Microsoft-beveiligingsadvies 2524375

Waarom is dit advies herzien op 10 mei 2011?  
Microsoft heeft dit advies herzien om de release aan te kondigen van een update voor Windows Mobile 6.x-apparaten. De update kan alleen worden gedownload via het Microsoft Downloadcentrum. Zie Microsoft Knowledge Base-artikel 2524375 voor meer informatie.

De updates voor Microsoft Kin- en Zune-apparaten zijn nog niet beschikbaar. Microsoft zal updates voor deze apparaten uitbrengen wanneer die updates volledig zijn getest. Alleen zo kan Microsoft kwaliteit garanderen.

Waarom is dit advies herzien op 3 mei 2011?  
Microsoft heeft dit advies herzien om de release aan te kondigen van een update voor Windows Phone 7-apparaten. Op het moment van de release was de update niet beschikbaar voor alle Windows Phone 7-klanten. In plaats daarvan ontvangen klanten een melding op hun apparaat zodra de update beschikbaar is voor hun telefoon. Voor meer informatie over de installatie van update moeten Windows Phone 7-klanten hun telefoon aansluiten op een computer, en de Zune PC-client of Windows Phone 7 Connector (voor Mac) gebruiken om het updateproces te voltooien. Zie Microsoft Knowledge Base-artikel 2524375 voor meer informatie.

De updates voor Windows Mobile 6.x-, Microsoft Kin- en Zune-apparaten zijn op dit moment nog niet verkrijgbaar. Microsoft zal updates voor deze apparaten uitbrengen wanneer die updates volledig zijn getest. Alleen zo kan Microsoft kwaliteit garanderen.

Waarom is dit advies herzien op 19 april 2011?  
Microsoft heeft dit advies herzien om Windows Mobile 6.x-, Windows Phone 7-, Microsoft Kin- en Zune-apparaten toe te voegen aan software en apparaten waarin dit probleem optreedt. Microsoft is op de hoogte van het feit dat het lokale archief met niet-vertrouwde certificaten op deze apparaten moet worden bijgewerkt om de negen frauduleuze digitale certificaten op te nemen.

De updates voor Windows Mobile 6.x-, Windows Phone 7-, Microsoft Kin- en Zune-apparaten zijn op dit moment nog niet verkrijgbaar. Microsoft zal updates voor deze apparaten uitbrengen wanneer die updates volledig zijn getest. Alleen zo kan Microsoft kwaliteit garanderen.

Wat is cryptografie?  
Cryptografie is de wetenschap van het beveiligen van informatie door deze te converteren van de normale, leesbare toestand (plaintext) naar een toestand waarin de gegevens zijn verborgen (ciphertext).

In alle vormen van cryptografie wordt een waarde, een zogenaamde sleutel, in combinatie met een procedure, een cryptoalgoritme, gebruikt om plaintext om te zetten in ciphertext. In de meest bekende vorm van cryptografie, cryptografie met geheime sleutel, wordt de ciphertext met dezelfde sleutel weer teruggezet in plaintext. In een tweede vorm van cryptografie, cryptografie met openbare sleutel, wordt een andere sleutel gebruikt om de ciphertext weer terug te zetten in plaintext.

Wat is een digitaal certificaat?  
In cryptografie met openbare sleutel moet een van de sleutels, de privésleutel, geheimgehouden worden. De andere sleutel, de openbare sleutel, is bedoeld om openbaar gemaakt te worden. Er moet echter een manier zijn waarop de eigenaar van de sleutel bekend kan maken van wie de sleutel is. Dit gebeurt met digitale certificaten. Een digitaal certificaat is een beveiligd bestand dat een openbare sleutel plus informatie over deze sleutel bevat: wie de eigenaar van de sleutel is, waarvoor de sleutel kan worden gebruikt, wanneer deze verloopt, enzovoort.

Waarvoor worden certificaten gebruikt?  
Certificaten worden hoofdzakelijk gebruikt om de identiteit te controleren van een persoon of apparaat, een service te verifiëren of bestanden te coderen. Normaal gesproken hoeft u zich niet met certificaten bezig te houden. Het is echter mogelijk dat u af en toe het bericht ziet dat een certificaat is verlopen of ongeldig is. In die gevallen moet u de instructies in het bericht volgen.

Wat is een certificeringsinstantie?  
Certificeringsinstanties zijn de organisaties die certificaten uitbrengen. Zij bevestigen en verifiëren de echtheid van openbare sleutels die het eigendom zijn van mensen of andere certificeringsinstanties, en controleren de identiteit van een persoon of organisatie die om een certificaat vraagt.

Wat heeft het probleem veroorzaakt?  
Comodo, een belangrijke certificeringsinstantie, heeft Microsoft op de hoogte gebracht van het feit dat verschillende digitale certificaten zijn uitgegeven zonder hun identiteit voldoende te valideren. Deze certificaten kunnen worden gebruikt om de identiteit van services te vervalsen (spoofen) zodat gebruikers deze certificaten vertrouwen.

Opmerking Comodo heeft deze certificaten ingetrokken en opgenomen in de huidige CRL (Certificate Revocation List) van Comodo.

Met welk doel kan een aanvaller het beveiligingslek misbruiken?  
Een aanvaller kan deze certificaten gebruiken om inhoud te vervalsen (spoofen), phishing-aanvallen te verrichten of man-in-the-middle-aanvallen te verrichten tegen alle webbrowsergebruikers inclusief gebruikers van Internet Explorer.

Wat is een MITM-aanval (man-in-the-middle)?  
Een MITM-aanval vindt plaats wanneer een aanvaller communicatie tussen twee gebruikers omleidt via de computer van de aanvaller zonder dat de twee communicatiegebruikers dit weten. Elke gebruiker in de communicatie stuurt - onbewust van dit feit - verkeer naar de aanvaller en ontvangt verkeer van de aanvaller, in de overtuiging dat hij alleen met de bedoelde gebruiker communiceert.

Wat is de procedure voor het intrekken van een certificaat?  
Er is een standaardprocedure waarmee Comodo kan voorkomen dat deze certificaten worden geaccepteerd als ze worden gebruikt. Iedere uitgever van certificaten genereert regelmatig een CRL, waarop alle certificaten voorkomen die als ongeldig moeten worden beschouwd. Elk certificaat moet een stukje gegevens verstrekken, het CDP (CRL Distribution Point), dat aangeeft waar de CRL kan worden opgehaald.

Webbrowsers kunnen de identiteit van een digitaal certificaat ook valideren met behulp van het OCSP (Online Certificate Status Protocol). OCSP maakt interactieve validatie van een certificaat mogelijk door verbinding te maken met een OCSP-responder, gehost door de certificeringsinstantie die het digitale certificaat heeft ondertekend. Elk certificaat moet via de AIA-extensie (Authority Information Access) in het certificaat een verwijzing bevatten naar de locatie van de OCSP-responder. Bovendien geeft OCSP stapling de webserver de mogelijkheid om zelf een OCSP-validatieantwoord aan de client te verstrekken.

OCSP-validatie is standaard ingeschakeld op Internet Explorer 7 en nieuwere versies van Internet Explorer op ondersteunde edities van Windows Vista, Windows Server 2008, Windows 7 en Windows Server 2008 R2 ingeschakeld. Als de OCSP-validatiecontrole op deze besturingssystemen mislukt, zal de browser het certificaat valideren door contact op te nemen met de CRL-locatie.

Voor meer informatie over de controle op ingetrokken certificaten, raadpleegt u het TechNet-artikel, Certificate Revocation and Status Checking.

Wat is een Certificate Revocation List (CRL)?  
CRL is een digitaal ondertekende lijst, uitgegeven door een certificeringsinstantie, met certificaten die door de certificeringsinstantie zijn uitgegeven en daarna door de certificeringsinstantie zijn ingetrokken. Voor elk afzonderlijk ingetrokken certificaat vermeldt de lijst het serienummer van het certificaat, de datum waarop het certificaat is ingetrokken en de reden van intrekking. Toepassingen kunnen een CRL-controle uitvoeren om de intrekkingsstatus van een bepaald certificaat na te gaan.

Wat is CRL Distribution Point (CDP)?  
CDP is een certificaatextensie die aangeeft waar de CRL van een certificeringsinstantie kan worden opgehaald. Deze kan geen, één of veel HTTP-, bestands- of LDAP-URLs bevatten.

Wat is Online Certificate Status Protocol (OCSP)?  
OCSP is een protocol dat realtime validatie van de status van een certificaat mogelijk maakt. Normaal antwoordt een OCSP-responder met de intrekkingsstatus op basis van de CRL die van de certificeringsinstantie is verkregen.

Wat doet Microsoft om te helpen bij de oplossing van dit probleem?  
Hoewel dit probleem niet het gevolg is van een probleem in een Microsoft-product, hebben we toch een update ontwikkeld die klanten kan beschermen door ervoor te zorgen dat deze negen frauduleuze certificaten altijd worden beschouwd als onbetrouwbaar.

Waarom geeft Microsoft een update uit terwijl er geen probleem is in Microsoft-software?  
Zelfs als CRL-en OCSP-validatie is ingeschakeld, zijn validatietechnieken niet sterk genoeg om te garanderen dat gebruikers zijn beschermd tegen schadelijk gebruik van deze certificaten. Wanneer de CRL-locatie en OCSP-responder bereikbaar zijn, zijn validatiecontroles uiterst betrouwbaar en doeltreffend.

Als de controle op ingetrokken certificaten echter mislukt door netwerk- of verbindingsproblemen, is het mogelijk dat browsers en andere clienttoepassingen, waaronder Internet Explorer, deze fouten negeren en het certificaat als betrouwbaar beschouwen omdat het tegendeel niet is aangetoond. In deze scenario's kunnen klanten worden getroffen.

Wat doet de update? 
De update voor ondersteunde releases van Microsoft Windows lost het probleem op door de negen frauduleuze certificaten in het lokale Microsoft Windows-archief met niet-vertrouwde certificaten te plaatsen. De updates voor Windows Mobile 6.x- en Windows Phone 7-apparaten lossen het probleem op door de negen frauduleuze certificaten in het lokale archief met onbetrouwbare certificaten op het apparaat op te slaan. De updates voor Microsoft Kin- en Zune-apparaten zijn nog niet beschikbaar.

Hoe weet ik of ik te maken heb met een ongeldig certificaat?  
Wanneer Internet Explorer een ongeldig certificaat tegenkomt, wordt een webpagina weergegeven met het bericht 'Er is een probleem met het beveiligingscertificaat van deze website'. Wanneer deze waarschuwing wordt weergegeven, worden gebruikers geadviseerd om de webpagina te sluiten en weg te gaan van de website.

Dit bericht wordt alleen weergegeven als is vastgesteld dat het certificaat ongeldig is, bijvoorbeeld wanneer de gebruiker CRL- (Certificate Revocation List) of OCSP-validatie (Online Certificate Status Protocol) heeft ingeschakeld. OCSP-validatie is standaard ingeschakeld op Internet Explorer 7 en latere versies van Internet Explorer op ondersteunde edities van Windows Vista, Windows Server 2008, Windows 7 en Windows Server 2008 R2.

Hoe kan ik de certificaten in de map Niet-vertrouwde certificaten verifiëren nadat ik de update heb toegepast?  
Voor informatie over hoe u certificaten bekijkt, raadpleegt u het MSDN-artikel Procedure: Module Certificaten voor MMS.

In de Module Certificaten voor MMS controleert u of de volgende certificaten zijn toegevoegd aan de map Niet-vertrouwde Certificaten:

De update installeren

Extra voorgestelde acties