la clave pública, está diseñada para compartirla con los demás usuarios. No obstante, debe existir una forma para que el propietario de la clave comunique a los demás usuarios a quién pertenece la clave. Los certificados digitales ofrecen una forma de realizar esta operación. Un certificado digital es una credencial electrónica que se usa para certificar las identidades en línea de personas, organizaciones y equipos. Los certificados digitales contienen una clave pública empaquetada con información sobre ella: de quién es, para qué se puede usar, cuándo expira, etc.

¿Este problema pone en peligro los certificados afectados? 
No. Los certificados afectados no están en peligro en modo alguno y no tenemos constancia de ninguna repercusión en los clientes en estos momentos.

¿Qué es la función de comprobación de firma Authenticode de Windows?
La función de comprobación de firma Authenticode de Windows, o WinVerifyTrust, realiza una acción de comprobación de confianza en un objeto específico. La función pasa la consulta a un proveedor de confianza que admite el identificador de acción, si existe uno. La función WinVerifyTrust realiza dos acciones: comprobación de la firma en un objeto especificado y comprobación de confianza. Para obtener más información, vea Función WinVerifyTrust.

¿Qué repercusión tiene este problema en los desarrolladores? 
Los desarrolladores pueden estar afectados por este problema si sus aplicaciones usan un redistribuible afectado. La aplicación de esta actualización en los sistemas que usan la aplicación del desarrollador solucionará el problema. Además, Microsoft publicará versiones actualizadas de los redistribuibles afectados. Los desarrolladores deberán incorporarlas en las actualizaciones futuras de sus aplicaciones.

Aplicar la actualización a las versiones compatibles de Microsoft Windows

La mayoría de los clientes tienen habilitada la actualización automática y no deben realizar ninguna acción porque la actualización KB2749655 se descargará e instalará automáticamente. Los clientes que no han habilitado la actualización automática deben buscar las actualizaciones e instalar esta actualización manualmente. Para obtener información sobre las opciones de configuración específicas de la actualización automática, vea el artículo 294871 de Microsoft Knowledge Base.

Para administradores e instalaciones empresariales, o usuarios finales que deseen instalar las actualizaciones manualmente, Microsoft recomienda que los clientes apliquen la actualización KB2749655 y cualquier actualización publicada de nuevo que corrija este problema inmediatamente, mediante el software de administración de actualizaciones o buscando actualizaciones con el servicio Microsoft Update. Para obtener más información acerca de cómo aplicar la actualización, vea el artículo 2749655 de Microsoft Knowledge Base.