Beveiligingsadvies

Microsoft Security Advisory 2524375

Frauduleuze digitale certificaten kunnen adresvervalsing toestaan

Gepubliceerd: 23 maart 2011 | Bijgewerkt: 06 juli 2011

Versie: 5.0

Algemene gegevens

Samenvatting

Microsoft is op de hoogte van negen frauduleuze digitale certificaten die zijn uitgegeven door Comodo, een certificeringsinstantie die aanwezig is in het archief vertrouwde basiscertificeringsinstanties, op alle ondersteunde versies van Microsoft Windows, Windows Mobile 6.x, Windows Telefoon 7, Microsoft Kin en Opgegeven HD-apparaten. Comodo adviseerde Microsoft op 16 maart 2011 dat negen certificaten namens een derde partij waren ondertekend zonder voldoende haar identiteit te valideren. Deze certificaten kunnen worden gebruikt om inhoud te spoofen, phishingaanvallen uit te voeren of man-in-the-middle-aanvallen uit te voeren tegen alle webbrowsergebruikers, waaronder gebruikers van Internet Explorer.

Deze certificaten zijn van invloed op de volgende webeigenschappen:

• login.live.com
• mail.google.com
• www.google.com
• login.yahoo.com (3 certificaten)
• login.skype.com
• addons.mozilla.org
• "Globale beheerder"

Comodo heeft deze certificaten ingetrokken en ze worden vermeld in de huidige certificaatintrekkingslijst (CRL) van Comodo. Bovendien zullen browsers die het Online Certificate Status Protocol (OCSP) hebben ingeschakeld, deze certificaten interactief valideren en blokkeren dat ze worden gebruikt.

Er is een update beschikbaar om dit probleem op te lossen voor alle ondersteunde versies van Windows-, Windows Mobile 6.x-apparaten en Opgegeven HD-apparaten. Vanaf 3 mei 2011 wordt de update ook aan klanten van Windows Telefoon 7 geleverd. Zie het Microsoft Knowledge Base-artikel 2524375 voor meer informatie over deze update.

Voor ondersteunde versies van Microsoft Windows is doorgaans geen actie vereist van klanten om deze update te installeren, omdat het merendeel van de klanten automatische updates heeft ingeschakeld en deze update automatisch wordt gedownload en geïnstalleerd. Zie de sectie Voorgestelde acties van dit advies voor meer informatie, waaronder het handmatig installeren van deze update en het installeren van de update op Windows Mobile 6.x-, Windows Telefoon 7- en Opgegeven HD-apparaten.

Adviesdetails

Probleemverwijzingen

Zie de volgende verwijzingen voor meer informatie over dit probleem:

Betrokken software en apparaten

In dit advies worden de volgende software en apparaten besproken.

*De installatie van Server Core is beïnvloed. Deze update is van toepassing, met dezelfde ernstclassificatie, op ondersteunde edities van Windows Server 2008 of Windows Server 2008 R2 zoals aangegeven, ongeacht of deze zijn geïnstalleerd met behulp van de Server Core-installatieoptie. Zie de TechNet-artikelen over het beheren van een Server Core-installatie en onderhoud van een Server Core-installatie voor meer informatie over deze installatieoptie. Houd er rekening mee dat de Server Core-installatieoptie niet van toepassing is op bepaalde edities van Windows Server 2008 en Windows Server 2008 R2; zie Server Core-installatieopties vergelijken.

Veelgestelde vragen

Waarom is dit advies herzien op 6 juli 2011?
Microsoft heeft dit advies herzien om de release van de update aan te kondigen voor het oplossen van het SSL-beveiligingsprobleem voor Opgegeven HD-apparaten. Om de update te installeren, moeten Opgegeven HD-klanten hun apparaat verbinden met een computer en de Opgegeven PC-client gebruiken om het updateproces te voltooien. Zie het Microsoft Knowledge Base-artikel 2524375 voor meer informatie en instructies.

De update voor Microsoft Kin is momenteel niet beschikbaar. Microsoft geeft een update uit voor dit apparaat wanneer het testen is voltooid, om een hoge mate van kwaliteit voor de release te garanderen.

Waarom zijn Scsi 4GB-, Overschrijden 8 GB-, Gewiste 16 GB-, Overschrijden 30 GB-, Zichtbare 80 GB- en Gewist 120 GB-apparaten verwijderd uit de tabel Affected Software and Devices?
Na zorgvuldige beoordeling van de aanvalsvector heeft Microsoft vastgesteld dat de kans op het misbruiken van dit probleem op dezeapparaten extreem laag is vanwege het feit dat deze apparaten geen webbrowser hebben. Als gevolg hiervan ontvangen Opgegeven 4 GB, Oplopend 8 GB, 16 GB, Oplopend 30 GB, Opgegeven 80 GB en Opgegeven 120 GB geen update en zijn verplaatst naar de tabel Niet-beïnvloede apparaten.

Waarom is dit advies herzien op 10 mei 2011?
Microsoft heeft dit advies herzien om de release van een update voor Windows Mobile 6.x-apparaten aan te kondigen. De update is beschikbaar om te downloaden in het Microsoft Downloadcentrum. Zie het Microsoft Knowledge Base-artikel 2524375 voor meer informatie.

De updates voor Microsoft Kin- en Opgegeven-apparaten zijn op dit moment niet beschikbaar. Microsoft geeft updates voor deze apparaten uit wanneer het testen is voltooid, om een hoge kwaliteit voor hun release te garanderen.

Waarom is dit advies herzien op 3 mei 2011?
Microsoft heeft dit advies herzien om de release van een update voor Windows Telefoon 7-apparaten aan te kondigen. Op het moment van release is de update niet beschikbaar voor alle Windows Telefoon 7-klanten. In plaats daarvan ontvangen klanten een melding op het apparaat zodra de update beschikbaar is voor hun telefoon. Voor meer informatie of het installeren van de update moeten klanten van Windows Telefoon 7 hun telefoon verbinden met een computer en de Cate PC-client of Windows Telefoon 7 Verbinding maken or (voor Mac) gebruiken om het updateproces te voltooien. Zie het Microsoft Knowledge Base-artikel 2524375 voor meer informatie.

De updates voor Windows Mobile 6.x-, Microsoft Kin- enapparaten zijn op dit moment niet beschikbaar. Microsoft geeft updates voor deze apparaten uit wanneer het testen is voltooid, om een hoge kwaliteit voor hun release te garanderen.

Waarom is dit advies herzien op 19 april 2011?
Microsoft heeft dit advies herzien om Windows Mobile 6.x-, Windows Telefoon 7-, Microsoft Kin- enapparaten toe te voegen aan betrokken software en apparaten. Microsoft is er zich van bewust dat het lokale niet-vertrouwde certificaatarchief op deze apparaten moet worden bijgewerkt om de negen frauduleuze digitale certificaten op te nemen.

De updates voor Windows Mobile 6.x- en Windows Telefoon 7-, Microsoft Kin- enapparaten zijn op dit moment niet beschikbaar. Microsoft geeft updates voor deze apparaten uit wanneer het testen is voltooid, om een hoge kwaliteit voor hun release te garanderen.

Wat is cryptografie?
Cryptografie is de wetenschap van het beveiligen van gegevens door deze te converteren tussen de normale, leesbare status (ook wel tekst zonder opmaak genoemd) en een waarin de gegevens worden verborgen (ook wel ciphertext genoemd).

In alle vormen van cryptografie wordt een waarde gebruikt die bekend staat als een sleutel in combinatie met een procedure die een cryptoalgoritme wordt genoemd om gegevens zonder opmaak te transformeren in coderingstekst. In het meest bekende type cryptografie, geheime-sleutelcryptografie, wordt de coderingstekst weer omgezet in tekst zonder opmaak met behulp van dezelfde sleutel. In een tweede type cryptografie, openbare-sleutelcryptografie, wordt echter een andere sleutel gebruikt om de coderingstekst terug te zetten in tekst zonder opmaak.

Wat is een digitaal certificaat?
In openbare-sleutelcryptografie moet een van de sleutels, ook wel de persoonlijke sleutel genoemd, geheim worden gehouden. De andere sleutel, ook wel de openbare sleutel genoemd, is bedoeld om te worden gedeeld met de wereld. Er moet echter een manier zijn voor de eigenaar van de sleutel om de wereld te vertellen waartoe de sleutel behoort. Digitale certificaten bieden een manier om dit te doen. Een digitaal certificaat is een manipulatiebestendig stukje gegevens waarmee een openbare sleutel wordt verpakt, samen met informatie over het certificaat- wie eigenaar is, waarvoor het kan worden gebruikt, wanneer deze verloopt, enzovoort.

Waarvoor worden certificaten gebruikt?
Certificaten worden voornamelijk gebruikt om de identiteit van een persoon of apparaat te verifiëren, een service te verifiëren of bestanden te versleutelen. Normaal gesproken hoeft u helemaal niet na te denken over certificaten. Mogelijk ziet u echter een bericht waarin wordt aangegeven dat een certificaat is verlopen of ongeldig is. In die gevallen moet u de instructies in het bericht volgen.

Wat is een certificeringsinstantie (CA)?
Certificeringsinstanties zijn de organisaties die certificaten uitgeven. Ze bepalen en verifiëren de echtheid van openbare sleutels die deel uitmaken van personen of andere certificeringsinstanties en ze verifiëren de identiteit van een persoon of organisatie die om een certificaat vraagt.

Wat heeft het probleem veroorzaakt?
Comodo, een belangrijke certificeringsinstantie, heeft Microsoft geïnformeerd dat verschillende digitale certificaten zijn uitgegeven zonder hun identiteit voldoende te valideren. Deze certificaten kunnen worden gebruikt om de identiteit van services te spoofen, waardoor gebruikers deze kunnen vertrouwen.

Opmerking Comodo heeft deze certificaten ingetrokken en ze worden vermeld in de huidige certificaatintrekkingslijst (CRL) van Comodo.

Wat kan een aanvaller doen met het beveiligingsprobleem?
Een aanvaller kan deze certificaten gebruiken om inhoud te spoofen, phishingaanvallen uit te voeren of man-in-the-middle-aanvallen uit te voeren tegen alle webbrowsergebruikers, waaronder gebruikers van Internet Explorer.

Wat is een man-in-the-middle aanval?
Een man-in-the-middle-aanval treedt op wanneer een aanvaller de communicatie tussen twee gebruikers omleiden via de computer van de aanvaller zonder de kennis van de twee communicerende gebruikers. Elke gebruiker in de communicatie verzendt onbewust verkeer naar en ontvangt verkeer van de aanvaller, terwijl ze denken dat ze alleen communiceren met de beoogde gebruiker.

Wat is de procedure voor het intrekken van een certificaat?
Er is een standaardprocedure waarmee Comodo kan voorkomen dat deze certificaten worden geaccepteerd als ze worden gebruikt. Elke certificaatverlener genereert periodiek een CRL, waarin alle certificaten worden vermeld die als ongeldig moeten worden beschouwd. Elk certificaat moet een stukje gegevens opgeven dat het CRL-distributiepunt (CDP) wordt genoemd, dat de locatie aangeeft waar de CRL kan worden verkregen.

Een alternatieve manier voor webbrowsers om de identiteit van een digitaal certificaat te valideren, is door het Online Certificate Status Protocol (OCSP) te gebruiken. OCSP maakt interactieve validatie van een certificaat mogelijk door verbinding te maken met een OCSP-responder, gehost door de certificeringsinstantie (CA) die het digitale certificaat heeft ondertekend. Elk certificaat moet een aanwijzer opgeven naar de OCSP-antwoordlocatie via de AIA-extensie (Authority Information Access) in het certificaat. Daarnaast kan OCSP-koppeling de webserver zelf een OCSP-validatieantwoord geven aan de client.

OCSP-validatie is standaard ingeschakeld in Internet Explorer 7 en latere versies van Internet Explorer op ondersteunde edities van Windows Vista, Windows Server 2008, Windows 7 en Windows Server 2008 R2. Als de OCSP-validatiecontrole op deze besturingssystemen mislukt, valideert de browser het certificaat door contact op te nemen met de CRL-locatie.

Zie het TechNet-artikel, certificaatintrekking en statuscontrole voor meer informatie over certificaatintrekkingscontrole.

Wat is een certificaatintrekkingslijst (CRL)?
CRL is een digitaal ondertekende lijst, uitgegeven door een CA, die een lijst bevat met certificaten die zijn uitgegeven door de CA en die vervolgens door de CA worden ingetrokken. Voor elk ingetrokken certificaat bevat de vermelding het serienummer van het certificaat, de datum waarop het certificaat is ingetrokken en de reden voor intrekking. Toepassingen kunnen CRL-controles uitvoeren om de intrekkingsstatus van een gepresenteerd certificaat te bepalen.

Wat is CRL-distributiepunt (CDP)?
CDP is een certificaatextensie die aangeeft waar de certificaatintrekkingslijst voor een CA kan worden opgehaald. Het kan geen, één of veel HTTP-, bestand- of LDAP-URL's bevatten.

Wat is Online Certificate Status Protocol (OCSP)?
OCSP is een protocol waarmee realtime validatie van de status van een certificaat mogelijk is. Normaal gesproken reageert een OCSP-beantwoorder met de intrekkingsstatus op basis van de CRL die is opgehaald uit de CA.

Wat doet Microsoft om dit probleem op te lossen?
Hoewel dit probleem niet het gevolg is van een probleem in een Microsoft-product, hebben we niettemin een update ontwikkeld die klanten zal helpen beschermen door ervoor te zorgen dat deze negen frauduleuze certificaten altijd worden behandeld als niet-vertrouwd.

Als er geen probleem is in Microsoft-software, waarom brengt Microsoft een update uit?
Zelfs wanneer CRL- en OCSP-validatie is ingeschakeld, zijn validatietechnieken niet voldoende robuust om te garanderen dat gebruikers worden beschermd tegen schadelijk gebruik van deze certificaten. Wanneer de CRL-locatie en OCSP-responder kunnen worden bereikt, zijn validatiecontroles zeer betrouwbaar en effectief.

Wanneer certificaatintrekkingscontroles echter mislukken vanwege netwerk- en verbindingsproblemen, kunnen browsers en andere clienttoepassingen, waaronder Internet Explorer, deze fouten negeren en het certificaat betrouwbaar achten vanwege het gebrek aan bewijs anders. In deze scenario's kunnen klanten nog steeds worden beïnvloed.

**Wat doet de update? ** De update voor ondersteunde versies van Microsoft Windows lost het probleem op door de negen frauduleuze certificaten in het lokale niet-vertrouwde certificaatarchief van Microsoft Windows te plaatsen. De updates voor Windows Mobile 6.x-, Windows Telefoon 7- en Gegroepeerd HD-apparaten verhelpen het probleem door de negen frauduleuze certificaten in het lokale niet-vertrouwde certificaatarchief op het apparaat te plaatsen. De update voor Microsoft Kin is momenteel niet beschikbaar.

Hoe kan ik weten of er een ongeldige certificaatfout is opgetreden?
Wanneer Internet Explorer een ongeldig certificaat tegenkomt, krijgen gebruikers een webpagina te zien met de tekst 'Er is een probleem met het beveiligingscertificaat van deze website'. Gebruikers worden aangeraden de webpagina te sluiten en weg te navigeren van de site wanneer dit waarschuwingsbericht wordt weergegeven.

Gebruikers krijgen dit bericht alleen te zien wanneer wordt vastgesteld dat het certificaat ongeldig is, bijvoorbeeld wanneer de gebruiker certificaatintrekkingslijst (CRL) of OCSP-validatie (Online Certificate Status Protocol) heeft ingeschakeld. OCSP-validatie is standaard ingeschakeld in Internet Explorer 7 en latere versies van Internet Explorer op ondersteunde edities van Windows Vista, Windows Server 2008, Windows 7 en Windows Server 2008 R2.

Hoe kan ik na het toepassen van de update de certificaten in de map Niet-vertrouwde certificaten controleren?
Zie het MSDN-artikel Instructies voor het weergeven van certificaten: Certificaten weergeven met de MMC-module voor meer informatie over het weergeven van certificaten.

Controleer in de MMC-module Certificaten of de volgende certificaten zijn toegevoegd aan de map Niet-vertrouwde certificaten:

Voorgestelde acties

De update installeren

Er is een update beschikbaar om dit probleem op te lossen.

• Voor ondersteunde versies van Microsoft Windows

  Het merendeel van de klanten heeft automatische updates ingeschakeld en hoeft geen actie te ondernemen omdat deze update automatisch wordt gedownload en geïnstalleerd. Klanten die automatische updates niet hebben ingeschakeld, moeten controleren op updates en deze update handmatig installeren. Zie het Microsoft Knowledge Base-artikel 294871 voor meer informatie over specifieke configuratieopties bij het automatisch bijwerken.

  Voor beheerders en bedrijfsinstallaties of eindgebruikers die deze update handmatig willen installeren, raadt Microsoft klanten aan de update onmiddellijk toe te passen met behulp van updatebeheersoftware of door te controleren op updates met behulp van de Microsoft Update-service .

  De update is ook beschikbaar via het Microsoft Downloadcentrum; zie Het Microsoft Knowledge Base-artikel 2524375 voor downloadkoppelingen.

• Voor Windows Telefoon 7-apparaten

  Op het moment van release is de update niet beschikbaar voor alle Windows Telefoon 7-klanten. In plaats daarvan ontvangen klanten een melding op het apparaat zodra de update beschikbaar is voor hun telefoon. Voor meer informatie of het installeren van de update moeten klanten van Windows Telefoon 7 hun telefoon verbinden met een computer en de Cate PC-client of Windows Telefoon 7 Verbinding maken or (voor Mac) gebruiken om het updateproces te voltooien. Zie het Microsoft Knowledge Base-artikel 2524375 voor meer informatie over de update.

  Klanten kunnen automatische updates configureren om online te controleren op updates van Microsoft Update met behulp van de Microsoft Update-service om de Opgegeven PC-client bij te werken. Klanten die automatisch bijwerken hebben ingeschakeld en geconfigureerd om online te controleren op updates van Microsoft Update, hoeven doorgaans geen actie te ondernemen om hun Opgegeven-software bij te werken, omdat deze update automatisch wordt gedownload en geïnstalleerd.

• Voor Windows Mobile 6.x-apparaten

  De update is beschikbaar om te downloaden via het Microsoft Downloadcentrum. Zie het Microsoft Knowledge Base-artikel 2524375 voor meer informatie over de update- en downloadkoppelingen.

• Voor Cate HD-apparaten

  De update is beschikbaar via de Opgegeven PC-client. De update wordt toegepast wanneer het Opgegeven HD-apparaat is verbonden met de bijgewerktesoftware. Zie het Microsoft Knowledge Base-artikel 2524375 voor meer informatie over de update.

  Klanten kunnen automatische updates configureren om online te controleren op updates van Microsoft Update met behulp van de Microsoft Update-service om de Opgegeven PC-client bij te werken. Klanten die automatisch bijwerken hebben ingeschakeld en geconfigureerd om online te controleren op updates van Microsoft Update, hoeven doorgaans geen actie te ondernemen om hun Opgegeven-software bij te werken, omdat deze update automatisch wordt gedownload en geïnstalleerd.

Aanvullende voorgestelde acties

• Bekijk het Microsoft Knowledge Base-artikel dat is gekoppeld aan dit advies

  Zie het Microsoft Knowledge Base-artikel 2524375 voor meer informatie over dit probleem.

• Uw pc beveiligen

  We blijven klanten aanmoedigen om onze richtlijnen voor uw computer beveiligen te volgen voor het inschakelen van een firewall, het ophalen van software-updates en het installeren van antivirussoftware. Klanten kunnen meer informatie over deze stappen vinden door naar Uw computer beveiligen te gaan.

  Ga naar Microsoft Security Central voor meer informatie over veilig blijven op internet.

• Microsoft-software bijgewerkt houden

  Gebruikers met Microsoft-software moeten de nieuwste Beveiligingsupdates van Microsoft toepassen om ervoor te zorgen dat hun computers zo beveiligd mogelijk zijn. Als u niet zeker weet of uw software up-to-date is, gaat u naar Microsoft Update, scant u uw computer op beschikbare updates en installeert u eventuele updates met hoge prioriteit die aan u worden aangeboden. Als u automatische updates hebt ingeschakeld en geconfigureerd om updates voor Microsoft-producten te bieden, worden de updates aan u geleverd wanneer ze worden uitgebracht, maar controleert u of ze zijn geïnstalleerd.

Overige informatie

Microsoft Active Protections Program (MAPP)

Om de beveiliging voor klanten te verbeteren, biedt Microsoft informatie over beveiligingsproblemen aan belangrijke beveiligingssoftwareproviders voorafgaand aan elke maandelijkse beveiligingsupdaterelease. Beveiligingssoftwareproviders kunnen deze beveiligingsinformatie vervolgens gebruiken om bijgewerkte beveiligingen te bieden aan klanten via hun beveiligingssoftware of -apparaten, zoals antivirussoftware, netwerkgebaseerde inbraakdetectiesystemen of systemen voor inbraakpreventie op basis van een host. Als u wilt bepalen of actieve beveiligingen beschikbaar zijn bij beveiligingssoftwareproviders, gaat u naar de actieve beveiligingswebsites die worden geleverd door programmapartners, vermeld in MAPP-partners (Microsoft Active Protections Program).

Feedback

• U kunt feedback geven door het Microsoft Help- en ondersteuningsformulier, de klantenservice contact met ons op te geven.

Ondersteuning

• Klanten in de Verenigde Staten en Canada kunnen technische ondersteuning van Security Support ontvangen. Zie Microsoft Help en ondersteuning voor meer informatie over beschikbare ondersteuningsopties.
• Internationale klanten kunnen ondersteuning krijgen van hun lokale Microsoft-dochterondernemingen. Ga naar Internationale ondersteuning voor meer informatie over hoe u contact kunt opnemen met Microsoft voor internationale ondersteuningsproblemen.
• Microsoft TechNet Security biedt aanvullende informatie over beveiliging in Microsoft-producten.

Vrijwaring

De informatie die in dit advies wordt verstrekt, wordt "zoals zodanig" verstrekt zonder enige garantie. Microsoft wijst alle garanties af, hetzij uitdrukkelijk of impliciet, met inbegrip van de garanties van verkoopbaarheid en geschiktheid voor een bepaald doel. In geen geval is Microsoft Corporation of haar leveranciers aansprakelijk voor enige schade, waaronder directe, indirecte, incidentele, gevolgschade, verlies van bedrijfswinst of speciale schade, zelfs als Microsoft Corporation of haar leveranciers op de hoogte zijn gesteld van de mogelijkheid van dergelijke schade. Sommige staten staan de uitsluiting of beperking van aansprakelijkheid voor gevolgschade of incidentele schade niet toe, zodat de voorgaande beperking mogelijk niet van toepassing is.

Revisies

• V1.0 (23 maart 2011): Advies gepubliceerd.
• V2.0 (19 april 2011): Windows Mobile 6.x, Windows Telefoon 7, Microsoft Kin en Opgegeven-apparaten toegevoegd aan betrokken software en apparaten.
• V3.0 (3 mei 2011): Kondigde de release van een update voor Windows Telefoon 7-apparaten aan. De update is niet beschikbaar voor alle klanten op het moment van release; zie de veelgestelde vragen over advies voor meer informatie.
• V4.0 (10 mei 2011): Aankondiging van de release van een update voor Windows Mobile 6.x-apparaten.
• V5.0 (6 juli 2011): Kondigt de release van een update voor Opgegeven HD-apparaten aan en verplaatsteapparaten naar de tabel Niet-beïnvloede apparaten.

Gebouwd op 2014-04-18T13:49:36Z-07:00