セキュリティ アドバイザリ

Microsoft セキュリティ アドバイザリ 2524375

不正なデジタル証明書がスプーフィングを可能にする可能性がある

公開日: 2011 年 3 月 23 日 |更新日: 2011 年 7 月 6 日

バージョン: 5.0

一般情報

概要

Microsoft は、Microsoft Windows、Windows Mobile 6.x、Windows 電話 7、Microsoft Kin、Zune HD デバイスのサポートされているすべてのリリースで、信頼されたルート証明機関ストアに存在する証明機関である Comodo によって発行された 9 つの不正なデジタル証明書を認識しています。 Comodo は、2011 年 3 月 16 日に、9 つの証明書が、その ID を十分に検証せずに第三者に代わって署名されたことを Microsoft に通知しました。 これらの証明書は、コンテンツのなりすまし、フィッシング攻撃の実行、インターネット エクスプローラーのユーザーを含むすべての Web ブラウザー ユーザーに対する中間者攻撃の実行に使用できます。

これらの証明書は、次の Web プロパティに影響します。

• login.live.com
• mail.google.com
• www.google.com
• login.yahoo.com (3 つの証明書)
• login.skype.com
• addons.mozilla.org
• "グローバル トラスティ"

Comodo はこれらの証明書を失効させ、Comodo の現在の証明書失効リスト (CRL) に一覧表示されます。 さらに、オンライン証明書ステータス プロトコル (OCSP) を有効にしているブラウザーは、これらの証明書を対話形式で検証し、使用をブロックします。

この問題に対処するための更新プログラムは、Windows、Windows Mobile 6.x デバイス、Zune HD デバイスでサポートされているすべてのリリースで利用できます。 2011 年 5 月 3 日の時点で、更新プログラムは Windows 電話 7 のお客様にも提供され始めています。 この更新プログラムの詳細については、マイクロソフト サポート技術情報の記事2524375を参照してください。

Microsoft Windows のサポートされているリリースでは、ほとんどのお客様が自動更新を有効にしており、この更新プログラムが自動的にダウンロードおよびインストールされるため、通常、この更新プログラムをインストールする必要はありません。 この更新プログラムを手動でインストールする方法や、Windows Mobile 6.x、Windows 電話 7、Zune HD デバイスに更新プログラムをインストールする方法など、詳細については、このアドバイザリの「推奨されるアクション」セクションを参照してください。

アドバイザリの詳細

問題のリファレンス

この問題の詳細については、次のリファレンスを参照してください。

影響を受けるソフトウェアとデバイス

このアドバイザリでは、次のソフトウェアとデバイスについて説明します。

*Server Core のインストールが影響を受けます。 この更新プログラムは、示されているように、サポートされている Windows Server 2008 または Windows Server 2008 R2 のエディションに、Server Core インストール オプションを使用してインストールされるかどうかにかかわらず、同じ重大度評価で適用されます。 このインストール オプションの詳細については、TechNet の記事「Server Core のインストールの管理と Server Core インストールのサービス」を参照してください。 Server Core のインストール オプションは、Windows Server 2008 および Windows Server 2008 R2 の特定のエディションには適用されないことに注意してください。「Server Core インストール オプションの比較」を参照してください。

よく寄せられる質問

この勧告が 2011 年 7 月 6 日に改訂された理由
Microsoft は、Zune HD デバイスの SSL セキュリティの問題に対処するための更新プログラムのリリースを発表するために、このアドバイザリを改訂しました。 更新プログラムをインストールするには、Zune HD のお客様はデバイスをコンピューターに接続し、Zune PC クライアントを使用して更新プロセスを完了する必要があります。 詳細と手順については、マイクロソフト サポート技術情報の記事の2524375を参照してください。

現時点では、Microsoft Kin の更新プログラムは使用できません。 Microsoft は、テストが完了したときにこのデバイスの更新プログラムを発行し、リリースの品質を高めます。

Zune 4 GB、Zune 8 GB、Zune 16 GB、Zune 30 GB、Zune 80 GB、Zune 120 GB のデバイスが影響を受けるソフトウェアとデバイスの表から削除されたのはなぜですか?
攻撃ベクトルを慎重に確認した後、Microsoft は、これらのデバイスに Web ブラウザーがないため、これらの Zune デバイスでこの問題を悪用する可能性が非常に低いことが判断されました。 その結果、Zune 4 GB、Zune 8 GB、Zune 16 GB、Zune 30 GB、Zune 80 GB、Zune 120 GB は更新プログラムを受け取らず、影響を受け取らないデバイス テーブルに移動されました。

この勧告が 2011 年 5 月 10 日に改訂された理由
Microsoft は、Windows Mobile 6.x デバイスの更新プログラムのリリースを発表するために、このアドバイザリを改訂しました。 この更新プログラムは、Microsoft ダウンロード センターでダウンロードできます。 詳細については、マイクロソフト サポート技術情報の記事2524375を参照してください。

現時点では、Microsoft Kin および Zune デバイスの更新プログラムは使用できません。 Microsoft は、テストが完了したときにこれらのデバイスの更新プログラムを発行し、リリースの品質を高めます。

この勧告が 2011 年 5 月 3 日に改訂された理由
Microsoft は、Windows 電話 7 デバイスの更新プログラムのリリースを発表するために、このアドバイザリを改訂しました。 リリース時に、更新プログラムはすべての Windows 電話 7 のお客様で利用できるわけではありません。代わりに、更新プログラムが電話で利用可能になると、デバイス上の通知を受け取ります。 更新プログラムの詳細またはインストールを行うには、Windows 電話 7 のお客様が電話をコンピューターに接続し、Zune PC クライアントまたは Windows 電話 7 Connector (mac 用) を使用して更新プロセスを完了する必要があります。 詳細については、マイクロソフト サポート技術情報の記事2524375を参照してください。

現時点では、Windows Mobile 6.x、Microsoft Kin、Zune デバイスの更新プログラムは使用できません。 Microsoft は、テストが完了したときにこれらのデバイスの更新プログラムを発行し、リリースの品質を高めます。

この勧告が 2011 年 4 月 19 日に改訂された理由
Microsoft は、影響を受けるソフトウェアとデバイスに Windows Mobile 6.x、Windows 電話 7、Microsoft Kin、Zune デバイスを追加するために、このアドバイザリを改訂しました。 Microsoft は、これらのデバイス上のローカルの信頼されていない証明書ストアを、9 つの不正なデジタル証明書を含むように更新する必要があることを認識しています。

現時点では、Windows Mobile 6.x、Windows 電話 7、Microsoft Kin、Zune デバイスの更新プログラムは使用できません。 Microsoft は、テストが完了したときにこれらのデバイスの更新プログラムを発行し、リリースの品質を高めます。

暗号化とは
暗号化は、通常の読み取り可能な状態 (プレーンテキストと呼ばれます) とデータが隠されている状態 (暗号テキストと呼ばれます) の間で変換することによって、情報をセキュリティで保護する科学です。

あらゆる形式の暗号化では、キーと呼ばれる値が暗号化アルゴリズムと呼ばれるプロシージャと組み合わせて使用され、プレーンテキスト データを暗号テキストに変換します。 最も使い慣れた種類の暗号化である秘密鍵暗号化では、暗号テキストは同じキーを使用してプレーンテキストに変換されます。 ただし、2 番目の種類の暗号化である公開キー暗号化では、暗号化テキストをプレーンテキストに変換するために別のキーが使用されます。

デジタル証明書とは
公開キー暗号化では、秘密キーと呼ばれるいずれかのキーを秘密にしておく必要があります。 公開キーと呼ばれるもう 1 つのキーは、世界と共有することを目的としています。 ただし、キーの所有者がキーが属するユーザーを世界に伝える方法が必要です。 デジタル証明書は、これを行う方法を提供します。 デジタル証明書は、公開キーとその公開キーに関する情報をパッケージ化する改ざん防止データです。公開キーの所有者、使用できる情報、有効期限が切れた場合などです。

証明書の用途
証明書は主に、個人またはデバイスの ID の確認、サービスの認証、またはファイルの暗号化に使用されます。 通常、証明書についてまったく考慮する必要はありません。 ただし、証明書の有効期限が切れているか無効であることを示すメッセージが表示されることがあります。 このような場合は、メッセージの指示に従う必要があります。

証明機関 (CA) とは
証明機関は、証明書を発行する組織です。 ユーザーまたは他の証明機関に属する公開キーの信頼性を確立して検証し、証明書を要求する個人または組織の ID を確認します。

問題の原因は何ですか?
主要な証明機関である Comodo は、ID を十分に検証せずに複数のデジタル証明書が発行されたことを Microsoft に通知しました。 これらの証明書を使用して、サービスの ID を偽装し、ユーザーを信頼させる可能性があります。

メモ Comodo はこれらの証明書を失効させ、Comodo の現在の証明書失効リスト (CRL) に一覧表示されます。

攻撃者はこの脆弱性を使用して何を行う可能性がありますか?
攻撃者は、これらの証明書を使用して、コンテンツのスプーフィング、フィッシング攻撃、インターネット エクスプローラーのユーザーを含むすべての Web ブラウザー ユーザーに対する中間者攻撃を実行する可能性があります。

中間者攻撃とは
中間者攻撃は、攻撃者が 2 人のユーザーの情報を知らずに、攻撃者のコンピューターを介して 2 人のユーザー間の通信を再ルーティングするときに発生します。 通信の各ユーザーは、意図したユーザーとだけ通信していると考えながら、知らず知らずのうちに攻撃者との間でトラフィックを送受信します。

証明書を取り消す手順は何ですか?
Comodo が使用されている場合にこれらの証明書が受け入れられないようにするための標準的な手順があります。 すべての証明書発行者は定期的に CRL を生成します。CRL には、無効と見なされるすべての証明書が一覧表示されます。 すべての証明書は、CRL を取得できる場所を示す CRL 配布ポイント (CDP) と呼ばれるデータを提供する必要があります。

Web ブラウザーでデジタル証明書の ID を検証する別の方法は、オンライン証明書ステータス プロトコル (OCSP) を使用することです。 OCSP では、デジタル証明書に署名した証明機関 (CA) によってホストされている OCSP レスポンダーに接続することで、証明書を対話的に検証できます。 すべての証明書は、証明書の機関情報アクセス (AIA) 拡張機能を介して OCSP レスポンダーの場所へのポインターを提供する必要があります。 さらに、OCSP ステープリングを使用すると、Web サーバー自体がクライアントに OCSP 検証応答を提供できます。

OCSP 検証は、サポートされているエディションの Windows Vista、Windows Server 2008、Windows 7、および Windows Server 2008 R2 で、インターネット エクスプローラー 7 以降のバージョンのインターネット エクスプローラーで既定で有効になっています。 これらのオペレーティング システムでは、OCSP 検証チェックが失敗した場合、ブラウザーは CRL の場所に接続して証明書を検証します。

証明書失効チェックの詳細については、TechNet の記事「証明書失効と状態チェック」を参照してください。

証明書失効リスト (CRL) とは
CRL は、CA によって発行され、その後 CA によって失効した証明書のリストを含む、CA によって発行されたデジタル署名付きリストです。 取り消された証明書ごとに、一覧には証明書のシリアル番号、証明書が失効した日付、および失効理由が含まれます。 アプリケーションは CRL チェックを実行して、提示された証明書の失効状態を判断できます。

CRL 配布ポイント (CDP) とは
CDP は、CA の証明書失効リストを取得できる場所を示す証明書拡張機能です。 これには、なし、1 つ、または多数の HTTP、ファイル、または LDAP の URL を含めることができます。

オンライン証明書ステータス プロトコル (OCSP) とは
OCSP は、証明書の状態をリアルタイムで検証できるプロトコルです。 通常、OCSP レスポンダーは、CA から取得した CRL に基づいて失効状態で応答します。

この問題の解決に役立つ Microsoft の取り組み
この問題は Microsoft 製品の問題によるものではありませんが、それでも、これらの 9 つの不正な証明書が常に信頼されていない証明書として扱われることを保証することで、お客様を保護するのに役立つ更新プログラムを開発しました。

Microsoft ソフトウェアに問題がない場合、Microsoft が更新プログラムをリリースするのはなぜですか?
CRL と OCSP 検証が有効になっている場合でも、検証手法は、ユーザーがこれらの証明書の悪意のある使用から保護されることを保証するのに十分な堅牢性がありません。 CRL の場所と OCSP レスポンダーに到達できる場合、検証チェックは信頼性が高く、効果的です。

ただし、ネットワークと接続の問題によって証明書の失効チェックが失敗した場合、ブラウザーやインターネット エクスプローラーを含む他のクライアント アプリケーションでは、これらのエラーが無視され、証明書が信頼できると見なされる場合があります。そうしないと、証明書が信頼できると見なされます。 これらのシナリオでは、お客様が引き続き影響を受ける可能性があります。

**更新プログラムは何をしますか? ** Microsoft Windows のサポートされているリリースの更新プログラムは、9 つの不正な証明書を Microsoft Windows のローカルの信頼されていない証明書ストアに配置することで、この問題に対処します。 Windows Mobile 6.x、Windows 電話 7、Zune HD デバイスの更新プログラムでは、デバイス上のローカルの信頼されていない証明書ストアに 9 つの不正な証明書を配置することで、この問題に対処します。 現時点では、Microsoft Kin の更新プログラムは使用できません。

無効な証明書エラーが発生した操作方法はわかりますか?
インターネット エクスプローラーで無効な証明書が検出されると、"この Web サイトのセキュリティ証明書に問題があります" という Web ページが表示されます。この警告メッセージが表示されたら、ユーザーは Web ページを閉じてサイトから移動することをお勧めします。

このメッセージは、証明書が無効であると判断された場合 (たとえば、ユーザーが証明書失効リスト (CRL) またはオンライン証明書状態プロトコル (OCSP) 検証を有効にしている場合など) にのみ表示されます。 OCSP 検証は、サポートされているエディションの Windows Vista、Windows Server 2008、Windows 7、および Windows Server 2008 R2 で、インターネット エクスプローラー 7 以降のバージョンのインターネット エクスプローラーで既定で有効になっています。

更新プログラムを適用した後、信頼されていない証明書フォルダー内の証明書を確認するにはどうすればよいですか?
証明書を表示する方法については、MSDN の記事 「方法: MMC スナップインを使用して証明書を表示する」を参照してください。

証明書 MMC スナップインで、次の証明書が信頼されていない証明書フォルダーに追加されていることを確認します。

推奨されるアクション

更新プログラムをインストールする

この問題に対処するために、更新プログラムを利用できます。

• Microsoft Windows のサポートされているリリースの場合

  ほとんどのお客様は自動更新を有効にしており、この更新プログラムは自動的にダウンロードおよびインストールされるため、何も行う必要はありません。 自動更新を有効にしていないお客様は、更新プログラムをチェックし、この更新プログラムを手動でインストールする必要があります。 自動更新の特定の構成オプションについては、マイクロソフト サポート技術情報の記事294871を参照してください。

  管理者と企業のインストール、またはこの更新プログラムを手動でインストールするエンド ユーザーの場合は、更新管理ソフトウェアを使用するか、Microsoft Update サービスを使用して更新プログラムをチェックして、更新プログラムを直ちに適用することをお勧めします。

  この更新プログラムは、Microsoft ダウンロード センターからも入手できます。ダウンロード リンクについては、Microsoft サポート技術情報の記事2524375を参照してください。

• Windows 電話 7 デバイスの場合

  リリース時に、更新プログラムはすべての Windows 電話 7 のお客様で利用できるわけではありません。代わりに、更新プログラムが電話で利用可能になると、デバイス上の通知を受け取ります。 更新プログラムの詳細またはインストールを行うには、Windows 電話 7 のお客様が電話をコンピューターに接続し、Zune PC クライアントまたは Windows 電話 7 Connector (mac 用) を使用して更新プロセスを完了する必要があります。 更新プログラムの詳細については、マイクロソフト サポート技術情報の記事2524375を参照してください。

  Zune PC クライアントを更新するには、Microsoft Update サービスを使用して、Microsoft Update からの更新プログラムをオンラインでチェックするように自動更新を構成できます。 自動更新を有効にして、Microsoft Update からの更新プログラムをオンラインでチェックするように構成されているお客様は、通常、この更新プログラムが自動的にダウンロードおよびインストールされるため、Zune ソフトウェアを更新するためのアクションを実行する必要はありません。

• Windows Mobile 6.x デバイスの場合

  この更新プログラムは、Microsoft ダウンロード センターからダウンロードできます。 更新プログラムとダウンロード リンクの詳細については、マイクロソフト サポート技術情報の記事2524375を参照してください。

• Zune HD デバイスの場合

  この更新プログラムは、Zune PC クライアントから入手できます。 更新プログラムは、Zune HD デバイスが更新された Zune ソフトウェアに接続されている場合に適用されます。 更新プログラムの詳細については、マイクロソフト サポート技術情報の記事2524375を参照してください。

  Zune PC クライアントを更新するには、Microsoft Update サービスを使用して、Microsoft Update からの更新プログラムをオンラインでチェックするように自動更新を構成できます。 自動更新を有効にして、Microsoft Update からの更新プログラムをオンラインでチェックするように構成されているお客様は、通常、この更新プログラムが自動的にダウンロードおよびインストールされるため、Zune ソフトウェアを更新するためのアクションを実行する必要はありません。

その他の推奨されるアクション

• このアドバイザリに関連付けられている Microsoft サポート技術情報の記事を確認する

  この問題の詳細については、マイクロソフト サポート技術情報の記事2524375を参照してください。

• PC を保護する

  ファイアウォールの有効化、ソフトウェア更新プログラムの取得、ウイルス対策ソフトウェアのインストールに関する Microsoft のコンピューター保護ガイダンスに従うことをお客様に引き続きお勧めします。 これらの手順の詳細については、「コンピューターの保護」を参照してください。

  インターネット上の安全を維持する方法の詳細については、Microsoft Security Central を参照してください。

• Microsoft ソフトウェアを最新の状態に保つ

  Microsoft ソフトウェアを実行しているユーザーは、コンピューターが可能な限り保護されていることを確認するために、最新の Microsoft セキュリティ更新プログラムを適用する必要があります。 ソフトウェアが最新かどうかわからない場合は、Microsoft Update にアクセスし、コンピューターで利用可能な更新プログラムをスキャンし、提供されている優先度の高い更新プログラムをインストールします。 自動更新を有効にして、Microsoft 製品の更新プログラムを提供するように構成している場合、更新プログラムはリリース時に配信されますが、インストールされていることを確認する必要があります。

その他の情報

Microsoft Active Protections Program (MAPP)

お客様のセキュリティ保護を強化するために、Microsoft は、毎月のセキュリティ更新プログラムのリリースの前に、主要なセキュリティ ソフトウェア プロバイダーに脆弱性情報を提供します。 セキュリティ ソフトウェア プロバイダーは、この脆弱性情報を使用して、ウイルス対策、ネットワークベースの侵入検出システム、ホストベースの侵入防止システムなどのセキュリティ ソフトウェアまたはデバイスを介して、お客様に更新された保護を提供できます。 セキュリティ ソフトウェア プロバイダーからアクティブな保護を利用できるかどうかを判断するには、Microsoft Active Protections Program (MAPP) パートナーに記載されているプログラム パートナーによって提供されるアクティブな保護 Web サイトにアクセスしてください。

フィードバック

• Microsoft のヘルプとサポートフォーム、カスタマー サービスのお問い合わせフォームに入力することで、 フィードバックを提供できます。

サポート

• 米国およびカナダのお客様は、セキュリティ サポートからテクニカル サポートを受けることができます。 使用可能なサポート オプションの詳細については、Microsoft のヘルプとサポートを参照してください。
• 海外のお客様は、現地の Microsoft 子会社からサポートを受けることができます。 国際サポートの問題について Microsoft に問い合わせる方法の詳細については、国際サポートを参照してください。
• Microsoft TechNet Security は、Microsoft 製品のセキュリティに関する追加情報を提供します。

免責情報

このアドバイザリで提供される情報は、いかなる種類の保証もなく「現状のまま」提供されます。 Microsoft は、商品性と特定の目的に対する適合性の保証を含め、明示または黙示を問わず、すべての保証を放棄します。 Microsoft Corporation またはそのサプライヤーは、Microsoft Corporation またはそのサプライヤーがこのような損害の可能性について通知された場合でも、直接的、間接的、付随的、派生的、ビジネス上の利益の損失、または特別な損害を含む一切の損害について一切の責任を負いません。 一部の州では、派生的損害または付随的損害に対する責任の除外または制限が認められていないため、前述の制限は適用されない場合があります。

リビジョン

• V1.0 (2011 年 3 月 23 日): アドバイザリが公開されました。
• V2.0 (2011 年 4 月 19 日): 影響を受けるソフトウェアとデバイスに Windows Mobile 6.x、Windows 電話 7、Microsoft Kin、Zune デバイスを追加しました。
• V3.0 (2011 年 5 月 3 日): Windows 電話 7 デバイスの更新プログラムのリリースを発表しました。 この更新プログラムは、リリース時にすべての顧客が利用できるわけではありません。詳細については、アドバイザリの FAQ を参照してください。
• V4.0 (2011 年 5 月 10 日): Windows Mobile 6.x デバイス用の更新プログラムのリリースを発表しました。
• V5.0 (2011 年 7 月 6 日): Zune HD デバイスの更新プログラムのリリースを発表し、Zune デバイスを [影響を受けないもの] テーブルに移動しました。

ビルド日: 2014-04-18T13:49:36Z-07:00