Poradce pro zabezpečení

Poradce microsoftu pro zabezpečení 2607712

Podvodné digitální certifikáty by mohly umožnit falšování identity

Publikováno: 29. srpna 2011 | Aktualizováno: 19. září 2011

Verze: 5.0

Obecné informace

Shrnutí

Společnost Microsoft o aktivních útocích využívá alespoň jeden podvodný digitální certifikát vydaný společností DigiNotar, certifikační autoritu, která se nachází v úložišti důvěryhodných kořenových certifikačních autorit. Podvodný certifikát lze použít k falšování obsahu, provádění útoků phishing nebo k útokům man-in-the-middle proti všem uživatelům webového prohlížeče, včetně uživatelů aplikace Internet Explorer. I když se nejedná o ohrožení zabezpečení v produktu Společnosti Microsoft, tento problém se týká všech podporovaných verzí systému Microsoft Windows.

Microsoft tento problém dál prošetřuje. Na základě předběžného šetření společnost Microsoft poskytuje novou aktualizaci (KB2616676) 13. září 2011 pro všechny podporované verze systému Microsoft Windows, které odvolají důvěryhodnost následujících kořenových certifikátů DigiNotar jejich umístěním do úložiště nedůvěryhodných certifikátů společnosti Microsoft:

• DigiNotar Root CA
• DigiNotar Root CA G2
• DigiNotar PKIoverheid CA Overheid
• DigiNotar PKIoverheid CA Organisatie - G2
• DigiNotar PKIoverheid CA Overheid en Bedrijven
• DigiNotar Root CA vystavená pověřením (2 certifikáty)
• DigiNotar Services 1024 CA Vystaveno pověřením
• DigiNotar Cyber CA vystavená GTE CyberTrust (3 certifikáty)

Doporučení. Společnost Microsoft doporučuje, aby zákazníci tuto aktualizaci okamžitě použili pomocí softwaru pro správu aktualizací nebo kontrolou aktualizací pomocí služby Microsoft Update . Další informace najdete v části Navrhované akce v tomto poradci.

Známé problémy.Článek znalostní báze Microsoft Knowledge Base 2616676 dokumentuje aktuálně známé problémy, se kterými se zákazníci mohou setkat při instalaci této aktualizace. Článek také dokumentuje doporučená řešení těchto problémů.

Podrobnosti o poradci

Odkazy na problém

Další informace o tomto problému najdete v následujících odkazech:

Ovlivněný software a zařízení

Tento poradce popisuje následující software a zařízení.

*Ovlivněna instalace jádra serveru. Toto doporučení se týká podporovaných edicí systému Windows Server 2008 nebo Windows Server 2008 R2, jak je uvedeno, bez ohledu na to, jestli je nainstalovaná pomocí možnosti instalace jádra serveru. Další informace o této možnosti instalace najdete v článcích TechNet, Správa instalace jádra serveru a údržba instalace jádra serveru. Všimněte si, že možnost instalace jádra serveru se nevztahuje na některé edice systému Windows Server 2008 a Windows Server 2008 R2; Viz Porovnání možností instalace jádra serveru.

Nejčastější dotazy

Proč byl tento poradce revidovaný 19. září 2011?
Společnost Microsoft tento poradce revidovala, aby oznámila opětovné vydání aktualizace KB2616676. Opětovné obnovení je nyní kumulativní a řeší známý problém popsaný v článku znalostní báze Microsoft Knowledge Base 2616676 , kde původní aktualizace KB2616676 pouze v podporovaných edicích systému Windows XP a Windows Server 2003 neobsahovala digitální certifikáty zahrnuté v KB2607712 a KB2524375 aktualizacích.

Zákazníci podporovaných edicí systému Windows XP a Windows Server 2003 by měli použít znovu uvedenou verzi aktualizace KB2616676, která bude chráněna před použitím podvodných certifikátů, jak je uvedeno v tomto poradci. Zákazníci podporovaných edicí systému Windows Vista, Windows 7, Windows Server 2008 a Windows Server 2008 R2 nejsou tímto opakováním ovlivněni.

Poznámka: Aktualizace nebude nabízena zákazníkům podporovaných edicí systému Windows XP a Windows Server 2003 v případě, že původní KB2616676, KB2607712 a KB2524375 aktualizace byly použity dříve, protože balíček pro opětovné obnovení je kumulativní a obsahuje všechny změny z těchto tří aktualizačních balíčků.

Většina zákazníků má povolenou automatickou aktualizaci a nebude muset provést žádnou akci, protože se automaticky stáhne a nainstaluje znovu KB2616676 aktualizace.

Týká se tento problém verze Windows Developer Preview?
Ano. Aktualizace KB2616676 je k dispozici pro verzi Windows Developer Preview. Zákazníkům windows Developer Preview se doporučuje, aby aktualizaci použili na své systémy. Aktualizace je dostupná pouze v služba Windows Update.

Proč byl tento poradce revidovaný 13. září 2011?
Společnost Microsoft tento poradce revidovala, aby oznámila vydání aktualizace KB2616676, která tento problém řeší. Tato aktualizace přidá šest dalších kořenových certifikátů DigiNotar, které jsou křížem podepsány službou Entrust nebo GTE do úložiště nedůvěryhodných certifikátů Společnosti Microsoft. Aktualizace KB2616676 nahrazuje aktualizaci KB2607712 a obsahuje také předchozích pět kořenových certifikátů DigiNotar přidaných do úložiště nedůvěryhodných certifikátů společnosti Microsoft aktualizací KB2607712.

I když KB2616676 aktualizace nahrazuje KB2607712 aktualizaci, aktualizace KB2607712 není předpokladem aktualizace KB2616676. Bez ohledu na to, jestli byla KB2607712 aktualizace použita, by zákazníci měli použít aktualizaci KB2616676, aby vyřešili problém popsaný v tomto poradci. Zákazníci, kteří používají aktualizaci KB2616676, nemusí aktualizaci KB2607712 použít.

Proč byl tento poradce revidovaný 6. září 2011?
Společnost Microsoft tento poradce revidovala, aby oznámila vydání aktualizace, která tento problém řeší. Aktualizace přidá pět kořenových certifikátů DigiNotar do úložiště nedůvěryhodných certifikátů Společnosti Microsoft. Zákazníci obvykle k instalaci této aktualizace nevyžadují žádnou akci, protože většina zákazníků má povolenou automatickou aktualizaci a tato aktualizace se stáhne a nainstaluje automaticky. Informace o tom, jak aktualizaci ručně použít, najdete v 2607712 článku znalostní báze Microsoft Knowledge Base pro zákazníky, kteří nemají povolenou automatickou aktualizaci.

29. srpna 2011 společnost Microsoft odebrala důvěryhodnost z jednoho kořenového certifikátu DigiNotar aktualizací hodnoty CTL společnosti Microsoft. Proč Společnost Microsoft vydává aktualizaci?
Windows Vista, Windows 7, Windows Server 2008 a Windows Server 2008 R2 používají seznam důvěryhodnosti certifikátů společnosti Microsoft k ověření důvěryhodnosti certifikační autority. Systém Windows XP a Windows Server 2003 nepoužívají seznam důvěryhodnosti certifikátů společnosti Microsoft k ověření důvěryhodnosti certifikační autority. V důsledku toho je potřeba aktualizace pro všechny edice systému Windows XP a Windows Server 2003 k ochraně zákazníků.

Po aktualizaci CTL 29. srpna 2011, Windows Vista, Windows 7, Windows Server 2008 a Windows Server 2008 R2 uživatelům, kteří přistupovali k webu podepsanému nedůvěryhodným kořenovým certifikátem DigiNotar, by se zobrazila zpráva s upozorněním, že důvěryhodnost certifikátu se nepodařilo ověřit. Uživatelům bylo povoleno prokliknout se přes tuto zprávu upozornění pro přístup k webu.

Aby bylo možné chránit zákazníky komplexněji před možnými útoky man-in-the-middle, Společnost Microsoft vydává aktualizaci, která přijímá další opatření k ochraně zákazníků tím, že zcela brání uživatelům Internet Exploreru v přístupu k prostředkům webů, které obsahovaly certifikáty podepsané nedůvěryhodnými kořenovými certifikáty DigiNotar. Uživatelům aplikace Internet Explorer, kteří tuto aktualizaci používají, se při pokusu o přístup k webu podepsanému některým z výše uvedených kořenových certifikátů DigiNotar zobrazí chybová zpráva. Tito uživatelé nebudou mít nadále přístup k webu.

Co dělá aktualizace KB2616676?
Ve všech podporovaných verzích systému Microsoft Windows přidává aktualizace KB2616676 jedenáct kořenových certifikátů DigiNotar do úložiště nedůvěryhodných certifikátů společnosti Microsoft. Kromě toho aktualizace KB2616676 obsahuje také certifikáty v aktualizaci KB2524375 vydané 6. července 2011.

Jak tato aktualizace změní uživatelské prostředí při pokusu o přístup k webu šifrovaného pomocí protokolu TLS a podepsaného nedůvěryhodným kořenovým certifikátem DigiNotar?
Uživatelům Internet Exploreru, kteří se pokusí získat přístup k webu podepsanému nedůvěryhodným kořenovým certifikátem DigiNotar, se zobrazí chybová zpráva. Vzhledem k tomu, že tento certifikát je umístěn v úložišti nedůvěryhodných certifikátů společnosti Microsoft, aplikace Internet Explorer neumožňuje uživatelům pokračovat na web. Web zůstane nedostupný, dokud se certifikát webu nenahradí novým certifikátem podepsaným důvěryhodným kořenovým certifikátem.

Jak můžu po instalaci aktualizace ověřit certifikáty v úložišti nedůvěryhodných certifikátů společnosti Microsoft?
Informace o tom, jak zobrazit certifikáty, naleznete v článku MSDN, Postupy: Zobrazení certifikátů pomocí modulu snap-in MMC.

V modulu snap-in Certifikáty konzoly MMC ověřte, že byly do složky Nedůvěryhodné certifikáty přidány následující certifikáty:

*Certifikát přidaný do složky Nedůvěryhodné certifikáty těmito aktualizacemi.

Aktualizace KB2616676 také obsahuje certifikáty v aktualizaci KB2524375 přidané do složky Nedůvěryhodné certifikáty.

Jaký je rozsah poradenství?
Účelem tohoto poradenství je upozornit zákazníky, že Společnost Microsoft potvrdila, že nejméně jeden podvodný certifikát vydal DigiNotar a používá se v aktivních útocích. Společnost Microsoft vydala aktualizaci pro všechny podporované verze systému Microsoft Windows, které tento problém řeší.

Co je kryptografie?
Kryptografie je věda o zabezpečení informací převodem mezi normálním, čitelným stavem (označovaným jako prostý text) a informací, ve kterých jsou data zakrytá (označuje se jako šiferný text).

Ve všech formách kryptografie se hodnota známá jako klíč používá ve spojení s procedurou označovanou jako kryptografický algoritmus k transformaci dat prostého textu na šifrový text. V nejznámějším typu kryptografie, kryptografie s tajným klíčem, se šiferový text transformuje zpět do prostého textu pomocí stejného klíče. V druhém typu kryptografie, kryptografie s veřejným klíčem se však k transformaci šifrového textu zpět na prostý text používá jiný klíč.

Co je digitální certifikát?
V kryptografii veřejného klíče musí být jeden z klíčů, označovaný jako privátní klíč, tajný klíč. Druhý klíč, označovaný jako veřejný klíč, má být sdílen se světem. Musí však existovat způsob, jak vlastník klíče říct světu, komu klíč patří. Digitální certifikáty poskytují způsob, jak to udělat. Digitální certifikát je manipulace s daty, která zabalí veřejný klíč spolu s informacemi o něm – kdo ho vlastní, k čemu může být použit, kdy vyprší platnost atd.

K čemu se používají certifikáty?
Certifikáty se používají především k ověření identity osoby nebo zařízení, ověření služby nebo šifrování souborů. Za normálních okolností si nebudete muset myslet na certifikáty vůbec. Může se ale zobrazit zpráva s oznámením, že platnost certifikátu vypršela nebo je neplatná. V takových případech byste měli postupovat podle pokynů ve zprávě.

Co je certifikační autorita (CA)?
Certifikační autority jsou organizace, které vydávají certifikáty. Zřídí a ověří pravost veřejných klíčů, které patří lidem nebo jiným certifikačním autoritám, a ověří identitu osoby nebo organizace, která žádá o certifikát.

Co je seznam důvěryhodnosti certifikátů (CTL)?
Vztah důvěryhodnosti musí existovat mezi příjemcem podepsané zprávy a podepisovačem zprávy. Jednou z metod vytvoření této důvěryhodnosti je certifikát, elektronický dokument, který ověřuje, že entity nebo osoby jsou tím, za koho se tvrdí. Certifikát je vydán entitě třetí stranou, která je důvěryhodná oběma stranami. Každý příjemce podepsané zprávy se tedy rozhodne, jestli je vystavitel certifikátu podepisující osoby důvěryhodný. CryptoAPI implementovala metodologii, která vývojářům aplikací umožňuje vytvářet aplikace, které automaticky ověřují certifikáty s předdefinovaným seznamem důvěryhodných certifikátů nebo kořenových certifikátů. Tento seznamdůvěryhodných Další informace najdete v článku MSDN o ověření důvěryhodnosti certifikátu.

Co způsobilo problém?
Společnost Microsoft o aktivních útocích využívá alespoň jeden podvodný digitální certifikát vydaný společností DigiNotar, certifikační autoritu, která se nachází v úložišti důvěryhodných kořenových certifikačních autorit. Podvodný certifikát lze použít k falšování obsahu, provádění útoků phishing nebo k útokům man-in-the-middle proti všem uživatelům webového prohlížeče, včetně uživatelů aplikace Internet Explorer. I když se nejedná o ohrožení zabezpečení v produktu Společnosti Microsoft, tento problém se týká všech podporovaných verzí systému Microsoft Windows.

Co může útočník použít k ohrožení zabezpečení?
Útočník může tyto certifikáty použít k falšování obsahu, k útokům phishing nebo k útokům typu man-in-the-middle na všechny uživatele webového prohlížeče, včetně uživatelů aplikace Internet Explorer.

Co je útok typu man-in-the-middle?
Útok typu man-in-the-middle nastane, když útočník přesměruje komunikaci mezi dvěma uživateli prostřednictvím počítače útočníka bez znalosti dvou komunikujících uživatelů. Každý uživatel v komunikaci neúmyslně odesílá provoz a přijímá provoz od útočníka, a to i když si myslí, že komunikuje jenom s zamýšleným uživatelem.

Jaký je postup odvolání certifikátu?
Existuje standardní postup, který by měl certifikační autoritě umožnit, aby certifikáty nebyly přijaty, pokud se používají. Každý vystavitel certifikátu pravidelně generuje seznam CRL, který uvádí všechny certifikáty, které by měly být považovány za neplatné. Každý certifikát by měl poskytnout část dat označovanou jako distribuční bod seznamu CRL (CDP), která označuje umístění, kde lze získat CRL.

Alternativní způsob, jak webové prohlížeče ověřit identitu digitálního certifikátu, je použití protokolu OCSP (Online Certificate Status Protocol). OCSP umožňuje interaktivní ověření certifikátu připojením k respondéru OCSP hostovaným certifikační autoritou, která digitální certifikát podepsala. Každý certifikát by měl poskytnout ukazatel na umístění respondéru OCSP prostřednictvím rozšíření AIA (Authority Information Access) v certifikátu. Kromě toho připojení OCSP umožňuje samotnému webovému serveru poskytnout klientovi odpověď na ověření OCSP.

Ověřování OCSP je ve výchozím nastavení povolené v aplikaci Internet Explorer 7 a novějších verzích aplikace Internet Explorer v podporovaných edicích systému Windows Vista, Windows Server 2008, Windows 7 a Windows Server 2008 R2. Pokud v těchto operačních systémech selže kontrola ověření OCSP, prohlížeč ověří certifikát kontaktováním umístění seznamu CRL.

Další informace o kontrole odvolání certifikátu najdete v článku TechNetu, odvolání certifikátu a kontrola stavu.

Co je seznam odvolaných certifikátů (CRL)?
Seznam CRL je digitálně podepsaný seznam vydaný certifikační autoritou, který obsahuje seznam certifikátů vydaných certifikační autoritou a následně odvolán certifikační autoritou. Pro každý jednotlivý odvolaný certifikát obsahuje výpis sériové číslo certifikátu, datum odvolání certifikátu a důvod odvolání. Aplikace můžou provést kontrolu seznamu odvolaných certifikátů a určit stav odvolání prezentovaného certifikátu.

Co je distribuční bod seznamu CRL (CDP)?
CDP je rozšíření certifikátu, které označuje, kde lze načíst seznam odvolaných certifikátů pro certifikační autoritu. Může obsahovat žádné adresy URL, jeden nebo mnoho souborů HTTP, souborů nebo LDAP.

Co je protokol OCSP (Online Certificate Status Protocol)?
OCSP je protokol, který umožňuje ověření stavu certifikátu v reálném čase. Respondér OCSP obvykle odpoví stavem odvolání na základě seznamu CRL načteného z certifikační autority.

Co Microsoft dělá, aby vám s řešením tohoto problému pomohl?
I když tento problém nezpůsobí problém v žádném produktu Microsoftu, aktualizovali jsme seznam důvěryhodnosti certifikátů tak, aby odebral vztah důvěryhodnosti v kořenovém certifikátu DigiNotar. Microsoft bude tento problém dál prošetřovat a může vydat budoucí aktualizaci, která bude chránit zákazníky.

Návody vědět, jestli došlo k chybě neplatného certifikátu?
Když Internet Explorer narazí na neplatný certifikát, zobrazí se uživatelům webová stránka s textem "Došlo k problému s certifikátem zabezpečení tohoto webu". Uživatelům se doporučuje zavřít webovou stránku a přejít mimo web, když se zobrazí tato zpráva s upozorněním.

Uživatelům se tato zpráva zobrazí pouze v případě, že je certifikát neplatný, například pokud má uživatel povolený seznam odvolaných certifikátů (CRL) nebo ověřování OCSP (Online Certificate Status Protocol). Ověřování OCSP je ve výchozím nastavení povolené v aplikaci Internet Explorer 7 a novějších verzích aplikace Internet Explorer v podporovaných edicích systému Windows Vista, Windows Server 2008, Windows 7 a Windows Server 2008 R2.

Navrhované akce

Podporované verze Systému Microsoft Windows

Většina zákazníků má povolenou automatickou aktualizaci a nebude muset provést žádnou akci, protože aktualizace KB2616676 se stáhne a nainstaluje automaticky. Zákazníci, kteří nepovolili automatickou aktualizaci, potřebují vyhledat aktualizace a nainstalovat tuto aktualizaci ručně. Informace o konkrétních možnostech konfigurace při automatické aktualizaci naleznete v článku znalostní báze Microsoft Knowledge Base 294871.

U správců a podnikových instalací nebo koncových uživatelů, kteří chtějí aktualizaci KB2616676 nainstalovat ručně, společnost Microsoft doporučuje, aby tuto aktualizaci okamžitě použili pomocí softwaru pro správu aktualizací nebo aby hledali aktualizace pomocí služby Microsoft Update . Další informace o ruční instalaci aktualizace naleznete v článku znalostní báze Microsoft Knowledge Base 2616676.

I když KB2616676 aktualizace nahrazuje KB2607712 aktualizaci, aktualizace KB2607712 není předpokladem aktualizace KB2616676. Bez ohledu na to, jestli byla KB2607712 aktualizace použita, by zákazníci měli použít aktualizaci KB2616676, aby vyřešili problém popsaný v tomto poradci. Zákazníci, kteří používají aktualizaci KB2616676, nemusí aktualizaci KB2607712 použít.

Další navrhované akce

• Ochrana počítače

  Nadále doporučujeme zákazníkům postupovat podle našich pokynů k ochraně počítače při povolování brány firewall, získávání aktualizací softwaru a instalaci antivirového softwaru. Další informace o těchto krocích můžou zákazníci získat v části Ochrana počítače.

  Další informace o tom, jak zůstat v bezpečí na internetu, naleznete na webu Microsoft Security Central.

• Udržovat software společnosti Microsoft aktualizovaný

  Uživatelé, kteří používají software společnosti Microsoft, by měli použít nejnovější aktualizace zabezpečení společnosti Microsoft, aby zajistili, že jsou jejich počítače co nejvíce chráněné. Pokud si nejste jistí, jestli je váš software aktuální, navštivte web Microsoft Update, vyhledejte v počítači dostupné aktualizace a nainstalujte všechny aktualizace s vysokou prioritou, které jsou vám nabízeny. Pokud máte povolenou a nakonfigurovanou automatickou aktualizaci pro produkty Microsoftu, budou vám aktualizace doručeny při jejich vydání, ale měli byste ověřit, že jsou nainstalované.

Další informace

Program Microsoft Active Protections (MAPP)

Microsoft poskytuje informace o ohrožení zabezpečení pro zákazníky, aby před každým měsíčním vydáním aktualizace zabezpečení poskytovala informace o ohrožení zabezpečení významným poskytovatelům softwaru zabezpečení. Poskytovatelé softwaru zabezpečení pak můžou tyto informace o ohrožení zabezpečení použít k poskytování aktualizovaných ochrany zákazníkům prostřednictvím bezpečnostního softwaru nebo zařízení, jako jsou antivirová ochrana, systémy detekce neoprávněných vniknutí na základě sítě nebo systémy ochrany před neoprávněným vniknutím na základě hostitele. Pokud chcete zjistit, jestli jsou aktivní ochrany dostupné od poskytovatelů softwaru zabezpečení, navštivte weby aktivní ochrany poskytované partnery programu, které jsou uvedeny v programu Microsoft Active Protections Program (MAPP) Partnerů.

Váš názor

• Zpětnou vazbu můžete poskytnout vyplněním formuláře nápovědy a podpory Microsoftu, kontaktujte nás oddělení služeb zákazníkům.

Technická podpora

• Zákazníci v USA a Kanadě můžou získat technickou podporu od podpory zabezpečení. Další informace o dostupných možnostech podpory najdete v nápovědě a podpoře společnosti Microsoft.
• Mezinárodní zákazníci můžou získat podporu od místních poboček Microsoftu. Další informace o tom, jak kontaktovat Microsoft o problémech s mezinárodní podporou, najdete v tématu Mezinárodní podpora.
• Microsoft TechNet Security poskytuje další informace o zabezpečení v produktech Microsoftu.

Právní doložka

Informace uvedené v tomto poradenství jsou poskytovány "tak, jak jsou" bez záruky jakéhokoli druhu. Společnost Microsoft odmítá všechny záruky, ať už výslovné nebo předpokládané, včetně záruk prodejnosti a vhodnosti pro určitý účel. V žádném případě společnost Microsoft Corporation nebo její dodavatelé nenese odpovědnost za jakékoli škody, včetně přímých, nepřímých, náhodných, následných, ztrát obchodních zisků nebo zvláštních škod, a to i v případě, že společnost Microsoft Corporation nebo její dodavatelé byli upozorněni na možnost těchto škod. Některé státy neumožňují vyloučení nebo omezení odpovědnosti za následné nebo náhodné škody, takže výše uvedené omezení nemusí platit.

Revize

• V1.0 (29. srpna 2011): Poradce publikováno.
• V2.0 (29. srpna 2011): Upraveno tak, aby opravovala chybné číslo poradenství.
• V3.0 (6. září 2011): Revidované a oznamuje vydání aktualizace, která tento problém řeší.
• V4.0 (13. září 2011): Revidované, aby oznámilo vydání aktualizace KB2616676, která řeší problém popsaný v tomto poradci.
• V4.1 (13. září 2011): Revidované a oznamuje dostupnost aktualizace KB2616676 pro verzi Windows Developer Preview. Další informace najdete v nejčastějších dotazech k aktualizaci v tomto poradci.
• V5.0 (19. září 2011): Revidované, aby oznámilo opětovné vydání aktualizace KB2616676. Další informace najdete v nejčastějších dotazech k aktualizaci v tomto poradci.

Postaveno v 2014-04-18T13:49:36Z-07:00