Poradce pro zabezpečení

Poradce microsoftu pro zabezpečení 2524375

Podvodné digitální certifikáty by mohly umožnit falšování identity

Publikováno: 23. března 2011 | Aktualizováno: 6. července 2011

Verze: 5.0

Obecné informace

Shrnutí

Společnost Microsoft si je vědoma devíti podvodných digitálních certifikátů vydaných společností Comodo, certifikační autoritou v úložišti důvěryhodných kořenových certifikačních autorit ve všech podporovaných verzích systému Microsoft Windows, Windows Mobile 6.x, Windows Telefon 7, Microsoft Kin a Zune HD. Společnost Comodo doporučila Microsoftu dne 16. března 2011, že devět certifikátů bylo podepsáno jménem třetí strany bez dostatečného ověření identity. Tyto certifikáty se můžou použít k falšování obsahu, k útokům phishing nebo k útokům man-in-the-middle na všechny uživatele webového prohlížeče, včetně uživatelů aplikace Internet Explorer.

Tyto certifikáty ovlivňují následující webové vlastnosti:

• login.live.com
• mail.google.com
• www.google.com
• login.yahoo.com (3 certifikáty)
• login.skype.com
• addons.mozilla.org
• "Globální správce"

Comodo tyto certifikáty odvolal a jsou uvedené v aktuálním seznamu odvolaných certifikátů (CRL) společnosti Comodo. Kromě toho prohlížeče, které povolily protokol OCSP (Online Certificate Status Protocol), budou tyto certifikáty interaktivně ověřovat a blokovat jejich použití.

Aktualizace, která vám pomůže tento problém vyřešit, je dostupná pro všechna podporovaná vydání zařízení s Windows, Windows Mobile 6.x a zařízení Zune HD. Od 3. května 2011 se aktualizace také začíná doručovat zákazníkům s Windows Telefon 7. Další informace o této aktualizaci naleznete v článku znalostní báze Microsoft Knowledge Base 2524375.

U podporovaných verzí systému Microsoft Windows obvykle není vyžadována žádná akce pro instalaci této aktualizace, protože většina zákazníků má povolenou automatickou aktualizaci a tato aktualizace se stáhne a nainstaluje automaticky. Další informace, včetně toho, jak tuto aktualizaci nainstalovat ručně a jak ji nainstalovat na zařízení s Windows Mobile 6.x, Windows Telefon 7 a Zune HD, najdete v části Navrhované akce tohoto poradce.

Podrobnosti o poradci

Odkazy na problém

Další informace o tomto problému najdete v následujících odkazech:

Ovlivněný software a zařízení

Tento poradce popisuje následující software a zařízení.

*Ovlivněna instalace jádra serveru. Tato aktualizace platí pro podporované edice systému Windows Server 2008 nebo Windows Server 2008 R2 se stejnou závažností, bez ohledu na to, jestli je nainstalovaná pomocí možnosti instalace jádra serveru. Další informace o této možnosti instalace najdete v článcích TechNet, Správa instalace jádra serveru a údržba instalace jádra serveru. Všimněte si, že možnost instalace jádra serveru se nevztahuje na některé edice systému Windows Server 2008 a Windows Server 2008 R2; Viz Porovnání možností instalace jádra serveru.

Nejčastější dotazy

Proč byl tento poradce revidovaný 6. července 2011?
Společnost Microsoft tento poradce revidovala, aby oznámila vydání aktualizace, která řeší problém se zabezpečením SSL pro zařízení Zune HD. K instalaci aktualizace musí zákazníci Zune HD připojit své zařízení k počítači a k dokončení procesu aktualizace použít klienta Počítače Zune. Další informace a pokyny naleznete v článku znalostní báze Microsoft Knowledge Base 2524375.

Aktualizace pro Microsoft Kin není v tuto chvíli k dispozici. Microsoft vydá po dokončení testování aktualizaci pro toto zařízení, aby zajistil vysokou kvalitu pro svou verzi.

Proč byla zařízení Zune 4GB, Zune 8GB, Zune 16GB, Zune 30GB, Zune 80GB a Zune 120GB odebrána z tabulky Ovlivněný software a zařízení?
Po pečlivém přezkoumání vektoru útoku společnost Microsoft zjistila, že pravděpodobnost zneužití tohoto problému na těchto zařízeních Zune je extrémně nízká kvůli skutečnosti, že tato zařízení nemají webový prohlížeč. Výsledkem je, že Zune 4GB, Zune 8GB, Zune 16GB, Zune 30GB, Zune 80GB a Zune 120GB neobdrží aktualizaci a byly přesunuty do tabulky Zařízení, která nejsou ovlivněna.

Proč byl tento poradce revidován 10. května 2011?
Microsoft tento poradce revidoval, aby oznámil vydání aktualizace pro zařízení s Windows Mobile 6.x. Aktualizace je k dispozici ke stažení na webu Stažení softwaru společnosti Microsoft. Další informace naleznete v článku znalostní báze Microsoft Knowledge Base 2524375.

Aktualizace zařízení Microsoft Kin a Zune nejsou v tuto chvíli k dispozici. Microsoft vydá aktualizace těchto zařízení po dokončení testování, aby zajistil vysokou kvalitu pro jejich vydání.

Proč byl tento poradce revidovaný 3. května 2011?
Společnost Microsoft upravila tento poradce, aby oznámila vydání aktualizace pro zařízení s Windows Telefon 7. V době vydání není aktualizace dostupná pro všechny zákazníky s Windows Telefon 7. Zákazníci místo toho obdrží oznámení na zařízení, jakmile bude aktualizace dostupná pro svůj telefon. Pokud chcete získat další informace nebo nainstalovat aktualizaci, musí zákazníci se systémem Windows Telefon 7 připojit svůj telefon k počítači a k dokončení procesu aktualizace použít klienta Zune PC nebo windows Telefon 7 Připojení or (for Mac). Další informace naleznete v článku znalostní báze Microsoft Knowledge Base 2524375.

Aktualizace pro zařízení s Windows Mobile 6.x, Microsoft Kin a Zune nejsou v tuto chvíli k dispozici. Microsoft vydá aktualizace těchto zařízení po dokončení testování, aby zajistil vysokou kvalitu pro jejich vydání.

Proč byl tento poradce revidovaný 19. dubna 2011?
Společnost Microsoft upravila toto doporučení pro přidání zařízení s Windows Mobile 6.x, Windows Telefon 7, Microsoft Kin a Zune do ovlivněného softwaru a zařízení. Microsoft si uvědomuje, že místní nedůvěryhodné úložiště certifikátů na těchto zařízeních je potřeba aktualizovat tak, aby zahrnovalo devět podvodných digitálních certifikátů.

Aktualizace pro zařízení s Windows Mobile 6.x, Windows Telefon 7, Microsoft Kin a Zune nejsou v tuto chvíli k dispozici. Microsoft vydá aktualizace těchto zařízení po dokončení testování, aby zajistil vysokou kvalitu pro jejich vydání.

Co je kryptografie?
Kryptografie je věda o zabezpečení informací převodem mezi normálním, čitelným stavem (označovaným jako prostý text) a informací, ve kterých jsou data zakrytá (označuje se jako šiferný text).

Ve všech formách kryptografie se hodnota známá jako klíč používá ve spojení s procedurou označovanou jako kryptografický algoritmus k transformaci dat prostého textu na šifrový text. V nejznámějším typu kryptografie, kryptografie s tajným klíčem, se šiferový text transformuje zpět do prostého textu pomocí stejného klíče. V druhém typu kryptografie, kryptografie s veřejným klíčem se však k transformaci šifrového textu zpět na prostý text používá jiný klíč.

Co je digitální certifikát?
V kryptografii veřejného klíče musí být jeden z klíčů, označovaný jako privátní klíč, tajný klíč. Druhý klíč, označovaný jako veřejný klíč, má být sdílen se světem. Musí však existovat způsob, jak vlastník klíče říct světu, komu klíč patří. Digitální certifikáty poskytují způsob, jak to udělat. Digitální certifikát je manipulace s daty, která zabalí veřejný klíč spolu s informacemi o něm – kdo ho vlastní, k čemu může být použit, kdy vyprší platnost atd.

K čemu se používají certifikáty?
Certifikáty se používají především k ověření identity osoby nebo zařízení, ověření služby nebo šifrování souborů. Za normálních okolností si nebudete muset myslet na certifikáty vůbec. Může se ale zobrazit zpráva s oznámením, že platnost certifikátu vypršela nebo je neplatná. V takových případech byste měli postupovat podle pokynů ve zprávě.

Co je certifikační autorita (CA)?
Certifikační autority jsou organizace, které vydávají certifikáty. Zřídí a ověří pravost veřejných klíčů, které patří lidem nebo jiným certifikačním autoritám, a ověří identitu osoby nebo organizace, která žádá o certifikát.

Co způsobilo problém?
Společnost Comodo, hlavní certifikační autorita, informovala Společnost Microsoft, že bylo vydáno několik digitálních certifikátů bez dostatečného ověření identity. Tyto certifikáty se dají použít k falšování identity služeb a oklamat uživatele, aby jim důvěřovali.

Poznámka: Comodo odvolal tyto certifikáty a jsou uvedené v aktuálním seznamu odvolaných certifikátů (CRL) společnosti Comodo.

Co může útočník použít k ohrožení zabezpečení?
Útočník může tyto certifikáty použít k falšování obsahu, k útokům phishing nebo k útokům typu man-in-the-middle na všechny uživatele webového prohlížeče, včetně uživatelů aplikace Internet Explorer.

Co je útok typu man-in-the-middle?
Útok typu man-in-the-middle nastane, když útočník přesměruje komunikaci mezi dvěma uživateli prostřednictvím počítače útočníka bez znalosti dvou komunikujících uživatelů. Každý uživatel v komunikaci neúmyslně odesílá provoz a přijímá provoz od útočníka, a to i když si myslí, že komunikuje jenom s zamýšleným uživatelem.

Jaký je postup odvolání certifikátu?
Existuje standardní postup, který by měl modelu Comodo umožnit, aby se tyto certifikáty při jejich použití nepřijaly. Každý vystavitel certifikátu pravidelně generuje seznam CRL, který uvádí všechny certifikáty, které by měly být považovány za neplatné. Každý certifikát by měl poskytnout část dat označovanou jako distribuční bod seznamu CRL (CDP), která označuje umístění, kde lze získat CRL.

Alternativní způsob, jak webové prohlížeče ověřit identitu digitálního certifikátu, je použití protokolu OCSP (Online Certificate Status Protocol). OCSP umožňuje interaktivní ověření certifikátu připojením k respondéru OCSP hostovaným certifikační autoritou, která digitální certifikát podepsala. Každý certifikát by měl poskytnout ukazatel na umístění respondéru OCSP prostřednictvím rozšíření AIA (Authority Information Access) v certifikátu. Kromě toho připojení OCSP umožňuje samotnému webovému serveru poskytnout klientovi odpověď na ověření OCSP.

Ověřování OCSP je ve výchozím nastavení povolené v aplikaci Internet Explorer 7 a novějších verzích aplikace Internet Explorer v podporovaných edicích systému Windows Vista, Windows Server 2008, Windows 7 a Windows Server 2008 R2. Pokud v těchto operačních systémech selže kontrola ověření OCSP, prohlížeč ověří certifikát kontaktováním umístění seznamu CRL.

Další informace o kontrole odvolání certifikátu najdete v článku TechNetu, odvolání certifikátu a kontrola stavu.

Co je seznam odvolaných certifikátů (CRL)?
Seznam CRL je digitálně podepsaný seznam vydaný certifikační autoritou, který obsahuje seznam certifikátů vydaných certifikační autoritou a následně odvolán certifikační autoritou. Pro každý jednotlivý odvolaný certifikát obsahuje výpis sériové číslo certifikátu, datum odvolání certifikátu a důvod odvolání. Aplikace můžou provést kontrolu seznamu odvolaných certifikátů a určit stav odvolání prezentovaného certifikátu.

Co je distribuční bod seznamu CRL (CDP)?
CDP je rozšíření certifikátu, které označuje, kde lze načíst seznam odvolaných certifikátů pro certifikační autoritu. Může obsahovat žádné adresy URL, jeden nebo mnoho souborů HTTP, souborů nebo LDAP.

Co je protokol OCSP (Online Certificate Status Protocol)?
OCSP je protokol, který umožňuje ověření stavu certifikátu v reálném čase. Respondér OCSP obvykle odpoví stavem odvolání na základě seznamu CRL načteného z certifikační autority.

Co Microsoft dělá, aby vám s řešením tohoto problému pomohl?
I když tento problém nezpůsobí problém v žádném produktu Společnosti Microsoft, přesto jsme vyvinuli aktualizaci, která pomůže chránit zákazníky tím, že zajistí, aby se s těmito devíti podvodnými certifikáty vždy zacházelo jako s nedůvěryhodnými certifikáty.

Pokud v softwaru Společnosti Microsoft není žádný problém, proč Společnost Microsoft vydává aktualizaci?
I když je povolené ověřování CRL a OCSP, techniky ověřování nejsou dostatečně robustní, aby se zajistilo, že uživatelé budou chráněni před škodlivým použitím těchto certifikátů. Po dosažení umístění seznamu CRL a respondéru OCSP jsou kontroly ověření vysoce spolehlivé a efektivní.

Pokud se ale kontroly odvolání certifikátů nezdaří kvůli problémům se sítí a připojením, prohlížečům a dalším klientským aplikacím, včetně Internet Exploreru, můžou tyto chyby ignorovat a zvážit důvěryhodnost certifikátu z důvodu nedostatku důkazu jinak. V těchto scénářích můžou být zákazníci stále ovlivněni.

**Co aktualizace dělá? ** Aktualizace podporovaných verzí systému Microsoft Windows řeší problém umístěním devíti podvodných certifikátů do místního nedůvěryhodného úložiště certifikátů systému Microsoft Windows. Aktualizace pro zařízení s Windows Mobile 6.x, Windows Telefon 7 a Zune HD řeší problém tak, že na zařízení umístí devět podvodných certifikátů do místního nedůvěryhodného úložiště certifikátů. Aktualizace pro Microsoft Kin není v tuto chvíli k dispozici.

Návody vědět, jestli došlo k chybě neplatného certifikátu?
Když Internet Explorer narazí na neplatný certifikát, zobrazí se uživatelům webová stránka s textem "Došlo k problému s certifikátem zabezpečení tohoto webu". Uživatelům se doporučuje zavřít webovou stránku a přejít mimo web, když se zobrazí tato zpráva s upozorněním.

Uživatelům se tato zpráva zobrazí pouze v případě, že je certifikát neplatný, například pokud má uživatel povolený seznam odvolaných certifikátů (CRL) nebo ověřování OCSP (Online Certificate Status Protocol). Ověřování OCSP je ve výchozím nastavení povolené v aplikaci Internet Explorer 7 a novějších verzích aplikace Internet Explorer v podporovaných edicích systému Windows Vista, Windows Server 2008, Windows 7 a Windows Server 2008 R2.

Jak můžu po instalaci aktualizace ověřit certifikáty ve složce Nedůvěryhodné certifikáty?
Informace o tom, jak zobrazit certifikáty, naleznete v článku MSDN článek Postupy: Zobrazení certifikátů pomocí modulu snap-in MMC.

V modulu snap-in Certifikáty konzoly MMC ověřte, že byly do složky Nedůvěryhodné certifikáty přidány následující certifikáty:

Navrhované akce

Instalace aktualizace

K dispozici je aktualizace, která vám pomůže tento problém vyřešit.

• Podporované verze Systému Microsoft Windows

  Většina zákazníků má povolenou automatickou aktualizaci a nebude muset provést žádnou akci, protože se tato aktualizace stáhne a nainstaluje automaticky. Zákazníci, kteří nepovolili automatickou aktualizaci, potřebují vyhledat aktualizace a nainstalovat tuto aktualizaci ručně. Informace o konkrétních možnostech konfigurace při automatické aktualizaci naleznete v článku znalostní báze Microsoft Knowledge Base 294871.

  Pro správce a podnikové instalace nebo koncové uživatele, kteří chtějí tuto aktualizaci nainstalovat ručně, společnost Microsoft doporučuje, aby tuto aktualizaci ihned použili pomocí softwaru pro správu aktualizací nebo kontrolou aktualizací pomocí služby Microsoft Update .

  Aktualizace je dostupná také z webu Stažení softwaru společnosti Microsoft; naleznete v článku znalostní báze Microsoft Knowledge Base 2524375 odkazy ke stažení.

• Pro zařízení s Windows Telefon 7

  V době vydání není aktualizace dostupná pro všechny zákazníky s Windows Telefon 7. Zákazníci místo toho obdrží oznámení na zařízení, jakmile bude aktualizace dostupná pro svůj telefon. Pokud chcete získat další informace nebo nainstalovat aktualizaci, musí zákazníci se systémem Windows Telefon 7 připojit svůj telefon k počítači a k dokončení procesu aktualizace použít klienta Zune PC nebo windows Telefon 7 Připojení or (for Mac). Další informace o aktualizaci naleznete v článku znalostní báze Microsoft Knowledge Base 2524375.

  Aby zákazníci mohli aktualizovat klienta Zune PC, můžou nakonfigurovat automatickou aktualizaci tak, aby kontrolovali aktualizace z webu Microsoft Update online pomocí služby Microsoft Update . Zákazníci, kteří mají povolenou a nakonfigurovanou automatickou aktualizaci, aby kontrolovali aktualizace z webu Microsoft Update, obvykle nebudou muset provést žádnou akci pro aktualizaci softwaru Zune, protože tato aktualizace se stáhne a nainstaluje automaticky.

• Pro zařízení s Windows Mobile 6.x

  Aktualizace je k dispozici ke stažení z webu Stažení softwaru společnosti Microsoft. Další informace o aktualizaci a stahování odkazů naleznete v článku znalostní báze Microsoft Knowledge Base 2524375.

• Pro zařízení Zune HD

  Aktualizace je k dispozici prostřednictvím klienta Počítače Zune. Aktualizace se použije, když je zařízení Zune HD připojené k aktualizovanému softwaru Zune. Další informace o aktualizaci naleznete v článku znalostní báze Microsoft Knowledge Base 2524375.

  Aby zákazníci mohli aktualizovat klienta Zune PC, můžou nakonfigurovat automatickou aktualizaci tak, aby kontrolovali aktualizace z webu Microsoft Update online pomocí služby Microsoft Update . Zákazníci, kteří mají povolenou a nakonfigurovanou automatickou aktualizaci, aby kontrolovali aktualizace z webu Microsoft Update, obvykle nebudou muset provést žádnou akci pro aktualizaci softwaru Zune, protože tato aktualizace se stáhne a nainstaluje automaticky.

Další navrhované akce

• Projděte si článek znalostní báze Microsoft Knowledge Base přidružený k tomuto poradci.

  Další informace o tomto problému naleznete v článku znalostní báze Microsoft Knowledge Base 2524375.

• Ochrana počítače

  Nadále doporučujeme zákazníkům postupovat podle našich pokynů k ochraně počítače při povolování brány firewall, získávání aktualizací softwaru a instalaci antivirového softwaru. Další informace o těchto krocích můžou zákazníci získat v části Ochrana počítače.

  Další informace o tom, jak zůstat v bezpečí na internetu, naleznete na webu Microsoft Security Central.

• Udržovat software společnosti Microsoft aktualizovaný

  Uživatelé, kteří používají software společnosti Microsoft, by měli použít nejnovější aktualizace zabezpečení společnosti Microsoft, aby zajistili, že jsou jejich počítače co nejvíce chráněné. Pokud si nejste jistí, jestli je váš software aktuální, navštivte web Microsoft Update, vyhledejte v počítači dostupné aktualizace a nainstalujte všechny aktualizace s vysokou prioritou, které jsou vám nabízeny. Pokud máte povolenou a nakonfigurovanou automatickou aktualizaci pro produkty Microsoftu, budou vám aktualizace doručeny při jejich vydání, ale měli byste ověřit, že jsou nainstalované.

Další informace

Program Microsoft Active Protections (MAPP)

Microsoft poskytuje informace o ohrožení zabezpečení pro zákazníky, aby před každým měsíčním vydáním aktualizace zabezpečení poskytovala informace o ohrožení zabezpečení významným poskytovatelům softwaru zabezpečení. Poskytovatelé softwaru zabezpečení pak můžou tyto informace o ohrožení zabezpečení použít k poskytování aktualizovaných ochrany zákazníkům prostřednictvím bezpečnostního softwaru nebo zařízení, jako jsou antivirová ochrana, systémy detekce neoprávněných vniknutí na základě sítě nebo systémy ochrany před neoprávněným vniknutím na základě hostitele. Pokud chcete zjistit, jestli jsou aktivní ochrany dostupné od poskytovatelů softwaru zabezpečení, navštivte weby aktivní ochrany poskytované partnery programu, které jsou uvedeny v programu Microsoft Active Protections Program (MAPP) Partnerů.

Váš názor

• Zpětnou vazbu můžete poskytnout vyplněním formuláře nápovědy a podpory Microsoftu, kontaktujte nás oddělení služeb zákazníkům.

Technická podpora

• Zákazníci v USA a Kanadě můžou získat technickou podporu od podpory zabezpečení. Další informace o dostupných možnostech podpory najdete v nápovědě a podpoře společnosti Microsoft.
• Mezinárodní zákazníci můžou získat podporu od místních poboček Microsoftu. Další informace o tom, jak kontaktovat Microsoft o problémech s mezinárodní podporou, najdete v tématu Mezinárodní podpora.
• Microsoft TechNet Security poskytuje další informace o zabezpečení v produktech Microsoftu.

Právní doložka

Informace uvedené v tomto poradenství jsou poskytovány "tak, jak jsou" bez záruky jakéhokoli druhu. Společnost Microsoft odmítá všechny záruky, ať už výslovné nebo předpokládané, včetně záruk prodejnosti a vhodnosti pro určitý účel. V žádném případě společnost Microsoft Corporation nebo její dodavatelé nenese odpovědnost za jakékoli škody, včetně přímých, nepřímých, náhodných, následných, ztrát obchodních zisků nebo zvláštních škod, a to i v případě, že společnost Microsoft Corporation nebo její dodavatelé byli upozorněni na možnost těchto škod. Některé státy neumožňují vyloučení nebo omezení odpovědnosti za následné nebo náhodné škody, takže výše uvedené omezení nemusí platit.

Revize

• V1.0 (23. března 2011): Poradce publikováno.
• V2.0 (19. dubna 2011): Přidání zařízení s Windows Mobile 6.x, Windows Telefon 7, Microsoft Kin a Zune pro ovlivněný software a zařízení.
• Verze 3.0 (3. května 2011): Oznámila vydání aktualizace pro zařízení s Windows Telefon 7. Aktualizace není dostupná pro všechny zákazníky v době vydání; další informace najdete v nejčastějších dotazech.
• Verze 4.0 (10. května 2011): Oznámila vydání aktualizace pro zařízení s Windows Mobile 6.x.
• Verze 5.0 (6. července 2011): Oznámila vydání aktualizace pro zařízení Zune HD a přesunula zařízení Zune do tabulky Zařízení, která nejsou ovlivněna.

Postaveno v 2014-04-18T13:49:36Z-07:00