Avis de sécurité

Conseils de sécurité Microsoft 2524375

Des certificats numériques frauduleux pourraient autoriser l’usurpation d’identité

Publication : 23 mars 2011 | Mise à jour : 06 juillet 2011

Version : 5.0

Informations générales

Résumé

Microsoft connaît neuf certificats numériques frauduleux émis par Comodo, une autorité de certification présente dans le Magasin des autorités de certification racines approuvées, sur toutes les versions prises en charge de Microsoft Windows, Windows Mobile 6.x, Windows Téléphone 7, Microsoft Kin et zune HD. Comodo a informé Microsoft le 16 mars 2011 que neuf certificats avaient été signés au nom d’un tiers sans valider suffisamment son identité. Ces certificats peuvent être utilisés pour usurper du contenu, effectuer des attaques par hameçonnage ou effectuer des attaques de type man-in-the-middle contre tous les utilisateurs du navigateur Web, y compris les utilisateurs d’Internet Explorer.

Ces certificats affectent les propriétés web suivantes :

• login.live.com
• mail.google.com
• www.google.com
• login.yahoo.com (3 certificats)
• login.skype.com
• addons.mozilla.org
• « Global Trustee »

Comodo a révoqué ces certificats et sont répertoriés dans la liste de révocation de certificats actuelle de Comodo. De plus, les navigateurs qui ont activé le protocole OCSP (Online Certificate Status Protocol) valident de manière interactive ces certificats et les empêchent d’être utilisés.

Une mise à jour pour résoudre ce problème est disponible pour toutes les versions prises en charge des appareils Windows, Windows Mobile 6.x et Zune HD. Depuis le 3 mai 2011, la mise à jour commence également à être remise aux clients windows Téléphone 7. Pour plus d’informations sur cette mise à jour, consultez l’article de la Base de connaissances Microsoft 2524375.

Pour les versions prises en charge de Microsoft Windows, il n’est généralement pas nécessaire aux clients d’installer cette mise à jour, car la majorité des clients ont la mise à jour automatique activée et cette mise à jour sera téléchargée et installée automatiquement. Pour plus d’informations, notamment sur l’installation manuelle de cette mise à jour et sur l’installation de la mise à jour sur Windows Mobile 6.x, Windows Téléphone 7 et les appareils Zune HD, consultez la section Actions suggérées de cet avis.

Détails de l’avis

Références de problème

Pour plus d’informations sur ce problème, consultez les références suivantes :

Logiciels et appareils affectés

Cet avis traite des logiciels et des appareils suivants.

*Installation server Core affectée. Cette mise à jour s’applique, avec la même évaluation de gravité, aux éditions prises en charge de Windows Server 2008 ou Windows Server 2008 R2, comme indiqué, si l’option d’installation server Core est installée ou non. Pour plus d’informations sur cette option d’installation, consultez les articles TechNet, Gestion de l’installation et de la maintenance d’une installation Server Core. Notez que l’option d’installation server Core ne s’applique pas à certaines éditions de Windows Server 2008 et Windows Server 2008 R2 ; consultez Comparer les options d’installation minimales.

Forums Aux Questions (FAQ)

Pourquoi cet avis a-t-il été révisé le 6 juillet 2011 ?
Microsoft a révisé cet avis pour annoncer la publication de la mise à jour afin de résoudre le problème de sécurité SSL pour les appareils Zune HD. Pour installer la mise à jour, les clients Zune HD doivent connecter leur appareil à un ordinateur et utiliser le client Zune PC pour terminer le processus de mise à jour. Pour plus d’informations et d’instructions, consultez l’article 2524375 de la Base de connaissances Microsoft.

La mise à jour de Microsoft Kin n’est pas disponible pour l’instant. Microsoft émet une mise à jour pour cet appareil une fois le test terminé, afin de garantir un degré élevé de qualité pour sa version.

Pourquoi zune 4 Go, Zune 8 Go, Zune 16 Go, Zune 30 Go, Zune 80 Go et Zune 120 Go ont-ils été supprimés de la table Logiciels et appareils affectés ?
Après avoir examiné attentivement le vecteur d’attaque, Microsoft a déterminé que la chance d’exploiter ce problème sur ces appareils Zune est extrêmement faible en raison du fait que ces appareils n’ont pas de navigateur web. Par conséquent, Zune 4 Go, Zune 8 Go, Zune 16 Go, Zune 30 Go, Zune 80 Go et Zune 120 Go ne recevront pas de mise à jour et ont été déplacés vers la table Appareils non affectés.

Pourquoi cet avis a-t-il été révisé le 10 mai 2011 ?
Microsoft a révisé cet avis pour annoncer la publication d’une mise à jour pour les appareils Windows Mobile 6.x. La mise à jour est disponible en téléchargement sur le Centre de téléchargement Microsoft. Pour plus d’informations, consultez l’article de la Base de connaissances Microsoft 2524375.

Les mises à jour des appareils Microsoft Kin et Zune ne sont pas disponibles pour l’instant. Microsoft émet des mises à jour pour ces appareils une fois le test terminé, afin de garantir un degré élevé de qualité pour leur mise en production.

Pourquoi cet avis a-t-il été révisé le 3 mai 2011 ?
Microsoft a révisé cet avis pour annoncer la publication d’une mise à jour pour les appareils Windows Téléphone 7. Au moment de la publication, la mise à jour n’est pas disponible pour tous les clients Windows Téléphone 7 ; à la place, les clients recevront une notification sur l’appareil une fois la mise à jour disponible pour leur téléphone. Pour en savoir plus ou pour installer la mise à jour, les clients windows Téléphone 7 devront connecter leur téléphone à un ordinateur et utiliser le client Zune PC ou Windows Téléphone 7 Connecter or (pour Mac) pour terminer le processus de mise à jour. Pour plus d’informations, consultez l’article de la Base de connaissances Microsoft 2524375.

Les mises à jour pour les appareils Windows Mobile 6.x, Microsoft Kin et Zune ne sont pas disponibles pour l’instant. Microsoft émet des mises à jour pour ces appareils une fois le test terminé, afin de garantir un degré élevé de qualité pour leur mise en production.

Pourquoi cet avis a-t-il été révisé le 19 avril 2011 ?
Microsoft a révisé cet avis pour ajouter des appareils Windows Mobile 6.x, Windows Téléphone 7, Microsoft Kin et Zune aux logiciels et appareils affectés. Microsoft est conscient que le magasin de certificats non approuvé local sur ces appareils doit être mis à jour pour inclure les neuf certificats numériques frauduleux.

Les mises à jour pour les appareils Windows Mobile 6.x, Windows Téléphone 7, Microsoft Kin et Zune ne sont pas disponibles pour l’instant. Microsoft émet des mises à jour pour ces appareils une fois le test terminé, afin de garantir un degré élevé de qualité pour leur mise en production.

Qu’est-ce que le chiffrement ?
Le chiffrement est la science de la sécurisation des informations en les convertissant entre son état normal et lisible (appelé texte en clair) et l’autre dans lequel les données sont masquées (appelées texte chiffré).

Dans toutes les formes de chiffrement, une valeur appelée clé est utilisée conjointement avec une procédure appelée algorithme de chiffrement pour transformer des données en texte brut en texte chiffré. Dans le type de chiffrement le plus familier, le chiffrement à clé secrète est transformé en texte brut à l’aide de la même clé. Toutefois, dans un deuxième type de chiffrement, chiffrement à clé publique, une autre clé est utilisée pour transformer le texte chiffré en texte clair.

Qu’est-ce qu’un certificat numérique ?
Dans le chiffrement à clé publique, l’une des clés, appelée clé privée, doit être conservée secrète. L’autre clé, connue sous le nom de clé publique, est destinée à être partagée avec le monde. Toutefois, il doit y avoir un moyen pour le propriétaire de la clé de dire au monde à qui appartient la clé. Les certificats numériques fournissent un moyen de le faire. Un certificat numérique est un élément de données inviolable qui empaquette une clé publique avec des informations sur celui-ci , qui le possède, ce qu’il peut être utilisé, quand il expire, etc.

Quels sont les certificats utilisés pour ?
Les certificats sont utilisés principalement pour vérifier l’identité d’une personne ou d’un appareil, authentifier un service ou chiffrer des fichiers. Normalement, vous n’aurez pas à réfléchir aux certificats du tout. Toutefois, vous pouvez voir un message indiquant qu’un certificat a expiré ou n’est pas valide. Dans ces cas, vous devez suivre les instructions du message.

Qu’est-ce qu’une autorité de certification (CA) ?
Les autorités de certification sont les organisations qui émettent des certificats. Ils établissent et vérifient l’authenticité des clés publiques qui appartiennent à des personnes ou à d’autres autorités de certification, et vérifient l’identité d’une personne ou d’une organisation qui demande un certificat.

Qu’est-ce qui a provoqué le problème ?
Comodo, une autorité de certification majeure, a informé Microsoft que plusieurs certificats numériques ont été émis sans valider suffisamment leur identité. Ces certificats peuvent être utilisés pour usurper l’identité des services, ce qui permet aux utilisateurs de les approuver.

Notez que Comodo a révoqué ces certificats et qu’ils sont répertoriés dans la liste de révocation de certificats actuelle de Comodo.

Qu’est-ce qu’un attaquant peut utiliser la vulnérabilité pour faire ?
Un attaquant peut utiliser ces certificats pour usurper du contenu, effectuer des attaques par hameçonnage ou effectuer des attaques de type man-in-the-middle contre tous les utilisateurs du navigateur Web, y compris les utilisateurs d’Internet Explorer.

Qu’est-ce qu’une attaque man-in-the-middle ?
Une attaque man-in-the-middle se produit lorsqu’un attaquant redirige la communication entre deux utilisateurs via l’ordinateur de l’attaquant sans connaître les deux utilisateurs communiquants. Chaque utilisateur de la communication envoie du trafic vers et reçoit le trafic de l’attaquant, tout en pensant qu’il communique uniquement avec l’utilisateur prévu.

Quelle est la procédure de révocation d’un certificat ?
Il existe une procédure standard qui doit permettre à Comodo d’empêcher ces certificats d’être acceptés s’ils sont utilisés. Chaque émetteur de certificat génère régulièrement une liste de révocation de certificats, qui répertorie tous les certificats qui doivent être considérés comme non valides. Chaque certificat doit fournir un élément de données appelé CRL Distribution Point (CDP) qui indique l’emplacement où la liste de révocation de certificats peut être obtenue.

Une autre façon pour les navigateurs web de valider l’identité d’un certificat numérique consiste à utiliser le protocole OCSP (Online Certificate Status Protocol). OCSP permet la validation interactive d’un certificat en se connectant à un répondeur OCSP, hébergé par l’autorité de certification (CA) qui a signé le certificat numérique. Chaque certificat doit fournir un pointeur vers l’emplacement du répondeur OCSP via l’extension AIA (Authority Information Access) dans le certificat. En outre, l’enregistrement OCSP permet au serveur Web lui-même de fournir une réponse de validation OCSP au client.

La validation OCSP est activée par défaut sur Internet Explorer 7 et versions ultérieures d’Internet Explorer sur les éditions prises en charge de Windows Vista, Windows Server 2008, Windows 7 et Windows Server 2008 R2. Sur ces systèmes d’exploitation, si la validation OCSP case activée échoue, le navigateur valide le certificat en contactant l’emplacement de la liste de révocation de certificats.

Pour plus d’informations sur la révocation de certificats case activée ing, consultez l’article TechNet, la révocation de certificats et la vérification de l’état.

Qu’est-ce qu’une liste de révocation de certificats (CRL) ?
La liste de révocation de certificats est une liste signée numériquement, émise par une autorité de certification, qui contient une liste de certificats émis par l’autorité de certification, puis révoquée par l’autorité de certification. Pour chaque certificat révoqué individuel, la liste inclut le numéro de série du certificat, la date à laquelle le certificat a été révoqué et la raison de révocation. Les applications peuvent effectuer des case activée de liste de révocation de certificats pour déterminer l’état de révocation d’un certificat présenté.

Qu’est-ce que le point de distribution de liste de révocation de certificats (CDP) ?
CDP est une extension de certificat qui indique où la liste de révocation de certificats pour une autorité de certification peut être récupérée. Il peut contenir aucun, un ou plusieurs URL HTTP, fichier ou LDAP.

Qu’est-ce que le protocole OCSP (Online Certificate Status Protocol) ?
OCSP est un protocole qui permet la validation en temps réel de l’état d’un certificat. En règle générale, un répondeur OCSP répond avec l’état de révocation en fonction de la liste de révocation récupérée à partir de l’autorité de certification.

Que fait Microsoft pour résoudre ce problème ?
Bien que ce problème ne résulte pas d’un problème dans un produit Microsoft, nous avons néanmoins développé une mise à jour qui aidera à protéger les clients en s’assurant que ces neuf certificats frauduleux sont toujours traités comme non approuvés.

S’il n’y a aucun problème dans le logiciel Microsoft, pourquoi Microsoft publie-t-il une mise à jour ?
Même lorsque la validation CRL et OCSP est activée, les techniques de validation ne sont pas suffisamment robustes pour garantir que les utilisateurs sont protégés contre l’utilisation malveillante de ces certificats. Lorsque l’emplacement de la liste de révocation de certificats et le répondeur OCSP peuvent être atteints, les case activée de validation sont hautement fiables et efficaces.

Toutefois, lorsque les case activée de révocation de certificats échouent en raison de problèmes de réseau et de connectivité, de navigateurs et d’autres applications clientes, y compris Internet Explorer, peuvent ignorer ces erreurs et considérer le certificat digne de confiance en raison de l’absence de preuve dans le cas contraire. Dans ces scénarios, les clients peuvent toujours être affectés.

**Que fait la mise à jour ? ** La mise à jour pour les versions prises en charge de Microsoft Windows résout le problème en plaçant les neuf certificats frauduleux dans le magasin de certificats non approuvé local de Microsoft Windows. Les mises à jour pour Les appareils Windows Mobile 6.x, Windows Téléphone 7 et Zune HD résolvent le problème en plaçant les neuf certificats frauduleux dans le magasin de certificats non approuvé local sur l’appareil. La mise à jour de Microsoft Kin n’est pas disponible pour l’instant.

Comment faire savoir si j’ai rencontré une erreur de certificat non valide ?
Lorsqu’Internet Explorer rencontre un certificat non valide, les utilisateurs sont présentés à une page Web indiquant : « Il existe un problème avec le certificat de sécurité de ce site web ». Les utilisateurs sont encouragés à fermer la page Web et à naviguer loin du site lorsque ce message d’avertissement s’affiche.

Les utilisateurs sont uniquement présentés ce message lorsque le certificat est déterminé comme non valide, par exemple lorsque l’utilisateur a la liste de révocation de certificats (CRL) ou la validation OCSP (Online Certificate Status Protocol) activée. La validation OCSP est activée par défaut sur Internet Explorer 7 et versions ultérieures d’Internet Explorer sur les éditions prises en charge de Windows Vista, Windows Server 2008, Windows 7 et Windows Server 2008 R2.

Après avoir appliqué la mise à jour, comment puis-je vérifier les certificats dans le dossier Certificats non approuvés ?
Pour plus d’informations sur l’affichage des certificats, consultez l’article MSDN How to : View Certificates with the MMC Snap-in.

Dans le composant logiciel enfichable Certificats MMC, vérifiez que les certificats suivants ont été ajoutés au dossier Certificats non approuvés :

Actions suggérées

Installer la mise à jour

Une mise à jour est disponible pour résoudre ce problème.

• Pour les versions prises en charge de Microsoft Windows

  La majorité des clients ont la mise à jour automatique activée et n’ont pas besoin d’effectuer d’action, car cette mise à jour sera téléchargée et installée automatiquement. Les clients qui n’ont pas activé la mise à jour automatique doivent case activée pour les mises à jour et installer cette mise à jour manuellement. Pour plus d’informations sur les options de configuration spécifiques dans la mise à jour automatique, consultez l’article de la Base de connaissances Microsoft 294871.

  Pour les administrateurs et les installations d’entreprise ou les utilisateurs finaux qui souhaitent installer cette mise à jour manuellement, Microsoft recommande aux clients d’appliquer la mise à jour immédiatement à l’aide du logiciel de gestion des mises à jour, ou en case activée pour les mises à jour à l’aide du service Microsoft Update.

  La mise à jour est également disponible à partir du Centre de téléchargement Microsoft ; Consultez l’article de la Base de connaissances Microsoft 2524375 pour obtenir des liens de téléchargement.

• Pour les appareils Windows Téléphone 7

  Au moment de la publication, la mise à jour n’est pas disponible pour tous les clients Windows Téléphone 7 ; à la place, les clients recevront une notification sur l’appareil une fois la mise à jour disponible pour leur téléphone. Pour en savoir plus ou pour installer la mise à jour, les clients windows Téléphone 7 devront connecter leur téléphone à un ordinateur et utiliser le client Zune PC ou Windows Téléphone 7 Connecter or (pour Mac) pour terminer le processus de mise à jour. Pour plus d’informations sur la mise à jour, consultez l’article 2524375 de la Base de connaissances Microsoft.

  Pour mettre à jour le client Zune PC, les clients peuvent configurer la mise à jour automatique vers case activée en ligne pour les mises à jour de Microsoft Update à l’aide du service Microsoft Update. Les clients qui ont activé et configuré la mise à jour automatique pour case activée en ligne pour les mises à jour à partir de Microsoft Update n’auront généralement pas besoin d’effectuer une action pour mettre à jour leur logiciel Zune, car cette mise à jour sera téléchargée et installée automatiquement.

• Pour les appareils Windows Mobile 6.x

  La mise à jour est disponible en téléchargement à partir du Centre de téléchargement Microsoft. Pour plus d’informations sur les liens de mise à jour et de téléchargement, consultez l’article 2524375 de la Base de connaissances Microsoft.

• Pour les appareils Zune HD

  La mise à jour est disponible via le client Zune PC. La mise à jour est appliquée lorsque l’appareil Zune HD est connecté au logiciel Zune mis à jour. Pour plus d’informations sur la mise à jour, consultez l’article 2524375 de la Base de connaissances Microsoft.

  Pour mettre à jour le client Zune PC, les clients peuvent configurer la mise à jour automatique vers case activée en ligne pour les mises à jour de Microsoft Update à l’aide du service Microsoft Update. Les clients qui ont activé et configuré la mise à jour automatique pour case activée en ligne pour les mises à jour à partir de Microsoft Update n’auront généralement pas besoin d’effectuer une action pour mettre à jour leur logiciel Zune, car cette mise à jour sera téléchargée et installée automatiquement.

Actions suggérées supplémentaires

• Consultez l’article de la Base de connaissances Microsoft associé à cet avis

  Pour plus d’informations sur ce problème, consultez l’article de la Base de connaissances Microsoft 2524375.

• Protéger votre PC

  Nous continuons à encourager les clients à suivre nos conseils de protection de votre ordinateur pour activer un pare-feu, obtenir des mises à jour logicielles et installer des logiciels antivirus. Les clients peuvent en savoir plus sur ces étapes en visitant Protéger votre ordinateur.

  Pour plus d’informations sur la sécurité sur Internet, visitez Microsoft Security Central.

• Conserver les logiciels Microsoft mis à jour

  Les utilisateurs exécutant le logiciel Microsoft doivent appliquer les dernières mises à jour de sécurité Microsoft pour vous assurer que leurs ordinateurs sont aussi protégés que possible. Si vous ne savez pas si votre logiciel est à jour, visitez Microsoft Update, analysez votre ordinateur pour connaître les mises à jour disponibles et installez les mises à jour de haute priorité qui vous sont proposées. Si vous avez activé et configuré la mise à jour automatique pour fournir des mises à jour pour les produits Microsoft, les mises à jour sont remises à vous lors de leur publication, mais vous devez vérifier qu’elles sont installées.

Autres informations

Programme Microsoft Active Protections (MAPP)

Pour améliorer les protections de sécurité pour les clients, Microsoft fournit des informations sur les vulnérabilités aux principaux fournisseurs de logiciels de sécurité avant chaque version mensuelle de la mise à jour de sécurité. Les fournisseurs de logiciels de sécurité peuvent ensuite utiliser ces informations de vulnérabilité pour fournir des protections mises à jour aux clients via leurs logiciels ou appareils de sécurité, tels que les systèmes antivirus, les systèmes de détection d’intrusion basés sur le réseau ou les systèmes de prévention des intrusions basés sur l’hôte. Pour déterminer si les protections actives sont disponibles auprès des fournisseurs de logiciels de sécurité, visitez les sites Web de protection actifs fournis par les partenaires du programme, répertoriés dans les partenaires du Programme MAPP (Microsoft Active Protections Program).

Commentaires

• Vous pouvez fournir des commentaires en remplissant le formulaire Aide et support Microsoft, contactez-nous.

Support

• Les clients du États-Unis et du Canada peuvent recevoir un soutien technique du support technique. Pour plus d’informations sur les options de support disponibles, consultez Aide et support Microsoft.
• Les clients internationaux peuvent recevoir du support de leurs filiales Microsoft locales. Pour plus d’informations sur la façon de contacter Microsoft pour connaître les problèmes de support international, visitez le support international.
• Microsoft TechNet Security fournit des informations supplémentaires sur la sécurité dans les produits Microsoft.

Exclusion de responsabilité

Les informations fournies dans cet avis sont fournies « tel quel » sans garantie quelconque. Microsoft exclut toutes les garanties, expresses ou implicites, y compris les garanties de marchandabilité et d’adéquation à un usage particulier. En aucun cas, Microsoft Corporation ou ses fournisseurs ne sont responsables de dommages-intérêts, y compris les dommages directs, indirects, accessoires, accessoires, les pertes de bénéfices commerciaux ou les dommages spéciaux, même si Microsoft Corporation ou ses fournisseurs ont été informés de la possibilité de tels dommages- intérêts. Certains États n’autorisent pas l’exclusion ou la limitation de responsabilité pour des dommages indirects ou accessoires afin que la limitation ci-dessus ne s’applique pas.

Révisions

• V1.0 (23 mars 2011) : avis publié.
• V2.0 (19 avril 2011) : ajout de Windows Mobile 6.x, Windows Téléphone 7, Microsoft Kin et zune aux appareils et logiciels affectés.
• V3.0 (3 mai 2011) : annonce la publication d’une mise à jour pour les appareils Windows Téléphone 7. La mise à jour n’est pas disponible pour tous les clients au moment de la publication ; pour plus d’informations, consultez le FAQ sur les conseils.
• V4.0 (10 mai 2011) : annonce la publication d’une mise à jour pour les appareils Windows Mobile 6.x.
• V5.0 (6 juillet 2011) : annonce la publication d’une mise à jour pour les appareils Zune HD et déplace les appareils Zune vers la table Appareils non affectés.

Construit à 2014-04-18T13 :49 :36Z-07 :00