보안 권고

Microsoft 보안 권고 2661254

최소 인증서 키 길이 업데이트

게시 날짜: 2012년 8월 14일 | 업데이트: 2012년 10월 9일

버전: 2.0

일반 정보

요약

Microsoft는 길이가 1024비트 미만인 RSA 키로 인증서 사용을 제한하는 Windows 업데이트의 가용성을 발표합니다. 이러한 인증서에 사용되는 프라이빗 키는 파생될 수 있으며 공격자가 인증서를 복제하고 부정하게 사용하여 콘텐츠를 스푸핑하거나, 피싱 공격을 수행하거나, 중간에서 사람 공격을 수행할 수 있습니다.

참고 이 업데이트는 암호화에 RSA 키를 사용하고 CertGetCertificateChain 함수를 호출하는 애플리케이션 및 서비스에 영향을 줍니다. 이러한 애플리케이션 및 서비스는 더 이상 RSA 키가 1024비트 미만인 인증서를 신뢰하지 않습니다. 영향을 받는 애플리케이션 및 서비스의 예로는 암호화된 전자 메일, SSL/TLS 암호화 채널, 서명된 애플리케이션 및 프라이빗 PKI 환경이 포함되나 제한되지 않습니다. RSA 이외의 암호화 알고리즘을 사용하는 인증서는 이 업데이트의 영향을 받지 않습니다. 이 업데이트 의 영향을 받는 애플리케이션 및 서비스에 대한 자세한 내용은 Microsoft 기술 자료 문서 2661254 참조하세요.

업데이트는 Microsoft Windows의 지원되는 모든 릴리스에 대해 다운로드 센터 및 Microsoft 업데이트 카탈로그 에서 사용할 수 있습니다. 또한 2012년 10월 9일부터 이 업데이트는 자동 업데이트 및 Microsoft 업데이트 서비스를 통해 제공됩니다.

권장 사항. Microsoft는 고객이 가장 빠른 기회에 업데이트를 적용하는 것이 좋습니다. 자세한 내용은 이 권고의 제안된 작업 섹션을 참조하세요.

알려진 문제입니다.Microsoft 기술 자료 문서 2661254 이 업데이트를 설치할 때 고객이 경험할 수 있는 현재 알려진 문제를 설명합니다. 또한 이 문서에서는 이러한 문제에 대한 권장 솔루션을 설명합니다.

권고 세부 정보

문제 참조

이 문제에 대한 자세한 내용은 다음 참조를 참조하세요.

영향을 받는 소프트웨어 및 디바이스

이 권고에서는 다음 소프트웨어에 대해 설명합니다.

질문과 대답

이 권고가 2012년 10월 9일에 개정된 이유는 무엇입니까?
Microsoft는 다음과 같은 이유로 이 권고를 수정했습니다.

• 적절한 타임스탬프 특성 없이 Microsoft에서 생성한 특정 디지털 인증서와 관련된 문제를 해결하기 위해 Windows XP에 대한 KB2661254 업데이트를 다시 릴리스합니다. 이 문제에 대한 자세한 내용은 Microsoft 보안 공지 2749655를 참조하세요. Windows XP 시스템에 이 업데이트를 이미 성공적으로 설치한 고객은 아무 작업도 수행할 필요가 없습니다. 또한 시스템에 이미 설치된 경우 고객은 이 업데이트를 다시 받지 않습니다. 다시 릴리스된 업데이트는 이전에 이 업데이트를 설치하지 않은 Windows XP 시스템에만 적용됩니다.
• 이제 Microsoft Windows의 지원되는 모든 릴리스에 대한 KB2661254 업데이트가 자동 업데이트를 통해 제공됩니다.

이 권고가 2012년 9월 11일에 개정된 이유는 무엇입니까?
Microsoft는 암호화에 RSA 키를 사용하고 CertGetCertificateChain 함수를 호출하는 애플리케이션 및 서비스가 이 업데이트의 영향을 받을 수 있음을 명확히 하기 위해 이 권고를 수정했습니다. 이러한 애플리케이션 및 서비스의 예로는 암호화된 전자 메일, SSL/TLS 암호화 채널, 서명된 애플리케이션 및 프라이빗 PKI 환경이 포함되나 이에 국한되지 않습니다.

고객에게 미칠 수 있는 영향 및 이 업데이트를 설치할 때 고객에게 발생할 수 있는 알려진 문제에 대한 자세한 내용은 Microsoft 기술 자료 문서 2661254 참조하세요.

권고의 범위는 무엇입니까?
이 권고의 목적은 인증서에 길이가 1024비트보다 크거나 같은 RSA 키를 포함해야 하는 지원되는 모든 Microsoft Windows 릴리스에 업데이트를 사용할 수 있음을 고객에게 알리는 것입니다. RSA 키가 1024비트 미만인 인증서는 짧은 시간 안에 파생될 수 있으며 공격자가 인증서를 복제하고 부정하게 사용하여 콘텐츠를 스푸핑하거나 피싱 공격을 수행하거나 중간에서 맨 인 더 미들 공격을 수행할 수 있습니다. 이 업데이트는 완전히 테스트되었으며 릴리스에 충분한 품질입니다. 이 업데이트는 고객이 환경을 평가하고 Microsoft 업데이트를 통해 광범위한 배포 전에 필요한 인증서를 다시 발급할 수 있는 기회를 제공하기 위해 다운로드 센터에 릴리스되었습니다.

공격자가 어떻게 인증서를 부정하게 사용할 수 있나요?
공격자는 인증서를 복제하여 부정하게 콘텐츠를 스푸핑하거나, 피싱 공격을 수행하거나, 중간에서 사람 공격을 수행하는 데 사용할 수 있습니다.

공격자가 인증서를 어떻게 복제할 수 있나요?
디지털 인증서는 인증서의 프라이빗 키를 소유한 사람만 만들 수 있습니다. 공격자는 프라이빗 키를 추측하고 수학 기술을 사용하여 추측이 올바른지 확인할 수 있습니다. 프라이빗 키를 추측하는 데 어려움이 있는 것은 키에 사용된 비트 수에 비례합니다. 따라서 키가 클수록 공격자가 프라이빗 키를 추측하는 데 더 오래 걸립니다. 최신 하드웨어를 사용하면 길이가 1024비트 미만인 키를 짧은 시간 안에 성공적으로 추측할 수 있습니다. 공격자가 프라이빗 키를 성공적으로 추측하면 공격자는 인증서를 복제하고 부정하게 사용하여 콘텐츠를 스푸핑하거나 피싱 공격을 수행하거나 중간에서 맨 인 더 미들 공격을 수행할 수 있습니다.

맨 인 더 미들 공격은 무엇입니까?
공격자가 통신하는 두 사용자에 대한 지식 없이 공격자의 컴퓨터를 통해 두 사용자 간의 통신 경로를 다시 지정하면 중간에서 맨 인 더 미들(man-in-the-middle) 공격이 발생합니다. 통신의 각 사용자는 의도한 사용자와만 통신한다고 생각하면서 무의식적으로 트래픽을 보내고 공격자로부터 트래픽을 받습니다.

디지털 인증서란?
공개 키 암호화에서는 프라이빗 키라고 하는 키 중 하나를 비밀로 유지해야 합니다. 공개 키라고 하는 다른 키는 전 세계와 공유될 예정입니다. 그러나 키 소유자가 키가 속한 사람을 전 세계에 알릴 수 있는 방법이 있어야 합니다. 디지털 인증서는 이 작업을 수행하는 방법을 제공합니다. 디지털 인증서는 개인, 조직 및 컴퓨터의 온라인 ID를 인증하는 데 사용되는 전자 자격 증명입니다. 디지털 인증서에는 해당 인증서를 소유한 사람, 사용할 수 있는 항목, 만료되는 경우 등에 대한 정보와 함께 패키지된 공개 키가 포함되어 있습니다.

이 릴리스를 준비할 어떻게 할까요? 있나요?
이 업데이트를 배포하기 위해 수행할 작업 목록은 제안된 작업 섹션을 참조하세요.

Microsoft는 이 업데이트를 언제 Microsoft 업데이트로 릴리스합니까?
Microsoft는 2012년 10월에 Microsoft 업데이트를 통해 이 업데이트를 릴리스할 계획입니다.

KB2661254 업데이트는 어떤 작업을 수행하나요?
지원되는 모든 Microsoft Windows 릴리스에서 KB2661254 업데이트를 사용하려면 RSA 키가 있는 인증서에서 1024비트 키 길이 이상을 사용해야 합니다. RSA 이외의 암호화 알고리즘을 사용하는 인증서는 이 업데이트의 영향을 받지 않습니다. CertGetCertificateChain 함수를 호출하는 Microsoft 제품 또는 타사 제품은 더 이상 RSA 키가 1024비트 키 길이보다 작은 인증서를 신뢰하지 않습니다. 이 함수는 가능한 경우 신뢰할 수 있는 루트 인증서로 돌아가는 최종 인증서부터 시작하는 인증서 체인 컨텍스트를 빌드합니다. 체인의 유효성을 검사하면 체인의 모든 인증서가 검사되어 RSA 키 길이가 1024비트 이상인지 확인합니다. 체인의 인증서 길이가 1024비트 미만인 RSA 키가 있는 경우 최종 인증서는 신뢰할 수 없습니다.

또한 업데이트에 의해 인증서가 차단될 때 로그하도록 업데이트를 구성할 수 있습니다. 이 로깅 기능을 사용하도록 설정하는 방법에 대한 자세한 내용은 이 권고의 제안된 작업 섹션을 참조하세요. 이 업데이트에서 1024비트 미만의 RSA 키 사용을 차단하는 방법에 대한 전체 시나리오 목록은 Microsoft 기술 자료 문서 2661254 참조하세요.

이 업데이트는 Windows 8 릴리스 미리 보기 또는 Windows Server 2012 릴리스 후보에게 적용됩니까?
아니요. 이러한 운영 체제에는 RSA 키가 있는 인증서가 1024비트 키 길이 이상을 사용하도록 요구하는 기능이 이미 포함되어 있으므로 이 업데이트는 Windows 8 릴리스 미리 보기 또는 Windows Server 2012 릴리스 후보에게 적용되지 않습니다.

RSA 키가 1024비트 미만인 인증서를 찾으면 어떻게 하나요?
환경에서 RSA 키 길이가 1024비트 미만인 인증서를 식별하는 고객은 인증 기관에서 더 긴 인증서를 요청해야 합니다. 자체 PKI 환경을 관리하는 고객은 더 긴 키 쌍을 새로 만들고 이러한 새 키에서 새 인증서를 발급해야 합니다. 고객은 이 업데이트에 필요한 최소값을 초과할 수 있는 데이터 암호화 요구 사항에 맞게 충분한 키 길이를 사용하여 평가해야 합니다.

CA(인증 기관)란?
CA(인증 기관)는 사용자, 컴퓨터 및 조직의 ID를 증명할 책임이 있습니다. CA는 디지털 서명 인증서를 발급하여 엔터티를 인증하고 해당 ID를 보증합니다. 또한 CA는 인증서를 관리, 해지 및 갱신할 수 있습니다.

인증 기관은 다음을 참조할 수 있습니다.

• 최종 사용자의 ID를 보증하는 조직
• 조직에서 인증서를 발급하고 관리하는 데 사용하는 서버

제안된 작업

지원되는 Microsoft Windows 릴리스의 경우

대부분의 고객은 자동 업데이트를 사용하도록 설정했으며 이 보안 업데이트가 자동으로 다운로드되고 설치되므로 아무 작업도 수행할 필요가 없습니다. 자동 업데이트를 사용하도록 설정하지 않은 고객은 업데이트를 검사 이 업데이트를 수동으로 설치해야 합니다. 자동 업데이트 의 특정 구성 옵션에 대한 자세한 내용은 Microsoft 기술 자료 문서 294871 참조하세요.

관리자 및 엔터프라이즈 설치 또는 KB2661254 업데이트를 수동으로 설치하려는 최종 사용자의 경우 고객이 업데이트를 다운로드하고 RSA 키가 있는 인증서가 1024비트 키 길이 이상을 사용하도록 요구하는 영향을 평가하는 것이 좋습니다. 업데이트 패키지에 대한 다운로드 링크는 Microsoft 기술 자료 문서 2661254 참조하거나 Microsoft 업데이트 카탈로그에서 업데이트 패키지를 검색합니다.

관리주체 및 엔터프라이즈 설치는 RSA 키가 1024비트 미만인 인증서가 있는지 환경을 평가하고 이러한 인증서를 다시 발급해야 합니다. 이 업데이트 의 영향을 받는 애플리케이션 및 서비스에 대한 자세한 내용은 Microsoft 기술 자료 문서 2661254 참조하세요.

추가 제안된 작업

• 엔터프라이즈에서 사용 중인 RSA 키 길이가 1024비트 미만인 인증서 식별

  현재 엔터프라이즈에서 사용 중인 RSA 인증서를 찾는 방법에 대한 자세한 지침은 Microsoft 기술 자료 문서 2661254 참조하세요.

• Microsoft 기술 자료 문서 2661254 검사하여 이 업데이트에서 인증서를 차단하는 시나리오를 확인합니다.

  이 업데이트에서 RSA 키가 1024비트 미만인 인증서를 차단하는 시나리오 목록은 Microsoft 기술 자료 문서 2661254 검토합니다.

• 1024비트 미만의 RSA 키 사용량을 식별하는 데 도움이 되는 인증서 로깅 사용

  기본적으로 로깅은 사용하도록 설정되지 않습니다. 로깅을 사용하면 레지스트리에서 로깅 디렉터리를 설정하여 길이가 1024비트 미만인 RSA 키의 사용을 식별할 수 있습니다.

  경고 레지스트리 편집기를 잘못 사용하면 운영 체제를 다시 설치해야 하는 심각한 문제가 발생할 수 있습니다. Microsoft는 레지스트리 편집기를 잘못 사용하여 발생하는 문제를 해결할 수 있다고 보장할 수 없습니다. 레지스트리 편집기 사용에 따른 위험은 사용자가 책임져야 합니다.

  Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography\OID\EncodingType 0\CertDllCreateCertificateChainEngine\Config] " WeakSignatureLogDir"

  이 .reg 파일을 두 번 클릭하여 개별 시스템에 적용할 수 있습니다. 그룹 정책을 사용하여 할 일기본 적용할 수도 있습니다. 그룹 정책에 대한 자세한 내용은 핵심 그룹 정책 도구 및 설정 참조하세요.

  해결 방법의 영향: 프로덕션 시스템에서 로깅을 사용하도록 설정하면 성능 문제가 발생할 수 있으며 주의해서 사용해야 합니다. 볼륨을 채우지 않도록 로깅을 사용하도록 설정된 디렉터리에 특별한 주의를 기울여야 합니다. 또한 모든 적절한 시스템이 이 위치에 쓸 수 있도록 이 디렉터리를 구성해야 합니다. 고객은 익명 사용자가 조직 내 공유에 쓰는 것을 허용해서는 안 됩니다.

• PC 보호

  고객이 방화벽을 사용하도록 설정하고, 소프트웨어 업데이트를 받고, 바이러스 백신 소프트웨어를 설치하는 컴퓨터 보호 지침을 따르도록 계속 권장합니다. 자세한 내용은 Microsoft 금고ty 및 Security Center를 참조하세요.

• Microsoft 소프트웨어 업데이트 유지

  Microsoft 소프트웨어를 실행하는 사용자는 최신 Microsoft 보안 업데이트를 적용하여 컴퓨터가 최대한 보호되도록 해야 합니다. 소프트웨어가 최신 상태인지 확실하지 않은 경우 Microsoft 업데이트를 방문하여 컴퓨터에서 사용 가능한 업데이트를 검색하고 사용자에게 제공되는 우선 순위가 높은 업데이트를 설치합니다. Microsoft 제품에 대한 업데이트를 제공하도록 자동 업데이트를 사용하도록 설정하고 구성한 경우 업데이트가 릴리스될 때 사용자에게 전달되지만 업데이트가 설치되어 있는지 확인해야 합니다.

기타 정보

Feedback

• Microsoft 도움말 및 지원 양식인 고객 서비스 문의를 완료하여 피드백을 제공할 수 있습니다.

지원

• 미국 및 캐나다의 고객은 보안 지원에서 기술 지원을 받을 수 있습니다. 사용 가능한 지원 옵션에 대한 자세한 내용은 Microsoft 도움말 및 지원을 참조하세요.
• 해외 고객은 현지 Microsoft 자회사로부터 지원을 받을 수 있습니다. Microsoft에 국제 지원 문제를 문의하는 방법에 대한 자세한 내용은 국제 지원을 방문하세요.
• Microsoft TechNet Security 는 Microsoft 제품의 보안에 대한 추가 정보를 제공합니다.

부인

이 권고에 제공된 정보는 어떠한 종류의 보증도 없이 "있는 그대로" 제공됩니다. Microsoft는 특정 목적에 대한 상품성 및 적합성에 대한 보증을 포함하여 명시적이거나 묵시적인 모든 보증을 부인합니다. 어떠한 경우에도 Microsoft Corporation 또는 해당 공급업체는 Microsoft Corporation 또는 공급업체가 이러한 손해의 가능성을 통보한 경우에도 직접, 간접, 부수적, 결과적, 비즈니스 이익 손실 또는 특별 손해를 포함한 모든 손해에 대해 책임을 지지 않습니다. 일부 주에서는 결과적 또는 부수적 손해에 대한 책임의 배제 또는 제한을 허용하지 않으므로 앞에서 설명한 제한이 적용되지 않을 수 있습니다.

수정 내용

• V1.0(2012년 8월 14일): 공지문이 게시되었습니다.
• V1.1(2012년 8월 14일): 이 업데이트를 적용한 후 고객이 1024비트보다 크거나 같은 RSA 키가 있는 인증서를 사용해야 한다는 점을 명확히 하기 위해 요약 요약이 수정되었습니다.
• V1.2(2012년 9월 11일): 암호화에 RSA 키를 사용하고 CertGetCertificateChain 함수를 호출하는 애플리케이션 및 서비스가 이 업데이트의 영향을 받을 수 있음을 명확히 했습니다. 이러한 애플리케이션 및 서비스의 예로는 암호화된 전자 메일, SSL/TLS 암호화 채널, 서명된 애플리케이션 및 프라이빗 PKI 환경이 포함되나 이에 국한되지 않습니다.
• V2.0(2012년 10월 9일): Windows XP용 KB2661254 업데이트를 다시 릴리스하고 지원되는 모든 Microsoft Windows 릴리스에 대한 KB2661254 업데이트가 이제 자동 업데이트를 통해 제공됨을 알리도록 권고가 수정되었습니다. 이전에 KB2661254 업데이트를 적용한 고객은 아무 작업도 수행할 필요가 없습니다. 자세한 내용은 권고 FAQ를 참조하세요.

2014-04-18T13:49:36Z-07:00에 빌드