Assessoria de Segurança

Comunicado de Segurança da Microsoft 2607712

Certificados digitais fraudulentos podem permitir falsificação

Publicado: terça-feira, 29 de agosto de 2011 | Atualizado: September 19, 2011

Versão: 5.0

Informações Gerais

Resumo Executivo

A Microsoft está ciente de ataques ativos usando pelo menos um certificado digital fraudulento emitido pelo DigiNotar, uma autoridade de certificação presente no Trusted Root Certification Authorities Store. Um certificado fraudulento pode ser usado para falsificar conteúdo, executar ataques de phishing ou executar ataques man-in-the-middle contra todos os usuários do navegador da Web, incluindo os usuários do Internet Explorer. Embora esta não seja uma vulnerabilidade num produto da Microsoft, este problema afeta todas as versões suportadas do Microsoft Windows.

A Microsoft continua a investigar este problema. Com base na investigação preliminar, a Microsoft está fornecendo uma nova atualização (KB2616676) em 13 de setembro de 2011 para todas as versões suportadas do Microsoft Windows que revoga a confiança dos seguintes certificados raiz DigiNotar, colocando-os no Microsoft Untrusted Certificate Store:

• DigiNotar Root CA
• DigiNotar Raiz CA G2
• DigiNotar PKIoverheid CA Overheid
• DigiNotar PKIoverheid CA Organisatie - G2
• DigiNotar PKIoverheid CA Overheid en Bedrijven
• DigiNotar Root CA Emitido por Entrust (2 certificados)
• DigiNotar Services 1024 CA Emitido por Entrust
• DigiNotar Cyber CA Emitido pela GTE CyberTrust (3 certificados)

Recomendação. A Microsoft recomenda que os clientes apliquem a atualização imediatamente usando o software de gerenciamento de atualizações ou verificando se há atualizações usando o serviço Microsoft Update . Consulte a seção Ações sugeridas deste comunicado para obter mais informações.

Problemas conhecidos.O Artigo 2616676 da Base de Dados de Conhecimento Microsoft documenta os problemas atualmente conhecidos que os clientes podem enfrentar ao instalar esta atualização. O artigo também documenta as soluções recomendadas para esses problemas.

Detalhes do Comunicado

Referências de Edições

Para obter mais informações sobre esse problema, consulte as seguintes referências:

Software e dispositivos afetados

Este comunicado descreve os seguintes softwares e dispositivos.

*Instalação Server Core afetada. Este comunicado aplica-se às edições com suporte do Windows Server 2008 ou Windows Server 2008 R2, conforme indicado, instaladas ou não usando a opção de instalação Server Core. Para obter mais informações sobre essa opção de instalação, consulte os artigos do TechNet, Managing a Server Core Installation and Servicing a Server Core Installation. Observe que a opção de instalação Server Core não se aplica a determinadas edições do Windows Server 2008 e Windows Server 2008 R2; consulte Comparar opções de instalação Server Core.

Perguntas Mais Frequentes

Por que este comunicado foi revisado em 19 de setembro de 2011?
A Microsoft revisou este comunicado para anunciar o relançamento da atualização KB2616676. O relançamento agora é cumulativo e resolve um problema conhecido descrito no artigo 2616676 da Base de Dados de Conhecimento Microsoft, em que a atualização KB2616676 original, somente em edições com suporte do Windows XP e Windows Server 2003, não continha os certificados digitais incluídos nas atualizações KB2607712 e KB2524375.

Os clientes de edições com suporte do Windows XP e Windows Server 2003 devem aplicar a versão relançada da atualização KB2616676 para estarem protegidos contra o uso de certificados fraudulentos, conforme especificado neste comunicado. Os clientes de edições com suporte do Windows Vista, Windows 7, Windows Server 2008 e Windows Server 2008 R2 não são afetados por este relançamento.

Observação A atualização não será oferecida aos clientes de edições com suporte do Windows XP e do Windows Server 2003 no caso de as atualizações KB2616676, KB2607712 e KB2524375 originais terem sido aplicadas anteriormente, pois o pacote de relançamento é cumulativo e contém todas as alterações desses três pacotes de atualização.

A maioria dos clientes tem a atualização automática habilitada e não precisará fazer nada porque a atualização KB2616676 relançada será baixada e instalada automaticamente.

O Windows Developer Preview é afetado por esse problema?
Sim. A atualização KB2616676 está disponível para a versão Windows Developer Preview. Os clientes do Windows Developer Preview são incentivados a aplicar a atualização aos seus sistemas. A atualização só está disponível no Windows Update.

Por que este comunicado foi revisado em 13 de setembro de 2011?
A Microsoft revisou este comunicado para anunciar o lançamento da atualização KB2616676 que resolve esse problema. A atualização adiciona seis certificados raiz DigiNotar adicionais que são assinados por Entrust ou GTE para o Microsoft Untrusted Certificate Store. A atualização KB2616676 substitui a atualização KB2607712 e também contém os cinco certificados raiz DigiNotar anteriores adicionados ao Microsoft Untrusted Certificate Store pela atualização KB2607712.

Embora a atualização KB2616676 substitua a atualização KB2607712, a atualização KB2607712 não é um pré-requisito para a atualização KB2616676. Independentemente de a atualização de KB2607712 ter sido aplicada ou não, os clientes devem aplicar a atualização de KB2616676 para resolver o problema descrito neste comunicado. Os clientes que aplicam a atualização KB2616676 não precisam aplicar a atualização KB2607712.

Por que este comunicado foi revisado em 6 de setembro de 2011?
A Microsoft revisou este comunicado para anunciar o lançamento de uma atualização que resolve esse problema. A atualização adiciona cinco certificados raiz DigiNotar para o Microsoft Untrusted Certificate Store. Normalmente, nenhuma ação é necessária dos clientes para instalar essa atualização, porque a maioria dos clientes tem a atualização automática habilitada e essa atualização será baixada e instalada automaticamente. Para clientes que não têm a atualização automática habilitada, consulte o artigo 2607712 da Base de Dados de Conhecimento Microsoft para obter informações sobre como aplicar manualmente a atualização.

Em 29 de agosto de 2011, a Microsoft removeu a confiança de um certificado raiz DigiNotar, atualizando a CTL da Microsoft. Por que a Microsoft está lançando uma atualização?
Windows Vista, Windows 7, Windows Server 2008 e Windows Server 2008 R2 usam a Lista de Certificados Confiáveis da Microsoft para validar a confiança de uma autoridade de certificação. O Windows XP e o Windows Server 2003 não usam a Lista de Certificados Confiáveis da Microsoft para validar a confiança de uma autoridade de certificação. Como resultado, uma atualização é necessária para todas as edições do Windows XP e Windows Server 2003 para proteger os clientes.

Após a atualização da CTL em 29 de agosto de 2011, os usuários do Windows Vista, Windows 7, Windows Server 2008 e Windows Server 2008 R2 que acessaram um site assinado por um certificado raiz DigiNotar não confiável receberiam uma mensagem de aviso indicando que a confiança do certificado não pôde ser verificada. Os usuários foram autorizados a clicar nesta mensagem de aviso para acessar o site.

A fim de proteger os clientes de forma mais abrangente contra possíveis ataques man-in-the-middle, a Microsoft está lançando uma atualização que toma medidas adicionais para proteger os clientes, impedindo completamente os usuários do Internet Explorer de acessar recursos de sites que continham certificados assinados pelos certificados raiz não confiáveis do DigiNotar. Os usuários do Internet Explorer que aplicarem essa atualização receberão uma mensagem de erro ao tentar acessar um site que foi assinado por qualquer um dos certificados raiz DigiNotar acima. Esses usuários não poderão continuar a acessar o site.

O que faz a atualização KB2616676?
Em todas as versões suportadas do Microsoft Windows, a atualização KB2616676 adiciona onze certificados raiz DigiNotar ao Microsoft Untrusted Certificate Store. Além disso, a atualização KB2616676 também inclui os certificados na atualização KB2524375 lançada em 6 de julho de 2011.

Como essa atualização mudará a experiência do usuário ao tentar acessar um site que foi criptografado com TLS e assinado por um certificado raiz DigiNotar não confiável?
Os usuários do Internet Explorer que tentarem acessar um site que foi assinado por um certificado raiz DigiNotar não confiável receberão uma mensagem de erro. Devido ao fato de que esse certificado está localizado no Microsoft Untrusted Certificate Store, o Internet Explorer não permitirá que os usuários prossigam para o site. O site permanecerá indisponível até que o certificado do site seja substituído por um novo certificado assinado por um certificado raiz confiável.

Depois de aplicar a atualização, como posso verificar os certificados no Microsoft Untrusted Certificates Store?
Para obter informações sobre como exibir certificados, consulte o artigo do MSDN, How to: View Certificates with the MMC Snap-in.

No snap-in Certificados MMC, verifique se os seguintes certificados foram adicionados à pasta Certificados Não Confiáveis:

*Certificado adicionado à pasta Certificados Não Confiáveis por essas atualizações.

A atualização KB2616676 também inclui os certificados na atualização de KB2524375 adicionada à pasta Certificados Não Confiáveis.

Qual é o âmbito do aconselhamento?
O objetivo deste comunicado é notificar os clientes de que a Microsoft confirmou que pelo menos um certificado fraudulento foi emitido pela DigiNotar e está sendo usado em ataques ativos. A Microsoft emitiu uma atualização para todas as versões suportadas do Microsoft Windows que resolve o problema.

O que é criptografia?
Criptografia é a ciência de proteger informações convertendo-as entre seu estado normal e legível (chamado texto simples) e um em que os dados são obscurecidos (conhecido como texto cifrado).

Em todas as formas de criptografia, um valor conhecido como chave é usado em conjunto com um procedimento chamado algoritmo de criptografia para transformar dados de texto simples em texto cifrado. No tipo mais familiar de criptografia, a criptografia de chave secreta, o texto cifrado é transformado novamente em texto simples usando a mesma chave. No entanto, em um segundo tipo de criptografia, a criptografia de chave pública, uma chave diferente é usada para transformar o texto cifrado de volta em texto simples.

O que é um certificado digital?
Na criptografia de chave pública, uma das chaves, conhecida como chave privada, deve ser mantida em segredo. A outra chave, conhecida como chave pública, destina-se a ser partilhada com o mundo. No entanto, deve haver uma maneira de o dono da chave dizer ao mundo a quem a chave pertence. Os certificados digitais fornecem uma maneira de fazer isso. Um certificado digital é um dado inviolável que empacota uma chave pública juntamente com informações sobre ela - quem a possui, para que pode ser usada, quando expira e assim por diante.

Para que servem os certificados?
Os certificados são usados principalmente para verificar a identidade de uma pessoa ou dispositivo, autenticar um serviço ou criptografar arquivos. Normalmente, você não terá que pensar em certificados. No entanto, você pode ver uma mensagem informando que um certificado expirou ou é inválido. Nesses casos, você deve seguir as instruções na mensagem.

O que é uma autoridade de certificação (AC)?
As autoridades de certificação são as organizações que emitem certificados. Eles estabelecem e verificam a autenticidade de chaves públicas que pertencem a pessoas ou outras autoridades de certificação, e verificam a identidade de uma pessoa ou organização que solicita um certificado.

O que é uma Lista de Certificados Confiáveis (CTL)?
Deve existir uma relação de confiança entre o destinatário de uma mensagem assinada e o signatário da mensagem. Um método para estabelecer esta confiança é através de um certificado, um documento eletrónico que verifica se as entidades ou pessoas são quem afirmam ser. Um certificado é emitido para uma entidade por um terceiro de confiança de ambas as partes. Assim, cada destinatário de uma mensagem assinada decide se o emissor do certificado do signatário é confiável. A CryptoAPI implementou uma metodologia para permitir que os desenvolvedores de aplicativos criem aplicativos que verificam automaticamente os certificados em relação a uma lista predefinida de certificados confiáveis ou raízes. Essa lista de entidades confiáveis (chamadas de entidades) é chamada de lista de certificados confiáveis (CTL). Para obter mais informações, consulte o artigo do MSDN, Certificate Trust Verification.

O que causou o problema?
A Microsoft está ciente de ataques ativos usando pelo menos um certificado digital fraudulento emitido pelo DigiNotar, uma autoridade de certificação presente no Trusted Root Certification Authorities Store. Um certificado fraudulento pode ser usado para falsificar conteúdo, executar ataques de phishing ou executar ataques man-in-the-middle contra todos os usuários do navegador da Web, incluindo os usuários do Internet Explorer. Embora esta não seja uma vulnerabilidade num produto da Microsoft, este problema afeta todas as versões suportadas do Microsoft Windows.

Para que um invasor pode usar a vulnerabilidade?
Um invasor pode usar esses certificados para falsificar conteúdo, executar ataques de phishing ou executar ataques man-in-the-middle contra todos os usuários do navegador da Web, incluindo usuários do Internet Explorer.

O que é um ataque man-in-the-middle?
Um ataque man-in-the-middle ocorre quando um invasor redireciona a comunicação entre dois usuários através do computador do invasor sem o conhecimento dos dois usuários que se comunicam. Cada usuário na comunicação inadvertidamente envia tráfego e recebe tráfego do invasor, sempre pensando que está se comunicando apenas com o usuário pretendido.

Qual é o procedimento para revogar uma certidão?
Existe um procedimento padrão que deve permitir que uma autoridade de certificação impeça que os certificados sejam aceitos se forem usados. Cada emissor de certificado gera periodicamente uma CRL, que lista todos os certificados que devem ser considerados inválidos. Cada certificado deve fornecer uma parte dos dados chamada CDP (Ponto de Distribuição da CRL) que indica o local onde a CRL pode ser obtida.

Uma maneira alternativa para os navegadores da Web validarem a identidade de um certificado digital é usando o OCSP (Online Certificate Status Protocol). O OCSP permite a validação interativa de um certificado conectando-se a um respondente OCSP, hospedado pela Autoridade de Certificação (CA) que assinou o certificado digital. Cada certificado deve fornecer um ponteiro para o local do respondente OCSP por meio da extensão de Acesso à Informação da Autoridade (AIA) no certificado. Além disso, o grampeamento OCSP permite que o próprio servidor Web forneça uma resposta de validação OCSP ao cliente.

A validação OCSP é habilitada por padrão no Internet Explorer 7 e em versões posteriores do Internet Explorer em edições com suporte do Windows Vista, Windows Server 2008, Windows 7 e Windows Server 2008 R2. Nesses sistemas operacionais, se a verificação de validação do OCSP falhar, o navegador validará o certificado entrando em contato com o local da CRL.

Para obter mais informações sobre a verificação de revogação de certificados, consulte o artigo do TechNet, Certificate Revocation and Status Checking.

O que é uma Lista de Revogação de Certificados (CRL)?
A CRL é uma lista assinada digitalmente, emitida por uma autoridade de certificação, que contém uma lista de certificados emitidos pela autoridade de certificação e posteriormente revogados pela autoridade de certificação. Para cada certificado revogado, a listagem inclui o número de série do certificado, a data em que o certificado foi revogado e o motivo da revogação. Os aplicativos podem executar a verificação de CRL para determinar o status de revogação de um certificado apresentado.

O que é CRL Distribution Point (CDP)?
CDP é uma extensão de certificado que indica onde a lista de revogação de certificados de uma autoridade de certificação pode ser recuperada. Ele pode conter nenhuma, uma ou muitas URLs HTTP, arquivo ou LDAP.

O que é o Protocolo de Status de Certificado Online (OCSP)?
O OCSP é um protocolo que permite a validação em tempo real do status de um certificado. Normalmente, um respondente OCSP responde com o status de revogação com base na CRL recuperada da autoridade de certificação.

O que a Microsoft está fazendo para ajudar a resolver esse problema?
Embora esse problema não resulte de um problema em qualquer produto da Microsoft, atualizamos a Lista de Certificados Confiáveis para remover a confiança no certificado raiz do DigiNotar. A Microsoft continuará a investigar esse problema e poderá lançar uma atualização futura para proteger os clientes.

Como posso saber se encontrei um erro de certificado inválido?
Quando o Internet Explorer encontra um certificado inválido, os usuários recebem uma página da Web que diz: "Há um problema com o certificado de segurança deste site". Os utilizadores são encorajados a fechar a página Web e navegar para fora do site quando esta mensagem de aviso aparece.

Esta mensagem só é apresentada aos utilizadores quando o certificado é considerado inválido, por exemplo, quando o utilizador tem a validação da Lista de Certificados Revogados (CRL) ou do Protocolo de Estado de Certificado Online (OCSP) ativada. A validação OCSP é habilitada por padrão no Internet Explorer 7 e em versões posteriores do Internet Explorer em edições com suporte do Windows Vista, Windows Server 2008, Windows 7 e Windows Server 2008 R2.

Ações Sugeridas

Para versões suportadas do Microsoft Windows

A maioria dos clientes tem a atualização automática ativada e não precisará fazer nada porque a atualização KB2616676 será baixada e instalada automaticamente. Os clientes que não habilitaram a atualização automática precisam verificar se há atualizações e instalar essa atualização manualmente. Para obter informações sobre opções de configuração específicas na atualização automática, consulte o artigo 294871 da Base de Dados de Conhecimento Microsoft.

Para instalações de administradores e empresas ou usuários finais que desejam instalar a atualização KB2616676 manualmente, a Microsoft recomenda que os clientes apliquem a atualização imediatamente usando o software de gerenciamento de atualizações ou verificando se há atualizações usando o serviço Microsoft Update . Para obter mais informações sobre como aplicar manualmente a atualização, consulte o artigo 2616676 da Base de Dados de Conhecimento Microsoft.

Embora a atualização KB2616676 substitua a atualização KB2607712, a atualização KB2607712 não é um pré-requisito para a atualização KB2616676. Independentemente de a atualização de KB2607712 ter sido aplicada ou não, os clientes devem aplicar a atualização de KB2616676 para resolver o problema descrito neste comunicado. Os clientes que aplicam a atualização KB2616676 não precisam aplicar a atualização KB2607712.

Ações adicionais sugeridas

• Proteja o seu PC

  Continuamos a incentivar os clientes a seguir a nossa orientação Proteja o seu computador de ativar um firewall, obter atualizações de software e instalar software antivírus. Os clientes podem saber mais sobre estas etapas visitando Proteja seu computador.

  Para obter mais informações sobre como se manter seguro na Internet, visite a Central de Segurança da Microsoft.

• Manter o software Microsoft atualizado

  Os utilizadores que executam software Microsoft devem aplicar as atualizações de segurança mais recentes da Microsoft para ajudar a garantir que os seus computadores estão tão protegidos quanto possível. Se não tiver a certeza se o seu software está atualizado, visite o Microsoft Update, verifique o seu computador em busca de atualizações disponíveis e instale quaisquer atualizações de alta prioridade que lhe sejam oferecidas. Se você tiver a atualização automática habilitada e configurada para fornecer atualizações para produtos da Microsoft, as atualizações serão entregues quando forem lançadas, mas você deverá verificar se elas estão instaladas.

Outras informações

Programa Microsoft Ative Protections (MAPP)

Para melhorar as proteções de segurança para os clientes, a Microsoft fornece informações sobre vulnerabilidades aos principais fornecedores de software de segurança antes de cada lançamento mensal de atualização de segurança. Os fornecedores de software de segurança podem então utilizar estas informações de vulnerabilidade para fornecer proteções atualizadas aos clientes através do seu software ou dispositivos de segurança, tais como antivírus, sistemas de deteção de intrusões baseados na rede ou sistemas de prevenção de intrusões baseados em anfitrião. Para determinar se as proteções ativas estão disponíveis em provedores de software de segurança, visite os sites de proteções ativas fornecidos por parceiros de programa, listados em Parceiros do Microsoft Ative Protections Program (MAPP).

Comentários

• Você pode fornecer comentários preenchendo o formulário de Ajuda e Suporte da Microsoft, Atendimento ao Cliente Fale Conosco.

Suporte

• Os clientes nos Estados Unidos e Canadá podem receber suporte técnico do Suporte de Segurança. Para obter mais informações sobre as opções de suporte disponíveis, consulte a Ajuda e Suporte da Microsoft.
• Os clientes internacionais podem receber suporte de suas subsidiárias locais da Microsoft. Para obter mais informações sobre como entrar em contato com a Microsoft para problemas de suporte internacional, visite Suporte internacional.
• O Microsoft TechNet Security fornece informações adicionais sobre segurança em produtos Microsoft.

Exclusão de Responsabilidade

As informações fornecidas neste comunicado são fornecidas "no estado em que se encontram", sem garantia de qualquer tipo. A Microsoft se isenta de todas as garantias, expressas ou implícitas, incluindo as garantias de comercialização e adequação a uma finalidade específica. Em nenhuma circunstância a Microsoft Corporation ou seus fornecedores serão responsáveis por quaisquer danos, incluindo danos diretos, indiretos, incidentais, consequenciais, perda de lucros comerciais ou danos especiais, mesmo que a Microsoft Corporation ou seus fornecedores tenham sido avisados da possibilidade de tais danos. Alguns estados não permitem a exclusão ou limitação de responsabilidade por danos consequenciais ou incidentais, portanto, a limitação acima pode não se aplicar.

Revisões

• V1.0 (29 de agosto de 2011): Comunicado publicado.
• V2.0 (29 de agosto de 2011): Revisado para corrigir o número de aviso errado.
• V3.0 (6 de setembro de 2011): Revisado para anunciar o lançamento de uma atualização que resolve esse problema.
• V4.0 (13 de setembro de 2011): Revisado para anunciar o lançamento da atualização KB2616676 que aborda o problema descrito neste comunicado.
• V4.1 (13 de setembro de 2011): Revisado para anunciar a disponibilidade da atualização KB2616676 para a versão do Windows Developer Preview. Consulte as Perguntas frequentes de atualização neste comunicado para obter mais informações.
• V5.0 (19 de setembro de 2011): Revisado para anunciar o relançamento da atualização KB2616676. Consulte as Perguntas frequentes de atualização neste comunicado para obter mais informações.

Construído em 2014-04-18T13:49:36Z-07:00