Beveiligingsadvies

Microsoft Security Advisory 2607712

Frauduleuze digitale certificaten kunnen adresvervalsing toestaan

Gepubliceerd: 29 augustus 2011 | Bijgewerkt: 19 september 2011

Versie: 5.0

Algemene gegevens

Samenvatting

Microsoft is op de hoogte van actieve aanvallen met ten minste één frauduleus digitaal certificaat dat is uitgegeven door DigiNotar, een certificeringsinstantie die aanwezig is in het archief vertrouwde basiscertificeringsinstanties. Een frauduleus certificaat kan worden gebruikt om inhoud te spoofen, phishingaanvallen uit te voeren of man-in-the-middle-aanvallen uit te voeren tegen alle webbrowsergebruikers, waaronder gebruikers van Internet Explorer. Hoewel dit geen beveiligingsprobleem is in een Microsoft-product, is dit probleem van invloed op alle ondersteunde versies van Microsoft Windows.

Microsoft blijft dit probleem onderzoeken. Op basis van voorlopig onderzoek biedt Microsoft op 13 september 2011 een nieuwe update (KB2616676) voor alle ondersteunde versies van Microsoft Windows die de vertrouwensrelatie van de volgende DigiNotar-basiscertificaten intrekt door ze in het Microsoft Untrusted Certificate Store te plaatsen:

• DigiNotar-basis-CA
• DigiNotar Root CA G2
• DigiNotar PKIoverheid CA Overheid
• DigiNotar PKIoverheid CA Organisatie - G2
• DigiNotar PKIoverheid CA Overheid en Bedrijven
• DigiNotar-basis-CA uitgegeven door Entrust (2 certificaten)
• DigiNotar Services 1024 CA uitgegeven door Entrust
• DigiNotar Cyber CA uitgegeven door GTE CyberTrust (3 certificaten)

Aanbeveling. Microsoft raadt klanten aan om de update onmiddellijk toe te passen met behulp van updatebeheersoftware of door te controleren op updates met behulp van de Microsoft Update-service . Zie de sectie Voorgestelde acties van dit advies voor meer informatie.

Bekende problemen.Microsoft Knowledge Base-artikel 2616676 documenten over de momenteel bekende problemen die klanten kunnen ondervinden bij het installeren van deze update. In het artikel worden ook aanbevolen oplossingen voor deze problemen beschreven.

Adviesdetails

Probleemverwijzingen

Zie de volgende verwijzingen voor meer informatie over dit probleem:

Betrokken software en apparaten

In dit advies worden de volgende software en apparaten besproken.

*De installatie van Server Core is beïnvloed. Dit advies is van toepassing op ondersteunde edities van Windows Server 2008 of Windows Server 2008 R2, zoals aangegeven, ongeacht of deze al dan niet zijn geïnstalleerd met behulp van de Server Core-installatieoptie. Zie de TechNet-artikelen over het beheren van een Server Core-installatie en onderhoud van een Server Core-installatie voor meer informatie over deze installatieoptie. Houd er rekening mee dat de Server Core-installatieoptie niet van toepassing is op bepaalde edities van Windows Server 2008 en Windows Server 2008 R2; zie Server Core-installatieopties vergelijken.

Veelgestelde vragen

Waarom is dit advies herzien op 19 september 2011?
Microsoft heeft dit advies herzien om de herrelease van de KB2616676 update aan te kondigen. De herrelease is nu cumulatief en lost een bekend probleem op dat wordt beschreven in het Microsoft Knowledge Base-artikel 2616676 waarbij de oorspronkelijke update van KB2616676, alleen op ondersteunde edities van Windows XP en Windows Server 2003, niet de digitale certificaten bevat die zijn opgenomen in de KB2607712- en KB2524375-updates.

Klanten van ondersteunde edities van Windows XP en Windows Server 2003 moeten de opnieuw uitgebrachte versie van de KB2616676-update toepassen om te worden beveiligd tegen het gebruik van frauduleuze certificaten zoals opgegeven in dit advies. Klanten van ondersteunde edities van Windows Vista, Windows 7, Windows Server 2008 en Windows Server 2008 R2 worden niet beïnvloed door deze herrelease.

Opmerking De update wordt niet aangeboden aan klanten van ondersteunde edities van Windows XP en Windows Server 2003 in het geval dat de oorspronkelijke KB2616676, KB2607712 en KB2524375 updates allemaal eerder zijn toegepast omdat het rerelease-pakket cumulatief is en alle wijzigingen van deze drie updatepakketten bevat.

Het merendeel van de klanten heeft automatische updates ingeschakeld en hoeft geen actie te ondernemen omdat de opnieuw uitgebrachte KB2616676-update automatisch wordt gedownload en geïnstalleerd.

Wordt Windows Developer Preview beïnvloed door dit probleem?
Ja. De KB2616676-update is beschikbaar voor de Windows Developer Preview-versie. Klanten van Windows Developer Preview worden aangemoedigd om de update toe te passen op hun systemen. De update is alleen beschikbaar in Windows Update.

Waarom is dit advies herzien op 13 september 2011?
Microsoft heeft dit advies herzien om de release van de KB2616676 update aan te kondigen waarmee dit probleem wordt opgelost. De update voegt zes extra DigiNotar-basiscertificaten toe die door Entrust of GTE zijn ondertekend aan het Microsoft Untrusted Certificate Store. De KB2616676-update vervangt de KB2607712-update en bevat ook de vorige vijf DigiNotar-basiscertificaten die zijn toegevoegd aan het Microsoft Untrusted Certificate Store door de KB2607712-update.

Hoewel de KB2616676-update de KB2607712-update vervangt, is de KB2607712-update geen vereiste voor de KB2616676-update. Ongeacht of de KB2607712 update is toegepast, moeten klanten de KB2616676-update toepassen om het probleem dat in dit advies wordt beschreven, op te lossen. Klanten die de KB2616676-update toepassen, hoeven de KB2607712-update niet toe te passen.

Waarom is dit advies herzien op 6 september 2011?
Microsoft heeft dit advies herzien om de release van een update aan te kondigen waarmee dit probleem wordt opgelost. Met de update worden vijf DigiNotar-basiscertificaten toegevoegd aan het Microsoft Untrusted Certificate Store. Normaal gesproken is er geen actie vereist voor klanten om deze update te installeren, omdat het merendeel van de klanten automatische updates heeft ingeschakeld en deze update automatisch wordt gedownload en geïnstalleerd. Zie het Microsoft Knowledge Base-artikel 2607712 voor informatie over het handmatig toepassen van de update voor klanten die geen automatische updates hebben ingeschakeld.

Op 29 augustus 2011 heeft Microsoft de vertrouwensrelatie verwijderd uit één DigiNotar-basiscertificaat door de Microsoft CTL bij te werken. Waarom brengt Microsoft een update uit?
Windows Vista, Windows 7, Windows Server 2008 en Windows Server 2008 R2 gebruiken de Vertrouwenslijst van Microsoft-certificaten om de vertrouwensrelatie van een certificeringsinstantie te valideren. Windows XP en Windows Server 2003 gebruiken niet de Vertrouwenslijst van Microsoft-certificaten om de vertrouwensrelatie van een certificeringsinstantie te valideren. Als gevolg hiervan is een update nodig voor alle edities van Windows XP en Windows Server 2003 om klanten te beveiligen.

Na de CTL-update op 29 augustus 2011, Windows Vista, Windows 7, Windows Server 2008 en Windows Server 2008 R2-gebruikers die toegang hebben tot een website die is ondertekend door een niet-vertrouwd DigiNotar-basiscertificaat, wordt een waarschuwingsbericht weergegeven dat aangeeft dat de vertrouwensrelatie van het certificaat niet kan worden geverifieerd. Gebruikers konden door dit waarschuwingsbericht klikken om toegang te krijgen tot de site.

Om klanten uitgebreider te beschermen tegen mogelijke man-in-the-middle-aanvallen, brengt Microsoft een update uit die aanvullende maatregelen neemt om klanten te beschermen door volledig te voorkomen dat Internet Explorer-gebruikers toegang hebben tot bronnen van websites die certificaten bevatten die zijn ondertekend door de niet-vertrouwde DigiNotar-basiscertificaten. Internet Explorer-gebruikers die deze update toepassen, krijgen een foutbericht te zien wanneer ze toegang proberen te krijgen tot een website die is ondertekend door een van de bovenstaande DigiNotar-basiscertificaten. Deze gebruikers kunnen geen toegang meer krijgen tot de website.

Wat doet de KB2616676-update?
In alle ondersteunde versies van Microsoft Windows voegt de KB2616676 update elf DigiNotar-basiscertificaten toe aan het Microsoft Untrusted Certificate Store. Daarnaast bevat de KB2616676 update ook de certificaten in de KB2524375 update die is uitgebracht op 6 juli 2011.

Hoe verandert deze update de gebruikerservaring bij het openen van een website die is versleuteld met TLS en ondertekend door een niet-vertrouwd DigiNotar-basiscertificaat?
Internet Explorer-gebruikers die toegang proberen te krijgen tot een website die is ondertekend door een niet-vertrouwd DigiNotar-basiscertificaat, worden gevraagd met een foutbericht. Als gevolg van het feit dat dit certificaat zich in het microsoft niet-vertrouwde certificaatarchief bevindt, kunnen gebruikers niet doorgaan naar de website. De website blijft niet beschikbaar totdat het websitecertificaat wordt vervangen door een nieuw certificaat dat is ondertekend door een vertrouwd basiscertificaat.

Hoe kan ik na het toepassen van de update de certificaten in het Microsoft Untrusted Certificates Store verifiëren?
Zie het MSDN-artikel over het weergeven van certificaten voor informatie over het weergeven van certificaten: Certificaten weergeven met de MMC-module.

Controleer in de MMC-module Certificaten of de volgende certificaten zijn toegevoegd aan de map Niet-vertrouwde certificaten:

*Certificaat toegevoegd aan de map Niet-vertrouwde certificaten door deze updates.

De KB2616676-update bevat ook de certificaten in de KB2524375-update die is toegevoegd aan de map Niet-vertrouwde certificaten.

Wat is het bereik van het advies?
Het doel van dit advies is om klanten op de hoogte te stellen dat Microsoft ten minste één frauduleus certificaat heeft uitgegeven door DigiNotar en wordt gebruikt bij actieve aanvallen. Microsoft heeft een update uitgegeven voor alle ondersteunde versies van Microsoft Windows waarmee het probleem wordt opgelost.

Wat is cryptografie?
Cryptografie is de wetenschap van het beveiligen van gegevens door deze te converteren tussen de normale, leesbare status (ook wel tekst zonder opmaak genoemd) en een waarin de gegevens worden verborgen (ook wel ciphertext genoemd).

In alle vormen van cryptografie wordt een waarde gebruikt die bekend staat als een sleutel in combinatie met een procedure die een cryptoalgoritme wordt genoemd om gegevens zonder opmaak te transformeren in coderingstekst. In het meest bekende type cryptografie, geheime-sleutelcryptografie, wordt de coderingstekst weer omgezet in tekst zonder opmaak met behulp van dezelfde sleutel. In een tweede type cryptografie, openbare-sleutelcryptografie, wordt echter een andere sleutel gebruikt om de coderingstekst terug te zetten in tekst zonder opmaak.

Wat is een digitaal certificaat?
In openbare-sleutelcryptografie moet een van de sleutels, ook wel de persoonlijke sleutel genoemd, geheim worden gehouden. De andere sleutel, ook wel de openbare sleutel genoemd, is bedoeld om te worden gedeeld met de wereld. Er moet echter een manier zijn voor de eigenaar van de sleutel om de wereld te vertellen waartoe de sleutel behoort. Digitale certificaten bieden een manier om dit te doen. Een digitaal certificaat is een manipulatiebestendig stukje gegevens waarmee een openbare sleutel wordt verpakt, samen met informatie over het certificaat- wie eigenaar is, waarvoor het kan worden gebruikt, wanneer deze verloopt, enzovoort.

Waarvoor worden certificaten gebruikt?
Certificaten worden voornamelijk gebruikt om de identiteit van een persoon of apparaat te verifiëren, een service te verifiëren of bestanden te versleutelen. Normaal gesproken hoeft u helemaal niet na te denken over certificaten. Mogelijk ziet u echter een bericht waarin wordt aangegeven dat een certificaat is verlopen of ongeldig is. In die gevallen moet u de instructies in het bericht volgen.

Wat is een certificeringsinstantie (CA)?
Certificeringsinstanties zijn de organisaties die certificaten uitgeven. Ze bepalen en verifiëren de echtheid van openbare sleutels die deel uitmaken van personen of andere certificeringsinstanties en ze verifiëren de identiteit van een persoon of organisatie die om een certificaat vraagt.

Wat is een certificaatvertrouwenslijst (CTL)?
Er moet een vertrouwensrelatie bestaan tussen de ontvanger van een ondertekend bericht en de ondertekenaar van het bericht. Een methode om deze vertrouwensrelatie tot stand te brengen, is via een certificaat, een elektronisch document dat controleert of entiteiten of personen zijn die zij beweren te zijn. Een certificaat wordt uitgegeven aan een entiteit door een derde partij die wordt vertrouwd door beide andere partijen. Elke geadresseerde van een ondertekend bericht bepaalt dus of de verlener van het certificaat van de ondertekenaar betrouwbaar is. CryptoAPI heeft een methodologie geïmplementeerd om toepassingsontwikkelaars toe te staan toepassingen te maken die automatisch certificaten verifiëren op basis van een vooraf gedefinieerde lijst met vertrouwde certificaten of basiscertificaten. Deze lijst met vertrouwde entiteiten (ook wel onderwerpen genoemd) wordt een certificaatvertrouwenslijst (CTL) genoemd. Zie het MSDN-artikel, Verificatie van certificaatvertrouwen voor meer informatie.

Wat heeft het probleem veroorzaakt?
Microsoft is op de hoogte van actieve aanvallen met ten minste één frauduleus digitaal certificaat dat is uitgegeven door DigiNotar, een certificeringsinstantie die aanwezig is in het archief vertrouwde basiscertificeringsinstanties. Een frauduleus certificaat kan worden gebruikt om inhoud te spoofen, phishingaanvallen uit te voeren of man-in-the-middle-aanvallen uit te voeren tegen alle webbrowsergebruikers, waaronder gebruikers van Internet Explorer. Hoewel dit geen beveiligingsprobleem is in een Microsoft-product, is dit probleem van invloed op alle ondersteunde versies van Microsoft Windows.

Wat kan een aanvaller doen met het beveiligingsprobleem?
Een aanvaller kan deze certificaten gebruiken om inhoud te spoofen, phishingaanvallen uit te voeren of man-in-the-middle-aanvallen uit te voeren tegen alle webbrowsergebruikers, waaronder gebruikers van Internet Explorer.

Wat is een man-in-the-middle aanval?
Een man-in-the-middle-aanval treedt op wanneer een aanvaller de communicatie tussen twee gebruikers omleiden via de computer van de aanvaller zonder de kennis van de twee communicerende gebruikers. Elke gebruiker in de communicatie verzendt onbewust verkeer naar en ontvangt verkeer van de aanvaller, terwijl ze denken dat ze alleen communiceren met de beoogde gebruiker.

Wat is de procedure voor het intrekken van een certificaat?
Er is een standaardprocedure waarmee een certificeringsinstantie kan voorkomen dat certificaten worden geaccepteerd als ze worden gebruikt. Elke certificaatverlener genereert periodiek een CRL, waarin alle certificaten worden vermeld die als ongeldig moeten worden beschouwd. Elk certificaat moet een stukje gegevens opgeven dat het CRL-distributiepunt (CDP) wordt genoemd, dat de locatie aangeeft waar de CRL kan worden verkregen.

Een alternatieve manier voor webbrowsers om de identiteit van een digitaal certificaat te valideren, is door het Online Certificate Status Protocol (OCSP) te gebruiken. OCSP maakt interactieve validatie van een certificaat mogelijk door verbinding te maken met een OCSP-responder, gehost door de certificeringsinstantie (CA) die het digitale certificaat heeft ondertekend. Elk certificaat moet een aanwijzer opgeven naar de OCSP-antwoordlocatie via de AIA-extensie (Authority Information Access) in het certificaat. Daarnaast kan OCSP-koppeling de webserver zelf een OCSP-validatieantwoord geven aan de client.

OCSP-validatie is standaard ingeschakeld in Internet Explorer 7 en latere versies van Internet Explorer op ondersteunde edities van Windows Vista, Windows Server 2008, Windows 7 en Windows Server 2008 R2. Als de OCSP-validatiecontrole op deze besturingssystemen mislukt, valideert de browser het certificaat door contact op te nemen met de CRL-locatie.

Zie het TechNet-artikel, certificaatintrekking en statuscontrole voor meer informatie over certificaatintrekkingscontrole.

Wat is een certificaatintrekkingslijst (CRL)?
CRL is een digitaal ondertekende lijst, uitgegeven door een CA, die een lijst bevat met certificaten die zijn uitgegeven door de CA en die vervolgens door de CA worden ingetrokken. Voor elk ingetrokken certificaat bevat de vermelding het serienummer van het certificaat, de datum waarop het certificaat is ingetrokken en de reden voor intrekking. Toepassingen kunnen CRL-controles uitvoeren om de intrekkingsstatus van een gepresenteerd certificaat te bepalen.

Wat is CRL-distributiepunt (CDP)?
CDP is een certificaatextensie die aangeeft waar de certificaatintrekkingslijst voor een CA kan worden opgehaald. Het kan geen, één of veel HTTP-, bestand- of LDAP-URL's bevatten.

Wat is Online Certificate Status Protocol (OCSP)?
OCSP is een protocol waarmee realtime validatie van de status van een certificaat mogelijk is. Normaal gesproken reageert een OCSP-beantwoorder met de intrekkingsstatus op basis van de CRL die is opgehaald uit de CA.

Wat doet Microsoft om dit probleem op te lossen?
Hoewel dit probleem niet het gevolg is van een probleem in een Microsoft-product, hebben we de vertrouwenslijst met certificaten toch bijgewerkt om de vertrouwensrelatie in het DigiNotar-basiscertificaat te verwijderen. Microsoft blijft dit probleem onderzoeken en kan een toekomstige update vrijgeven om klanten te beschermen.

Hoe kan ik weten of er een ongeldige certificaatfout is opgetreden?
Wanneer Internet Explorer een ongeldig certificaat tegenkomt, krijgen gebruikers een webpagina te zien met de tekst 'Er is een probleem met het beveiligingscertificaat van deze website'. Gebruikers worden aangeraden de webpagina te sluiten en weg te navigeren van de site wanneer dit waarschuwingsbericht wordt weergegeven.

Gebruikers krijgen dit bericht alleen te zien wanneer wordt vastgesteld dat het certificaat ongeldig is, bijvoorbeeld wanneer de gebruiker certificaatintrekkingslijst (CRL) of OCSP-validatie (Online Certificate Status Protocol) heeft ingeschakeld. OCSP-validatie is standaard ingeschakeld in Internet Explorer 7 en latere versies van Internet Explorer op ondersteunde edities van Windows Vista, Windows Server 2008, Windows 7 en Windows Server 2008 R2.

Voorgestelde acties

Voor ondersteunde versies van Microsoft Windows

Het merendeel van de klanten heeft automatische updates ingeschakeld en hoeft geen actie te ondernemen omdat de KB2616676-update automatisch wordt gedownload en geïnstalleerd. Klanten die automatische updates niet hebben ingeschakeld, moeten controleren op updates en deze update handmatig installeren. Zie het Microsoft Knowledge Base-artikel 294871 voor meer informatie over specifieke configuratieopties bij het automatisch bijwerken.

Voor beheerders en bedrijfsinstallaties of eindgebruikers die de KB2616676-update handmatig willen installeren, raadt Microsoft klanten aan de update onmiddellijk toe te passen met behulp van updatebeheersoftware of door te controleren op updates met behulp van de Microsoft Update-service . Zie het Microsoft Knowledge Base-artikel 2616676 voor meer informatie over het handmatig toepassen van de update.

Hoewel de KB2616676-update de KB2607712-update vervangt, is de KB2607712-update geen vereiste voor de KB2616676-update. Ongeacht of de KB2607712 update is toegepast, moeten klanten de KB2616676-update toepassen om het probleem dat in dit advies wordt beschreven, op te lossen. Klanten die de KB2616676-update toepassen, hoeven de KB2607712-update niet toe te passen.

Aanvullende voorgestelde acties

• Uw pc beveiligen

  We blijven klanten aanmoedigen om onze richtlijnen voor uw computer beveiligen te volgen voor het inschakelen van een firewall, het ophalen van software-updates en het installeren van antivirussoftware. Klanten kunnen meer informatie over deze stappen vinden door naar Uw computer beveiligen te gaan.

  Ga naar Microsoft Security Central voor meer informatie over veilig blijven op internet.

• Microsoft-software bijgewerkt houden

  Gebruikers met Microsoft-software moeten de nieuwste Beveiligingsupdates van Microsoft toepassen om ervoor te zorgen dat hun computers zo beveiligd mogelijk zijn. Als u niet zeker weet of uw software up-to-date is, gaat u naar Microsoft Update, scant u uw computer op beschikbare updates en installeert u eventuele updates met hoge prioriteit die aan u worden aangeboden. Als u automatische updates hebt ingeschakeld en geconfigureerd om updates voor Microsoft-producten te bieden, worden de updates aan u geleverd wanneer ze worden uitgebracht, maar controleert u of ze zijn geïnstalleerd.

Overige informatie

Microsoft Active Protections Program (MAPP)

Om de beveiliging voor klanten te verbeteren, biedt Microsoft informatie over beveiligingsproblemen aan belangrijke beveiligingssoftwareproviders voorafgaand aan elke maandelijkse beveiligingsupdaterelease. Beveiligingssoftwareproviders kunnen deze beveiligingsinformatie vervolgens gebruiken om bijgewerkte beveiligingen te bieden aan klanten via hun beveiligingssoftware of -apparaten, zoals antivirussoftware, netwerkgebaseerde inbraakdetectiesystemen of systemen voor inbraakpreventie op basis van een host. Als u wilt bepalen of actieve beveiligingen beschikbaar zijn bij beveiligingssoftwareproviders, gaat u naar de actieve beveiligingswebsites die worden geleverd door programmapartners, vermeld in MAPP-partners (Microsoft Active Protections Program).

Feedback

• U kunt feedback geven door het Microsoft Help- en ondersteuningsformulier, de klantenservice contact met ons op te geven.

Ondersteuning

• Klanten in de Verenigde Staten en Canada kunnen technische ondersteuning van Security Support ontvangen. Zie Microsoft Help en ondersteuning voor meer informatie over beschikbare ondersteuningsopties.
• Internationale klanten kunnen ondersteuning krijgen van hun lokale Microsoft-dochterondernemingen. Ga naar Internationale ondersteuning voor meer informatie over hoe u contact kunt opnemen met Microsoft voor internationale ondersteuningsproblemen.
• Microsoft TechNet Security biedt aanvullende informatie over beveiliging in Microsoft-producten.

Vrijwaring

De informatie die in dit advies wordt verstrekt, wordt "zoals zodanig" verstrekt zonder enige garantie. Microsoft wijst alle garanties af, hetzij uitdrukkelijk of impliciet, met inbegrip van de garanties van verkoopbaarheid en geschiktheid voor een bepaald doel. In geen geval is Microsoft Corporation of haar leveranciers aansprakelijk voor enige schade, waaronder directe, indirecte, incidentele, gevolgschade, verlies van bedrijfswinst of speciale schade, zelfs als Microsoft Corporation of haar leveranciers op de hoogte zijn gesteld van de mogelijkheid van dergelijke schade. Sommige staten staan de uitsluiting of beperking van aansprakelijkheid voor gevolgschade of incidentele schade niet toe, zodat de voorgaande beperking mogelijk niet van toepassing is.

Revisies

• V1.0 (29 augustus 2011): Advies gepubliceerd.
• V2.0 (29 augustus 2011): Gewijzigd om het onjuiste adviesnummer te corrigeren.
• V3.0 (6 september 2011): Herzien om de release van een update aan te kondigen waarmee dit probleem wordt opgelost.
• V4.0 (13 september 2011): Herzien om de release van de KB2616676-update aan te kondigen waarmee het probleem wordt opgelost dat in dit advies wordt beschreven.
• V4.1 (13 september 2011): Herzien om de beschikbaarheid van de KB2616676-update voor de Release van Windows Developer Preview aan te kondigen. Zie de veelgestelde vragen over updates in dit advies voor meer informatie.
• V5.0 (19 september 2011): Herzien om de herrelease van de KB2616676-update aan te kondigen. Zie de veelgestelde vragen over updates in dit advies voor meer informatie.

Gebouwd op 2014-04-18T13:49:36Z-07:00