Avviso di sicurezza

Microsoft Security Advisory 2524375

I certificati digitali fraudolenti potrebbero consentire lo spoofing

Pubblicato: 23 marzo 2011 | Aggiornamento: 06 luglio 2011

Versione: 5.0

Informazioni generali

Schema riepilogativo

Microsoft è a conoscenza di nove certificati digitali fraudolenti rilasciati da Comodo, un'autorità di certificazione presente nell'archivio autorità di certificazione radice attendibili, in tutte le versioni supportate di Microsoft Windows, Windows Mobile 6.x, Windows Telefono 7, Microsoft Kin e Zune HD. Comodo ha consigliato a Microsoft il 16 marzo 2011 che nove certificati erano stati firmati per conto di terze parti senza convalidare sufficientemente la propria identità. Questi certificati possono essere usati per spoofing del contenuto, per eseguire attacchi di phishing o per eseguire attacchi man-in-the-middle contro tutti gli utenti del Web browser, inclusi gli utenti di Internet Explorer.

Questi certificati influiscono sulle proprietà Web seguenti:

• login.live.com
• mail.google.com
• www.google.com
• login.yahoo.com (3 certificati)
• login.skype.com
• addons.mozilla.org
• "Trustee globale"

Comodo ha revocato questi certificati e sono elencati nell'elenco di revoche di certificati corrente (CRL). Inoltre, i browser che hanno abilitato il protocollo OCSP (Online Certificate Status Protocol) convalideranno in modo interattivo questi certificati e li impediranno di usarli.

Un aggiornamento per risolvere questo problema è disponibile per tutte le versioni supportate dei dispositivi Windows, Windows Mobile 6.x e Zune HD. A partire dal 3 maggio 2011, l'aggiornamento inizia a essere distribuito anche ai clienti di Windows Telefono 7. Per altre informazioni su questo aggiornamento, vedere l'articolo della Microsoft Knowledge Base 2524375.

Per le versioni supportate di Microsoft Windows, in genere non è necessaria alcuna azione da parte dei clienti per installare questo aggiornamento, perché la maggior parte dei clienti ha abilitato l'aggiornamento automatico e questo aggiornamento verrà scaricato e installato automaticamente. Per altre informazioni, tra cui come installare manualmente questo aggiornamento e come installare l'aggiornamento nei dispositivi Windows Mobile 6.x, Windows Telefono 7 e Zune HD, vedere la sezione Azioni suggerite di questo avviso.

Dettagli avviso

Riferimenti ai problemi

Per altre informazioni su questo problema, vedere i riferimenti seguenti:

Software e dispositivi interessati

Questo avviso illustra il software e i dispositivi seguenti.

*Installazione dei componenti di base del server interessata. Questo aggiornamento si applica, con la stessa classificazione di gravità, alle edizioni supportate di Windows Server 2008 o Windows Server 2008 R2 come indicato, indipendentemente dal fatto che sia installata o meno usando l'opzione di installazione Server Core. Per altre informazioni su questa opzione di installazione, vedere gli articoli TechNet Gestione di un'installazione dei componenti di base del server e manutenzione di un'installazione dei componenti di base del server. Si noti che l'opzione di installazione Server Core non si applica a determinate edizioni di Windows Server 2008 e Windows Server 2008 R2; vedere Confrontare le opzioni di installazione dei componenti di base del server.

Domande frequenti

Perché questo avviso è stato rivisto il 6 luglio 2011?
Microsoft ha rivisto questo avviso per annunciare il rilascio dell'aggiornamento per risolvere il problema di sicurezza SSL per i dispositivi Zune HD. Per installare l'aggiornamento, i clienti Zune HD devono connettere il dispositivo a un computer e usare il client Zune PC per completare il processo di aggiornamento. Per altre informazioni e istruzioni, vedere l'articolo della Microsoft Knowledge Base 2524375.

L'aggiornamento per Microsoft Kin non è attualmente disponibile. Microsoft eseguirà un aggiornamento per questo dispositivo al termine del test, per garantire un livello elevato di qualità per il rilascio.

Perché Zune 4GB, Zune 8GB, Zune 16GB, Zune 30GB, Zune 80GB e Zune 120GB sono stati rimossi dalla tabella Software and Devices interessati?
Dopo un'attenta revisione del vettore di attacco, Microsoft ha determinato che la possibilità di sfruttare questo problema su questi dispositivi Zune è estremamente bassa a causa del fatto che questi dispositivi non hanno un Web browser. Di conseguenza, Zune 4GB, Zune 8GB, Zune 16GB, Zune 30GB, Zune 80GB e Zune 120GB non riceveranno un aggiornamento e sono stati spostati nella tabella Dispositivi non interessati.

Perché questo avviso è stato rivisto il 10 maggio 2011?
Microsoft ha rivisto questo avviso per annunciare il rilascio di un aggiornamento per i dispositivi Windows Mobile 6.x. L'aggiornamento è disponibile per il download nell'Area download Microsoft. Per altre informazioni, vedere l'articolo della Microsoft Knowledge Base 2524375.

Gli aggiornamenti per i dispositivi Microsoft Kin e Zune non sono attualmente disponibili. Microsoft emetterà aggiornamenti per questi dispositivi al termine dei test, per garantire un livello elevato di qualità per il rilascio.

Perché questo avviso è stato rivisto il 3 maggio 2011?
Microsoft ha rivisto questo avviso per annunciare il rilascio di un aggiornamento per i dispositivi Windows Telefono 7. Al momento del rilascio, l'aggiornamento non è disponibile per tutti i clienti di Windows Telefono 7. I clienti riceveranno invece una notifica sul dispositivo dopo che l'aggiornamento è disponibile per il telefono. Per altre informazioni o per installare l'aggiornamento, i clienti di Windows Telefono 7 dovranno connettere il telefono a un computer e usare il client Zune PC o Windows Telefono 7 Connessione or (per Mac) per completare il processo di aggiornamento. Per altre informazioni, vedere l'articolo della Microsoft Knowledge Base 2524375.

Gli aggiornamenti per i dispositivi Windows Mobile 6.x, Microsoft Kin e Zune non sono attualmente disponibili. Microsoft emetterà aggiornamenti per questi dispositivi al termine dei test, per garantire un livello elevato di qualità per il rilascio.

Perché questo avviso è stato rivisto il 19 aprile 2011?
Microsoft ha rivisto questo avviso per aggiungere dispositivi Windows Mobile 6.x, Windows Telefono 7, Microsoft Kin e Zune ai dispositivi e software interessati. Microsoft è consapevole che l'archivio certificati locale non attendibile in questi dispositivi deve essere aggiornato per includere i nove certificati digitali fraudolenti.

Gli aggiornamenti per i dispositivi Windows Mobile 6.x, Windows Telefono 7, Microsoft Kin e Zune non sono attualmente disponibili. Microsoft emetterà aggiornamenti per questi dispositivi al termine dei test, per garantire un livello elevato di qualità per il rilascio.

Che cos'è la crittografia?
La crittografia è la scienza della protezione delle informazioni convertendola tra il normale stato leggibile (chiamato testo non crittografato) e quello in cui i dati vengono nascosti (noti come testo crittografato).

In tutte le forme di crittografia, viene usato un valore noto come chiave insieme a una procedura denominata algoritmo di crittografia per trasformare i dati di testo non crittografato in testo crittografato. Nel tipo più familiare di crittografia, crittografia a chiave privata, il testo crittografato viene trasformato in testo non crittografato usando la stessa chiave. Tuttavia, in un secondo tipo di crittografia, la crittografia a chiave pubblica viene usata una chiave diversa per trasformare il testo crittografato in testo non crittografato.

Che cos'è un certificato digitale?
Nella crittografia a chiave pubblica, una delle chiavi, nota come chiave privata, deve essere mantenuta segreta. L'altra chiave, nota come chiave pubblica, è destinata a essere condivisa con il mondo. Tuttavia, deve esserci un modo per consentire al proprietario della chiave di indicare al mondo a chi appartiene la chiave. I certificati digitali consentono di eseguire questa operazione. Un certificato digitale è un pezzo di dati antimanomissione che raggruppa una chiave pubblica insieme a informazioni su di esso, chi lo possiede, per cosa può essere usato, quando scade e così via.

Quali sono i certificati usati per?
I certificati vengono usati principalmente per verificare l'identità di una persona o di un dispositivo, autenticare un servizio o crittografare i file. In genere non è necessario considerare affatto i certificati. È tuttavia possibile che venga visualizzato un messaggio che informa che un certificato è scaduto o non è valido. In questi casi è necessario seguire le istruzioni nel messaggio.

Che cos'è un'autorità di certificazione (CA)?
Le autorità di certificazione sono le organizzazioni che rilasciano certificati. Stabiliscono e verificano l'autenticità delle chiavi pubbliche che appartengono a persone o altre autorità di certificazione e verificano l'identità di una persona o di un'organizzazione che richiede un certificato.

Cosa ha causato il problema?
Comodo, un'autorità di certificazione principale, ha informato Microsoft che diversi certificati digitali sono stati rilasciati senza sufficientemente convalidare la loro identità. Questi certificati possono essere usati per spoofing dell'identità dei servizi, ingannando gli utenti a considerarli attendibili.

Nota Comodo ha revocato questi certificati e sono elencati nell'elenco di revoche di certificati corrente (CRL).

Cosa può fare un utente malintenzionato che usa la vulnerabilità?
Un utente malintenzionato potrebbe usare questi certificati per spoofing del contenuto, eseguire attacchi di phishing o eseguire attacchi man-in-the-middle contro tutti gli utenti del Web browser, inclusi gli utenti di Internet Explorer.

Che cos'è un attacco man-in-the-middle?
Un attacco man-in-the-middle si verifica quando un utente malintenzionato reindirizza la comunicazione tra due utenti attraverso il computer dell'utente malintenzionato senza conoscere i due utenti che comunicano. Ogni utente nella comunicazione invia inconsapevolmente il traffico a e riceve il traffico dall'utente malintenzionato, tutto il mentre pensa di comunicare solo con l'utente previsto.

Qual è la procedura per revocare un certificato?
Esiste una procedura standard che dovrebbe consentire a Comodo di impedire che questi certificati vengano accettati se utilizzati. Ogni autorità emittente di certificati genera periodicamente un CRL, che elenca tutti i certificati che devono essere considerati non validi. Ogni certificato deve fornire una parte di dati denominata punto di distribuzione CRL (CDP) che indica la posizione in cui è possibile ottenere il CRL.

Un modo alternativo per i Web browser per convalidare l'identità di un certificato digitale consiste nell'usare il protocollo OCSP (Online Certificate Status Protocol). OCSP consente la convalida interattiva di un certificato connettendosi a un risponditore OCSP, ospitato dall'autorità di certificazione (CA) che ha firmato il certificato digitale. Ogni certificato deve fornire un puntatore alla posizione del risponditore OCSP tramite l'estensione AIA (Authority Information Access) nel certificato. Inoltre, l'associazione OCSP consente al server Web stesso di fornire una risposta di convalida OCSP al client.

La convalida OCSP è abilitata per impostazione predefinita in Internet Explorer 7 e versioni successive di Internet Explorer nelle edizioni supportate di Windows Vista, Windows Server 2008, Windows 7 e Windows Server 2008 R2. In questi sistemi operativi, se il controllo di convalida OCSP ha esito negativo, il browser convaliderà il certificato contattando il percorso CRL.

Per altre informazioni sul controllo delle revoche di certificati, vedere l'articolo TechNet, La revoca dei certificati e il controllo dello stato.

Che cos'è un elenco di revoche di certificati (CRL)?
CRL è un elenco firmato digitalmente, rilasciato da una CA, che contiene un elenco di certificati rilasciati dalla CA e successivamente revocati dalla CA. Per ogni singolo certificato revocato, l'elenco include il numero di serie del certificato, la data di revoca del certificato e il motivo della revoca. Le applicazioni possono eseguire il controllo CRL per determinare lo stato di revoca di un certificato presentato.

Che cos'è il punto di distribuzione CRL (CDP)?
CDP è un'estensione del certificato che indica dove è possibile recuperare l'elenco di revoche di certificati per una CA. Può contenere url HTTP, uno o più HTTP, file o LDAP.

Che cos'è il protocollo OCSP (Online Certificate Status Protocol)?
OCSP è un protocollo che consente la convalida in tempo reale dello stato di un certificato. In genere, un risponditore OCSP risponde con lo stato di revoca in base al CRL recuperato dalla CA.

Che cosa sta facendo Microsoft per risolvere questo problema?
Anche se questo problema non deriva da un problema in alcun prodotto Microsoft, è stato tuttavia sviluppato un aggiornamento che contribuirà a proteggere i clienti assicurandosi che questi nove certificati fraudolenti vengano sempre considerati non attendibili.

Se non è presente alcun problema nel software Microsoft, perché Microsoft rilascia un aggiornamento?
Anche quando la convalida CRL e OCSP è abilitata, le tecniche di convalida non sono sufficientemente solide per garantire che gli utenti siano protetti da usi dannosi di questi certificati. Quando è possibile raggiungere la posizione CRL e il risponditore OCSP, i controlli di convalida sono altamente affidabili ed efficaci.

Tuttavia, quando i controlli di revoca dei certificati non riescono a causa di problemi di rete e connettività, browser e altre applicazioni client, tra cui Internet Explorer, possono ignorare questi errori e considerare attendibile il certificato a causa della mancanza di prova in caso contrario. In questi scenari, i clienti potrebbero comunque essere interessati.

**Che cosa fa l'aggiornamento? ** L'aggiornamento per le versioni supportate di Microsoft Windows risolve il problema inserendo i nove certificati fraudolenti nell'archivio certificati non attendibile locale di Microsoft Windows. Gli aggiornamenti per i dispositivi Windows Mobile 6.x, Windows Telefono 7 e Zune HD risolvano il problema inserendo i nove certificati fraudolenti nell'archivio certificati non attendibile locale nel dispositivo. L'aggiornamento per Microsoft Kin non è attualmente disponibile.

Ricerca per categorie sapere se si è verificato un errore di certificato non valido?
Quando Internet Explorer rileva un certificato non valido, agli utenti viene visualizzata una pagina Web con il messaggio "Si è verificato un problema con il certificato di sicurezza di questo sito Web". Gli utenti sono invitati a chiudere la pagina Web e a spostarsi dal sito quando viene visualizzato questo messaggio di avviso.

Gli utenti vengono visualizzati solo quando il certificato è determinato come non valido, ad esempio quando l'utente dispone dell'elenco di revoche di certificati (CRL) o della convalida OCSP (Online Certificate Status Protocol) abilitata. La convalida OCSP è abilitata per impostazione predefinita in Internet Explorer 7 e versioni successive di Internet Explorer nelle edizioni supportate di Windows Vista, Windows Server 2008, Windows 7 e Windows Server 2008 R2.

Dopo aver applicato l'aggiornamento, come è possibile verificare i certificati nella cartella Certificati non attendibili?
Per informazioni su come visualizzare i certificati, vedere l'articolo MSDN Procedura: Visualizzare i certificati con lo snap-in MMC.

Nello snap-in MMC Certificati verificare che i certificati seguenti siano stati aggiunti alla cartella Certificati non attendibili:

Azioni suggerite

Installare l'aggiornamento

È disponibile un aggiornamento per risolvere questo problema.

• Per le versioni supportate di Microsoft Windows

  La maggior parte dei clienti ha abilitato l'aggiornamento automatico e non dovrà eseguire alcuna azione perché questo aggiornamento verrà scaricato e installato automaticamente. I clienti che non hanno abilitato l'aggiornamento automatico devono verificare la disponibilità di aggiornamenti e installare questo aggiornamento manualmente. Per informazioni sulle opzioni di configurazione specifiche nell'aggiornamento automatico, vedere l'articolo della Microsoft Knowledge Base 294871.

  Per gli amministratori e le installazioni aziendali o per gli utenti finali che desiderano installare questo aggiornamento manualmente, Microsoft consiglia ai clienti di applicare immediatamente l'aggiornamento usando il software di gestione degli aggiornamenti o controllando la disponibilità di aggiornamenti tramite il servizio Microsoft Update .

  L'aggiornamento è disponibile anche dall'Area download Microsoft; per i collegamenti di download, vedere l'articolo della Microsoft Knowledge Base 2524375 .

• Per i dispositivi Windows Telefono 7

  Al momento del rilascio, l'aggiornamento non è disponibile per tutti i clienti di Windows Telefono 7. I clienti riceveranno invece una notifica sul dispositivo dopo che l'aggiornamento è disponibile per il telefono. Per altre informazioni o per installare l'aggiornamento, i clienti di Windows Telefono 7 dovranno connettere il telefono a un computer e usare il client Zune PC o Windows Telefono 7 Connessione or (per Mac) per completare il processo di aggiornamento. Per altre informazioni sull'aggiornamento, vedere l'articolo della Microsoft Knowledge Base 2524375.

  Per aggiornare il client zune PC, i clienti possono configurare l'aggiornamento automatico per verificare la disponibilità di aggiornamenti online da Microsoft Update tramite il servizio Microsoft Update . I clienti che hanno abilitato l'aggiornamento automatico e configurato per verificare la disponibilità di aggiornamenti online da Microsoft Update in genere non dovranno eseguire alcuna azione per aggiornare il software Zune perché questo aggiornamento verrà scaricato e installato automaticamente.

• Per i dispositivi Windows Mobile 6.x

  L'aggiornamento è disponibile per il download dall'Area download Microsoft. Per altre informazioni sui collegamenti di aggiornamento e download, vedere l'articolo della Microsoft Knowledge Base 2524375.

• Per i dispositivi Zune HD

  L'aggiornamento è disponibile tramite il client Zune PC. L'aggiornamento viene applicato quando il dispositivo Zune HD è connesso al software Zune aggiornato. Per altre informazioni sull'aggiornamento, vedere l'articolo della Microsoft Knowledge Base 2524375.

  Per aggiornare il client zune PC, i clienti possono configurare l'aggiornamento automatico per verificare la disponibilità di aggiornamenti online da Microsoft Update tramite il servizio Microsoft Update . I clienti che hanno abilitato l'aggiornamento automatico e configurato per verificare la disponibilità di aggiornamenti online da Microsoft Update in genere non dovranno eseguire alcuna azione per aggiornare il software Zune perché questo aggiornamento verrà scaricato e installato automaticamente.

Azioni aggiuntive suggerite

• Esaminare l'articolo della Microsoft Knowledge Base associato a questo avviso

  Per altre informazioni su questo problema, vedere l'articolo della Microsoft Knowledge Base 2524375.

• Proteggere il PC

  Continuiamo a incoraggiare i clienti a seguire le linee guida per proteggere il computer per abilitare un firewall, ottenere gli aggiornamenti software e installare il software antivirus. Per altre informazioni su questi passaggi, vedere Proteggere il computer.

  Per altre informazioni su come rimanere al sicuro su Internet, visitare Microsoft Security Central.

• Mantenere aggiornato il software Microsoft

  Gli utenti che eseguono software Microsoft devono applicare gli aggiornamenti della sicurezza Microsoft più recenti per assicurarsi che i computer siano il più protetti possibile. Se non si è certi che il software sia aggiornato, visitare Microsoft Update, analizzare il computer per verificare la disponibilità degli aggiornamenti e installare eventuali aggiornamenti ad alta priorità offerti. Se l'aggiornamento automatico è abilitato e configurato per fornire aggiornamenti per i prodotti Microsoft, gli aggiornamenti vengono recapitati all'utente quando vengono rilasciati, ma è necessario verificare che siano installati.

Altre informazioni

Microsoft Active Protections Program (MAPP)

Per migliorare le protezioni di sicurezza per i clienti, Microsoft fornisce informazioni sulle vulnerabilità ai principali provider di software di sicurezza in anticipo di ogni versione mensile dell'aggiornamento della sicurezza. I provider di software di sicurezza possono quindi usare queste informazioni sulla vulnerabilità per fornire protezioni aggiornate ai clienti tramite il software o i dispositivi di sicurezza, ad esempio antivirus, sistemi di rilevamento delle intrusioni basati sulla rete o sistemi di prevenzione delle intrusioni basati su host. Per determinare se le protezioni attive sono disponibili dai provider di software di sicurezza, visitare i siti Web delle protezioni attive forniti dai partner del programma, elencati in Microsoft Active Protections Program (MAPP).

Feedback

• È possibile fornire commenti e suggerimenti completando il modulo Microsoft Help and Support (Guida e supporto tecnico Microsoft), Customer Service Contact Us (Contatta Microsoft).

Supporto tecnico

• I clienti del Stati Uniti e del Canada possono ricevere supporto tecnico dal supporto tecnico. Per altre informazioni sulle opzioni di supporto disponibili, vedere Guida e supporto tecnico Microsoft.
• I clienti internazionali possono ricevere supporto dalle filiali Microsoft locali. Per altre informazioni su come contattare Microsoft per problemi di supporto internazionale, visitare il supporto internazionale.
• Microsoft TechNet Security fornisce informazioni aggiuntive sulla sicurezza nei prodotti Microsoft.

Dichiarazione di non responsabilità

Le informazioni fornite in questo avviso vengono fornite "così com'è" senza garanzia di alcun tipo. Microsoft dichiara tutte le garanzie, espresse o implicite, incluse le garanzie di commerciabilità e idoneità per uno scopo specifico. In nessun caso, Microsoft Corporation o i suoi fornitori saranno responsabili di qualsiasi danno, incluso diretto, indiretto, accidentale, consequenziale, perdita di profitti aziendali o danni speciali, anche se Microsoft Corporation o i suoi fornitori sono stati informati della possibilità di tali danni. Alcuni stati non consentono l'esclusione o la limitazione della responsabilità per danni consequenziali o accidentali, pertanto la limitazione precedente potrebbe non essere applicata.

Revisioni

• V1.0 (23 marzo 2011): Avviso pubblicato.
• V2.0 (19 aprile 2011): aggiunta di dispositivi Windows Mobile 6.x, Windows Telefono 7, Microsoft Kin e Zune a software e dispositivi interessati.
• V3.0 (3 maggio 2011): ha annunciato il rilascio di un aggiornamento per i dispositivi Windows Telefono 7. L'aggiornamento non è disponibile per tutti i clienti al momento del rilascio; per altre informazioni, vedere le domande frequenti sull'avviso.
• V4.0 (10 maggio 2011): ha annunciato il rilascio di un aggiornamento per i dispositivi Windows Mobile 6.x.
• V5.0 (6 luglio 2011): ha annunciato il rilascio di un aggiornamento per i dispositivi Zune HD e ha spostato i dispositivi Zune nella tabella Dispositivi non interessati.

Costruito al 2014-04-18T13:49:36Z-07:00