Avis de sécurité

Conseils de sécurité Microsoft 2607712

Des certificats numériques frauduleux pourraient autoriser l’usurpation d’identité

Publié : 29 août 2011 | Mise à jour : 19 septembre 2011

Version : 5.0

Informations générales

Résumé

Microsoft est conscient des attaques actives à l’aide d’au moins un certificat numérique frauduleux émis par DigiNotar, autorité de certification présente dans le magasin des autorités de certification racines approuvées. Un certificat frauduleux peut être utilisé pour usurper du contenu, effectuer des attaques par hameçonnage ou effectuer des attaques de type man-in-the-middle contre tous les utilisateurs du navigateur Web, y compris les utilisateurs d’Internet Explorer. Bien qu’il ne s’agisse pas d’une vulnérabilité dans un produit Microsoft, ce problème affecte toutes les versions prises en charge de Microsoft Windows.

Microsoft continue d’examiner ce problème. En fonction de l’enquête préliminaire, Microsoft fournit une nouvelle mise à jour (Ko 2616676) le 13 septembre 2011 pour toutes les versions prises en charge de Microsoft Windows qui révoquent l’approbation des certificats racines DigiNotar suivants en les plaçant dans le Magasin de certificats Non approuvé Microsoft :

• Autorité de certification racine DigiNotar
• Ca racine DigiNotar G2
• DigiNotar PKIoverheid CA Overheid
• DigiNotar PKIoverheid CA Organisatie - G2
• DigiNotar PKIoverheid CA Overheid en Bedrijven
• Autorité de certification racine DigiNotar émise par Entrust (2 certificats)
• DigiNotar Services 1024 CA émise par Entrust
• DigiNotar Cyber CA émise par GTE CyberTrust (3 certificats)

Recommandation. Microsoft recommande aux clients d’appliquer la mise à jour immédiatement à l’aide du logiciel de gestion des mises à jour, ou en case activée pour les mises à jour à l’aide du service Microsoft Update. Pour plus d’informations, consultez la section Actions suggérées de cet avis.

Problèmes connus.L’article de la Base de connaissances Microsoft 2616676 documente les problèmes actuellement connus rencontrés par les clients lors de l’installation de cette mise à jour. L’article documente également les solutions recommandées pour ces problèmes.

Détails de l’avis

Références de problème

Pour plus d’informations sur ce problème, consultez les références suivantes :

Logiciels et appareils affectés

Cet avis traite des logiciels et des appareils suivants.

*Installation server Core affectée. Cet avis s’applique aux éditions prises en charge de Windows Server 2008 ou Windows Server 2008 R2, comme indiqué, si l’option d’installation server Core est installée ou non. Pour plus d’informations sur cette option d’installation, consultez les articles TechNet, Gestion de l’installation et de la maintenance d’une installation Server Core. Notez que l’option d’installation server Core ne s’applique pas à certaines éditions de Windows Server 2008 et Windows Server 2008 R2 ; consultez Comparer les options d’installation minimales.

Forums Aux Questions (FAQ)

Pourquoi cet avis a-t-il été révisé le 19 septembre 2011 ?
Microsoft a révisé cet avis pour annoncer la réécriture de la mise à jour Ko 2616676. La réécriture est désormais cumulative et résout un problème connu décrit dans l’article de la Base de connaissances Microsoft 2616676 où la mise à jour Ko 2616676 d’origine, sur les éditions prises en charge de Windows XP et Windows Server 2003 uniquement, ne contenait pas les certificats numériques inclus dans les mises à jour Ko 2607712 et Ko 2524375.

Les clients des éditions prises en charge de Windows XP et Windows Server 2003 doivent appliquer la version rééditée de la mise à jour Ko 2616676 à protéger contre l’utilisation des certificats frauduleux, comme spécifié dans cet avis. Les clients des éditions prises en charge de Windows Vista, Windows 7, Windows Server 2008 et Windows Server 2008 R2 ne sont pas affectés par cette réécriture.

Notez que la mise à jour ne sera pas proposée aux clients des éditions prises en charge de Windows XP et Windows Server 2003 dans le cas où les Ko 2616676 d’origine, les Ko 2607712 et les mises à jour Ko 2524375 ont toutes été appliquées précédemment, car le package de réécriture est cumulatif et contient toutes les modifications de ces trois packages de mise à jour.

La majorité des clients ont activé la mise à jour automatique et n’auront pas besoin d’agir, car la mise à jour de Ko 2616676 réécritée sera téléchargée et installée automatiquement.

Windows Developer Preview est-il affecté par ce problème ?
Oui. La mise à jour Ko 2616676 est disponible pour la version préliminaire de Windows Developer Preview. Les clients de Windows Developer Preview sont encouragés à appliquer la mise à jour à leurs systèmes. La mise à jour est disponible uniquement sur Windows Update.

Pourquoi cet avis a-t-il été révisé le 13 septembre 2011 ?
Microsoft a révisé cet avis pour annoncer la publication de la mise à jour Ko 2616676 qui résout ce problème. La mise à jour ajoute six certificats racines DigiNotar supplémentaires qui sont signés parTrusted ou GTE au Microsoft Untrusted Certificate Store. La mise à jour Ko 2616676 remplace la mise à jour Ko 2607712 et contient également les cinq certificats racines DigiNotar précédents ajoutés au Magasin de certificats Non approuvé Microsoft par la mise à jour Ko 2607712.

Bien que la mise à jour Ko 2616676 remplace la mise à jour Ko 2607712, la mise à jour Ko 2607712 n’est pas requise pour la mise à jour Ko 2616676. Que la mise à jour Ko 2607712 ait été appliquée ou non, les clients doivent appliquer la mise à jour Ko 2616676 pour résoudre le problème décrit dans cet avis. Les clients qui appliquent la mise à jour Ko 2616676 n’ont pas besoin d’appliquer la mise à jour Ko 2607712.

Pourquoi cet avis a-t-il été révisé le 6 septembre 2011 ?
Microsoft a révisé cet avis pour annoncer la publication d’une mise à jour qui résout ce problème. La mise à jour ajoute cinq certificats racines DigiNotar au Microsoft Untrusted Certificate Store. En règle générale, aucune action n’est nécessaire aux clients pour installer cette mise à jour, car la majorité des clients ont activé la mise à jour automatique et cette mise à jour sera téléchargée et installée automatiquement. Pour les clients qui n’ont pas de mise à jour automatique activée, consultez l’article de la Base de connaissances Microsoft 2607712 pour plus d’informations sur l’application manuelle de la mise à jour.

Le 29 août 2011, Microsoft a supprimé l’approbation d’un certificat racine DigiNotar en mettant à jour la durée de vie Microsoft. Pourquoi Microsoft publie-t-il une mise à jour ?
Windows Vista, Windows 7, Windows Server 2008 et Windows Server 2008 R2 utilisent la liste d’approbation de certificats Microsoft pour valider l’approbation d’une autorité de certification. Windows XP et Windows Server 2003 n’utilisent pas la liste d’approbations de certificats Microsoft pour valider l’approbation d’une autorité de certification. Par conséquent, une mise à jour est nécessaire pour toutes les éditions de Windows XP et Windows Server 2003 pour protéger les clients.

Après la mise à jour de la durée de vie du 29 août 2011, Windows Vista, Windows 7, Windows Server 2008 et Windows Server 2008 R2 utilisateurs qui ont accédé à un site Web signé par un certificat racine DigiNotar non approuvé sont présentés avec un message d’avertissement indiquant que l’approbation du certificat n’a pas pu être vérifiée. Les utilisateurs ont été autorisés à cliquer sur ce message d’avertissement pour accéder au site.

Afin de protéger les clients de manière plus complète contre les attaques de l’homme dans le milieu, Microsoft publie une mise à jour qui prend des mesures supplémentaires pour protéger les clients en empêchant complètement les utilisateurs d’Internet Explorer d’accéder aux ressources des sites Web qui contenaient des certificats signés par les certificats racines DigiNotar non approuvés. Les utilisateurs d’Internet Explorer qui appliquent cette mise à jour sont présentés avec un message d’erreur lors de la tentative d’accès à un site Web signé par l’un des certificats racines DigiNotar ci-dessus. Ces utilisateurs ne pourront pas continuer à accéder au site Web.

Que fait la mise à jour Ko 2616676 ?
Sur toutes les versions prises en charge de Microsoft Windows, la mise à jour Ko 2616676 ajoute onze certificats racines DigiNotar au Magasin de certificats Non approuvé Microsoft. En outre, la mise à jour Ko 2616676 inclut également les certificats dans la mise à jour Ko 2524375 qui a été publiée le 6 juillet 2011.

Comment cette mise à jour modifiera-t-elle l’expérience utilisateur lors de la tentative d’accès à un site Web chiffré avec TLS et signée par un certificat racine DigiNotar non approuvé ?
Les utilisateurs d’Internet Explorer qui tentent d’accéder à un site Web signé par un certificat racine DigiNotar non approuvé sont invités à envoyer un message d’erreur. En raison du fait que ce certificat se trouve dans le Microsoft Untrusted Certificate Store, Internet Explorer n’autorise pas les utilisateurs à passer au site Web. Le site Web reste indisponible tant que le certificat de site Web n’est pas remplacé par un nouveau certificat signé par un certificat racine approuvé.

Après avoir appliqué la mise à jour, comment puis-je vérifier les certificats dans le Microsoft Untrusted Certificates Store ?
Pour plus d’informations sur la façon d’afficher des certificats, consultez l’article MSDN, Guide pratique pour afficher des certificats avec le composant logiciel enfichable MMC.

Dans le composant logiciel enfichable Certificats MMC, vérifiez que les certificats suivants ont été ajoutés au dossier Certificats non approuvés :

*Certificat ajouté au dossier Certificats non approuvés par ces mises à jour.

La mise à jour Ko 2616676 inclut également les certificats dans la mise à jour Ko 2524375 ajoutée au dossier Certificats non approuvés.

Quelle est la portée de l’avis ?
L’objectif de cet avis est d’informer les clients que Microsoft a confirmé qu’au moins un certificat frauduleux a été émis par DigiNotar et qu’il est utilisé dans les attaques actives. Microsoft a publié une mise à jour pour toutes les versions prises en charge de Microsoft Windows qui résout le problème.

Qu’est-ce que le chiffrement ?
Le chiffrement est la science de la sécurisation des informations en les convertissant entre son état normal et lisible (appelé texte en clair) et l’autre dans lequel les données sont masquées (appelées texte chiffré).

Dans toutes les formes de chiffrement, une valeur appelée clé est utilisée conjointement avec une procédure appelée algorithme de chiffrement pour transformer des données en texte brut en texte chiffré. Dans le type de chiffrement le plus familier, le chiffrement à clé secrète est transformé en texte brut à l’aide de la même clé. Toutefois, dans un deuxième type de chiffrement, chiffrement à clé publique, une autre clé est utilisée pour transformer le texte chiffré en texte clair.

Qu’est-ce qu’un certificat numérique ?
Dans le chiffrement à clé publique, l’une des clés, appelée clé privée, doit être conservée secrète. L’autre clé, connue sous le nom de clé publique, est destinée à être partagée avec le monde. Toutefois, il doit y avoir un moyen pour le propriétaire de la clé de dire au monde à qui appartient la clé. Les certificats numériques fournissent un moyen de le faire. Un certificat numérique est un élément de données inviolable qui empaquette une clé publique avec des informations sur celui-ci , qui le possède, ce qu’il peut être utilisé, quand il expire, etc.

Quels sont les certificats utilisés pour ?
Les certificats sont utilisés principalement pour vérifier l’identité d’une personne ou d’un appareil, authentifier un service ou chiffrer des fichiers. Normalement, vous n’aurez pas à réfléchir aux certificats du tout. Toutefois, vous pouvez voir un message indiquant qu’un certificat a expiré ou n’est pas valide. Dans ces cas, vous devez suivre les instructions du message.

Qu’est-ce qu’une autorité de certification (CA) ?
Les autorités de certification sont les organisations qui émettent des certificats. Ils établissent et vérifient l’authenticité des clés publiques qui appartiennent à des personnes ou à d’autres autorités de certification, et vérifient l’identité d’une personne ou d’une organisation qui demande un certificat.

Qu’est-ce qu’une liste d’approbation de certificats (CTL) ?
Une approbation doit exister entre le destinataire d’un message signé et le signataire du message. L’une des méthodes d’établissement de cette confiance consiste à utiliser un certificat, un document électronique vérifiant que les entités ou les personnes qui prétendent être. Un certificat est émis à une entité par un tiers approuvé par les deux parties. Ainsi, chaque destinataire d’un message signé décide si l’émetteur du certificat du signataire est fiable. CryptoAPI a implémenté une méthodologie permettant aux développeurs d’applications de créer des applications qui vérifient automatiquement les certificats par rapport à une liste prédéfinie de certificats ou de racines approuvés. Cette liste d’entités approuvées (appelées sujets) est appelée liste de confiance de certificat (CTL). Pour plus d’informations, consultez l’article MSDN, Vérification de l’approbation de certificat.

Qu’est-ce qui a provoqué le problème ?
Microsoft est conscient des attaques actives à l’aide d’au moins un certificat numérique frauduleux émis par DigiNotar, autorité de certification présente dans le magasin des autorités de certification racines approuvées. Un certificat frauduleux peut être utilisé pour usurper du contenu, effectuer des attaques par hameçonnage ou effectuer des attaques de type man-in-the-middle contre tous les utilisateurs du navigateur Web, y compris les utilisateurs d’Internet Explorer. Bien qu’il ne s’agisse pas d’une vulnérabilité dans un produit Microsoft, ce problème affecte toutes les versions prises en charge de Microsoft Windows.

Qu’est-ce qu’un attaquant peut utiliser la vulnérabilité pour faire ?
Un attaquant peut utiliser ces certificats pour usurper du contenu, effectuer des attaques par hameçonnage ou effectuer des attaques de type man-in-the-middle contre tous les utilisateurs du navigateur Web, y compris les utilisateurs d’Internet Explorer.

Qu’est-ce qu’une attaque man-in-the-middle ?
Une attaque man-in-the-middle se produit lorsqu’un attaquant redirige la communication entre deux utilisateurs via l’ordinateur de l’attaquant sans connaître les deux utilisateurs communiquants. Chaque utilisateur de la communication envoie du trafic vers et reçoit le trafic de l’attaquant, tout en pensant qu’il communique uniquement avec l’utilisateur prévu.

Quelle est la procédure de révocation d’un certificat ?
Il existe une procédure standard qui doit permettre à une autorité de certification d’empêcher l’acceptation des certificats s’ils sont utilisés. Chaque émetteur de certificat génère régulièrement une liste de révocation de certificats, qui répertorie tous les certificats qui doivent être considérés comme non valides. Chaque certificat doit fournir un élément de données appelé CRL Distribution Point (CDP) qui indique l’emplacement où la liste de révocation de certificats peut être obtenue.

Une autre façon pour les navigateurs web de valider l’identité d’un certificat numérique consiste à utiliser le protocole OCSP (Online Certificate Status Protocol). OCSP permet la validation interactive d’un certificat en se connectant à un répondeur OCSP, hébergé par l’autorité de certification (CA) qui a signé le certificat numérique. Chaque certificat doit fournir un pointeur vers l’emplacement du répondeur OCSP via l’extension AIA (Authority Information Access) dans le certificat. En outre, l’enregistrement OCSP permet au serveur Web lui-même de fournir une réponse de validation OCSP au client.

La validation OCSP est activée par défaut sur Internet Explorer 7 et versions ultérieures d’Internet Explorer sur les éditions prises en charge de Windows Vista, Windows Server 2008, Windows 7 et Windows Server 2008 R2. Sur ces systèmes d’exploitation, si la validation OCSP case activée échoue, le navigateur valide le certificat en contactant l’emplacement de la liste de révocation de certificats.

Pour plus d’informations sur la révocation de certificats case activée ing, consultez l’article TechNet, la révocation de certificats et la vérification de l’état.

Qu’est-ce qu’une liste de révocation de certificats (CRL) ?
La liste de révocation de certificats est une liste signée numériquement, émise par une autorité de certification, qui contient une liste de certificats émis par l’autorité de certification, puis révoquée par l’autorité de certification. Pour chaque certificat révoqué individuel, la liste inclut le numéro de série du certificat, la date à laquelle le certificat a été révoqué et la raison de révocation. Les applications peuvent effectuer des case activée de liste de révocation de certificats pour déterminer l’état de révocation d’un certificat présenté.

Qu’est-ce que le point de distribution de liste de révocation de certificats (CDP) ?
CDP est une extension de certificat qui indique où la liste de révocation de certificats pour une autorité de certification peut être récupérée. Il peut contenir aucun, un ou plusieurs URL HTTP, fichier ou LDAP.

Qu’est-ce que le protocole OCSP (Online Certificate Status Protocol) ?
OCSP est un protocole qui permet la validation en temps réel de l’état d’un certificat. En règle générale, un répondeur OCSP répond avec l’état de révocation en fonction de la liste de révocation récupérée à partir de l’autorité de certification.

Que fait Microsoft pour résoudre ce problème ?
Bien que ce problème ne résulte pas d’un problème dans un produit Microsoft, nous avons néanmoins mis à jour la liste d’approbations de certificat pour supprimer l’approbation dans le certificat racine DigiNotar. Microsoft continuera d’examiner ce problème et peut publier une prochaine mise à jour pour protéger les clients.

Comment faire savoir si j’ai rencontré une erreur de certificat non valide ?
Lorsqu’Internet Explorer rencontre un certificat non valide, les utilisateurs sont présentés à une page Web indiquant : « Il existe un problème avec le certificat de sécurité de ce site web ». Les utilisateurs sont encouragés à fermer la page Web et à naviguer loin du site lorsque ce message d’avertissement s’affiche.

Les utilisateurs sont uniquement présentés ce message lorsque le certificat est déterminé comme non valide, par exemple lorsque l’utilisateur a la liste de révocation de certificats (CRL) ou la validation OCSP (Online Certificate Status Protocol) activée. La validation OCSP est activée par défaut sur Internet Explorer 7 et versions ultérieures d’Internet Explorer sur les éditions prises en charge de Windows Vista, Windows Server 2008, Windows 7 et Windows Server 2008 R2.

Actions suggérées

Pour les versions prises en charge de Microsoft Windows

La majorité des clients ont la mise à jour automatique activée et n’ont pas besoin d’effectuer d’action, car la mise à jour Ko 2616676 sera téléchargée et installée automatiquement. Les clients qui n’ont pas activé la mise à jour automatique doivent case activée pour les mises à jour et installer cette mise à jour manuellement. Pour plus d’informations sur les options de configuration spécifiques dans la mise à jour automatique, consultez l’article de la Base de connaissances Microsoft 294871.

Pour les administrateurs et les installations d’entreprise ou les utilisateurs finaux qui souhaitent installer la mise à jour Ko 2616676 manuellement, Microsoft recommande aux clients d’appliquer la mise à jour immédiatement à l’aide du logiciel de gestion des mises à jour, ou en case activée pour les mises à jour à l’aide du service Microsoft Update. Pour plus d’informations sur l’application manuelle de la mise à jour, consultez l’article de la Base de connaissances Microsoft 2616676.

Bien que la mise à jour Ko 2616676 remplace la mise à jour Ko 2607712, la mise à jour Ko 2607712 n’est pas requise pour la mise à jour Ko 2616676. Que la mise à jour Ko 2607712 ait été appliquée ou non, les clients doivent appliquer la mise à jour Ko 2616676 pour résoudre le problème décrit dans cet avis. Les clients qui appliquent la mise à jour Ko 2616676 n’ont pas besoin d’appliquer la mise à jour Ko 2607712.

Actions suggérées supplémentaires

• Protéger votre PC

  Nous continuons à encourager les clients à suivre nos conseils de protection de votre ordinateur pour activer un pare-feu, obtenir des mises à jour logicielles et installer des logiciels antivirus. Les clients peuvent en savoir plus sur ces étapes en visitant Protéger votre ordinateur.

  Pour plus d’informations sur la sécurité sur Internet, visitez Microsoft Security Central.

• Conserver les logiciels Microsoft mis à jour

  Les utilisateurs exécutant le logiciel Microsoft doivent appliquer les dernières mises à jour de sécurité Microsoft pour vous assurer que leurs ordinateurs sont aussi protégés que possible. Si vous ne savez pas si votre logiciel est à jour, visitez Microsoft Update, analysez votre ordinateur pour connaître les mises à jour disponibles et installez les mises à jour de haute priorité qui vous sont proposées. Si vous avez activé et configuré la mise à jour automatique pour fournir des mises à jour pour les produits Microsoft, les mises à jour sont remises à vous lors de leur publication, mais vous devez vérifier qu’elles sont installées.

Autres informations

Programme Microsoft Active Protections (MAPP)

Pour améliorer les protections de sécurité pour les clients, Microsoft fournit des informations sur les vulnérabilités aux principaux fournisseurs de logiciels de sécurité avant chaque version mensuelle de la mise à jour de sécurité. Les fournisseurs de logiciels de sécurité peuvent ensuite utiliser ces informations de vulnérabilité pour fournir des protections mises à jour aux clients via leurs logiciels ou appareils de sécurité, tels que les systèmes antivirus, les systèmes de détection d’intrusion basés sur le réseau ou les systèmes de prévention des intrusions basés sur l’hôte. Pour déterminer si les protections actives sont disponibles auprès des fournisseurs de logiciels de sécurité, visitez les sites Web de protection actifs fournis par les partenaires du programme, répertoriés dans les partenaires du Programme MAPP (Microsoft Active Protections Program).

Commentaires

• Vous pouvez fournir des commentaires en remplissant le formulaire Aide et support Microsoft, contactez-nous.

Support

• Les clients du États-Unis et du Canada peuvent recevoir un soutien technique du support technique. Pour plus d’informations sur les options de support disponibles, consultez Aide et support Microsoft.
• Les clients internationaux peuvent recevoir du support de leurs filiales Microsoft locales. Pour plus d’informations sur la façon de contacter Microsoft pour connaître les problèmes de support international, visitez le support international.
• Microsoft TechNet Security fournit des informations supplémentaires sur la sécurité dans les produits Microsoft.

Exclusion de responsabilité

Les informations fournies dans cet avis sont fournies « tel quel » sans garantie quelconque. Microsoft exclut toutes les garanties, expresses ou implicites, y compris les garanties de marchandabilité et d’adéquation à un usage particulier. En aucun cas, Microsoft Corporation ou ses fournisseurs ne sont responsables de dommages-intérêts, y compris les dommages directs, indirects, accessoires, accessoires, les pertes de bénéfices commerciaux ou les dommages spéciaux, même si Microsoft Corporation ou ses fournisseurs ont été informés de la possibilité de tels dommages- intérêts. Certains États n’autorisent pas l’exclusion ou la limitation de responsabilité pour des dommages indirects ou accessoires afin que la limitation ci-dessus ne s’applique pas.

Révisions

• V1.0 (29 août 2011) : Avis publié.
• V2.0 (29 août 2011) : révisé pour corriger le numéro d’avis erroné.
• V3.0 (6 septembre 2011) : révisé pour annoncer la publication d’une mise à jour qui résout ce problème.
• V4.0 (13 septembre 2011) : révisé pour annoncer la publication de la mise à jour Ko 2616676 qui traite du problème décrit dans cet avis.
• V4.1 (13 septembre 2011) : révisé pour annoncer la disponibilité de la mise à jour Ko 2616676 pour la version Windows Developer Preview. Pour plus d’informations, consultez le Forum aux questions sur la mise à jour dans cet avis.
• V5.0 (19 septembre 2011) : révisé pour annoncer la réécriture de la mise à jour Ko 2616676. Pour plus d’informations, consultez le Forum aux questions sur la mise à jour dans cet avis.

Construit à 2014-04-18T13 :49 :36Z-07 :00