Exportar (0) Imprimir
Expandir Tudo

Comunicado de Segurança da Microsoft 2718704

Certificados digitais não autorizados podem permitir falsificação

Publicado: domingo, 3 de junho de 2012 | Atualizado: quarta-feira, 13 de junho de 2012

Versão: 1.1

Informações Gerais

Sinopse

A Microsoft está ciente de ataques ativos usando certificados digitais não autorizados derivados de uma autoridade de certificação da Microsoft. Um certificado não autorizado pode ser usado para falsificar conteúdo, executar ataques de phishing ou executar ataques a intermediários. Este problema afeta todas as versões suportadas do Microsoft Windows.

A Microsoft está oferecendo uma atualização para todas as versões suportadas do Microsoft Windows. A atualização revoga a confiança dos seguintes certificados CA intermediários:

  • A Microsoft impôs o licenciamento da PCA intermediária (2 certificados)
  • A Microsoft impôs o licenciamento da CA de autoridade de registro (SHA1)

Recomendação. Para as versões suportadas do Microsoft Windows, a Microsoft recomenda aos clientes aplicarem a atualização imediatamente usando o software de gerenciamento de atualização ou verificando as atualizações por meio do serviço Microsoft Update. Para obter mais informações, consulte a seção Ações sugeridas deste comunicado.

Detalhes do Comunicado

Referências ao problema

Para obter mais informações sobre este problema, consulte as seguintes referências:

ReferênciasIdentificação
Artigo da Microsoft Knowledge Base 2718704

Dispositivos e softwares afetados

Este comunicado descreve os seguintes softwares e dispositivos afetados:

Softwares afetados
Sistema operacional
Windows XP Service Pack 3
Windows XP Professional x64 Edition Service Pack 2
Windows Server 2003 Service Pack 2
Windows Server 2003 x64 Edition Service Pack 2
Windows Server 2003 com SP2 para sistemas baseados no Itanium
Windows Vista Service Pack 2
Windows Vista x64 Edition Service Pack 2
Windows Server 2008 para sistemas de 32 bits Service Pack 2
Windows Server 2008 para sistemas baseados em x64 Service Pack 2
Windows Server 2008 para sistemas baseados no Itanium Service Pack 2
Windows 7 para sistemas de 32 bits
Windows 7 para sistemas de 32 bits Service Pack 1
Windows 7 para sistemas baseados em x64
Windows 7 para Sistemas Service Pack 1 baseados em x64
Windows Server 2008 R2 para sistemas baseados em x64
Windows Server 2008 R2 para Sistemas Service Pack 1 baseados em x64
Windows Server 2008 R2 para sistemas baseados no Itanium
Windows Server 2008 R2 para Sistemas Service Pack 1 baseados em Itanium
Opção de instalação de núcleo de servidor
Windows Server 2008 para sistemas de 32 bits Service Pack 2 (instalação do núcleo do servidor)
Windows Server 2008 para sistemas baseados em x64 Service Pack 2 (instalação do núcleo do servidor)
Windows Server 2008 R2 para sistemas baseados em x64 (instalação do núcleo do servidor)
Windows Server 2008 R2 para sistemas baseados em x64 Service Pack 1 (instalação do núcleo do servidor)

Dispositivos não afetados
Windows Mobile 6.x
Windows Phone 7
Windows Phone 7.5

Por que este comunicado foi revisado em 13 de junho de 2012? 
A Microsoft revisou este comunicado para notificar os clientes que, depois de uma investigação mais aprofundada, determinou-se que os dispositivos Windows Mobile 6.x, Windows Phone 7 e Windows Phone 7.5 não foram afetados pelo problema.

Qual é o escopo do comunicado? 
O objetivo deste comunicado é notificar os clientes sobre a confirmação da Microsoft de que dois certificados não autorizados foram publicados e estão sendo usados em ataques ativos. Durante nossa investigação, uma terceira Autoridade de Certificação foi localizada por ter publicado certificados com criptografias fracas.

A Microsoft lançou uma atualização para todas as versões com suporte do Microsoft Windows para ajudar a solucionar este problema.

Esta atualização aborda outros certificados digitais não autorizados? 
Sim, além de abordar os três certificados não autorizados descritos neste comunicado, esta atualização é cumulativa e aborda certificados digitais não autorizados descritos em comunicados anteriores: Comunicado de Segurança da Microsoft 2524375, Comunicado de Segurança da Microsoft 2607712 e Comunicado de Segurança da Microsoft 2641690.

O Windows 8 Consumer Preview é afetado pelo problema abordado neste comunicado?   
Sim. A atualização está disponível para a versão Windows 8 Consumer Preview. Recomendamos que os clientes do Windows 8 Consumer Preview apliquem essas atualizações em seus sistemas. As atualizações estão disponíveis apenas no Windows Update.

O Windows 8 Rele ase Preview é afetado pelo problema abordado neste comunicado?  
Sim. A atualização está disponível para a versão Windows 8 Release Preview. Recomendamos que os clientes do Windows 8 Release Preview apliquem essas atualizações a seus sistemas. As atualizações estão disponíveis apenas no Windows Update.

O que é criptografia?
A criptografia é a ciência de proteger informações convertendo-as entre seu estado legível normal (chamado texto sem formatação) e outro em que os dados são ocultados (conhecido como texto codificado ou cifrado).

Em todas as formas de criptografia, um valor conhecido como uma chave é usado junto com um procedimento chamado de algoritmo criptografado para transformar dados de texto sem formatação em texto codificado. No tipo de criptografia mais familiar, criptografia de chave secreta, o texto codificado é revertido a texto sem formatação usando a mesma chave. No entanto, em um segundo tipo de criptografia, criptografia de chave pública, uma chave diferente é usada para reverter o texto codificado a texto sem formatação.

O que é um certificado digital?
Na criptografia de chave pública, uma das chaves, conhecida como chave privada, deve ser mantida em segredo. A outra chave, conhecida como chave pública, deve ser compartilhada com todos. No entanto, deve haver uma forme de o proprietário da chave contar a todos a quem a chave pertence. Certificados digitais fornecem uma maneira de fazer isso. Um certificado digital é um pedaço inviolável de dados que empacota uma chave pública junto com a informação sobre eles - quem a mantém, para que pode ser usada, quando expira, etc.

Para que são usados os certificados ?
Os certificados são usados principalmente para verificar a identidade de uma pessoa ou dispositivo, autenticar um serviço ou criptografar arquivos. Normalmente você não terá que pensar sobre certificados. Talvez você veja uma mensagem informando que determinado certificado está expirado ou é inválido. Nesses casos, você deve seguir as instruções da mensagem.

O que é uma autoridade de certificação (CA)?
As autoridades de certificação são as organizações que publicam certificados. Elas estabelecem e verificam a autenticidade das chaves públicas que pertencem às pessoas ou a outras autoridades de certificação, e elas verificam a identidade de uma pessoa ou organização que solicita um certificado.

O que é uma Lista de certificados confiáveis (CTL)?
Deve haver confiança entre o destinatário de uma mensagem assinada e o signatário da mensagem. Um método de estabelecer essa confiança é por meio de um certificado, um documento eletrônico que verifica se entidades ou pessoas são quem eles alegam ser. Um certificado é publicado para uma entidade por terceiros que são confiáveis pelas outras partes. Assim sendo, cada destinatário de uma mensagem assinada decide se o emissor do certificado do signatário é confiável. CryptoAPI implementou uma metodologia para permitir que desenvolvedores de aplicativos criem aplicativos que verificam automaticamente certificados em uma lista predefinida de certificados confiáveis ou raízes. Essa lista de entidades confiáveis (chamada assuntos) é chamada lista de certificados confiáveis (CTL). Para obter mais informações, consulte o artigo do MSDN, Verificação de Confiança de Certificado.

O que causou o problema?
A Microsoft está ciente de ataques ativos usando certificados digitais não autorizados derivados de uma autoridade de certificação da Microsoft. Um certificado não autorizado pode ser usado para falsificar conteúdo, executar ataques de phishing ou executar ataques a intermediários. Este problema afeta todas as versões suportadas do Microsoft Windows.

Para que um invasor pode usar a vulnerabilidade? 
Um invasor pode usar esses certificados para falsificar conteúdo, executar ataques de phishing ou executar ataques a intermediários.

O que é um ataque de intermediário?
Um ataque de intermediário ocorre quando um invasor desvia a comunicação entre dois usuários pelo computador do invasor, sem o conhecimento dos dois usuários que se comunicam. Cada usuário na comunicação, sem saber, envia e recebe tráfego do invasor, achando que está se comunicando somente com o usuário pretendido.

O que a Microsoft está fazendo para ajudar a resolver este problema?
Atualizamos o Armazenamento de certificados não confiáveis para remover a confiança nas autoridades de certificação da Microsoft afetadas.

Depois de aplicar a atualização, como eu posso verificar os certificados no Armazenamento de certificados não confiáveis da Microsoft?  
Para informações sobre como visualizar certificados, consulte o artigo do MSDN Passo a passo: Visualize certificados com o Snap-in de MMC.

No snap-in de MMC de Certificados, verifique se os seguintes certificados foram adicionados à pasta de Certificados não confiáveis:

CertificadoEmitido porThumbprint
A Microsoft impôs o licenciamento da PCA intermediáriaAutoridade Raiz da Microsoft2a 83 e9 02 05 91 a5 5f c6 dd ad 3f b1 02 79 4c 52 b2 4e 70
A Microsoft impôs o licenciamento da PCA intermediáriaAutoridade Raiz da Microsoft3a 85 00 44 d8 a1 95 cd 40 1a 68 0c 01 2c b0 a3 b5 f8 dc 08
A Microsoft impôs o licenciamento da CA de autoridade de registro (SHA1)Autoridade de certificação raiz da Microsoftfa 66 60 a9 4a b4 5f 6a 88 c0 d7 87 4d 89 a8 63 d7 4d ee 97

Para versões com suporte do Microsoft Windows

A maioria dos clientes tem o recurso de atualizações automáticas habilitado e não precisará tomar nenhuma providência porque a atualização KB2718704 será baixada e instalada automaticamente. Os clientes que não têm o recurso de atualizações automáticas habilitado precisarão verificar as atualizações e instalar esta atualização manualmente. Para obter informações sobre opções de configuração específicas em atualizações automáticas, consulte o Artigo 294871 (em inglês) da Microsoft Knowledge Base.

Para instalações feitas por administradores ou empresas, ou por usuários finais que desejam instalar a atualização KB2718704 manualmente, a Microsoft recomenda que os clientes apliquem a atualização imediatamente usando software de gerenciamento de atualização ou verificando se há atualizações no serviço Microsoft Update. Para obter mais informações sobre como aplicar manualmente essa atualização, consulte o Artigo 2718704 (em inglês) da Microsoft Knowledge Base.

Ações adicionais sugeridas

  • Proteja seu PC

    Continuamos a incentivar nossos clientes a seguir nossa orientação de proteger o computador por meio de habilitação do firewall, obtenção de atualizações de software e instalação de software antivírus. Os clientes podem aprender mais sobre essas etapas visitando o site Proteja seu Computador.

    Para obter mais informações sobre como ficar protegido na Internet, visite a Central de Segurança da Microsoft.

  • Mantenha o software da Microsoft atualizado

    Todos os usuários que executam software da Microsoft devem aplicar as mais recentes atualizações de segurança da Microsoft para ter certeza de que seus computadores estejam protegidos ao máximo. Se não tiver certeza de que seu computador está atualizado, visite o Microsoft Update, verifique se há atualizações disponíveis para o computador e instale as atualizações de alta prioridade oferecidas. Se você tem as atualizações automáticas habilitadas e configuradas para fornecer atualizações para produtos Microsoft, as atualizações serão fornecidas a você quando lançadas, mas você deve verificar se elas são instaladas.

Outras informações

Microsoft Active Protections Program (MAPP)

Para melhorar as proteções de segurança para os clientes, a Microsoft fornece informações sobre vulnerabilidades aos principais fornecedores de software de segurança antes do lançamento de cada atualização de segurança mensal. Assim, os fornecedores de software de segurança podem usar essas informações sobre vulnerabilidades para fornecer proteções atualizadas aos clientes por meio de seus softwares ou dispositivos de segurança, como antivírus, sistemas de detecção de invasões baseados em rede ou sistemas de prevenção de invasões baseados em host. Para determinar se os fornecedores de software de segurança estão disponibilizando proteções ativas, visite os sites de proteções ativas fornecidos pelos parceiros do programa, listados em Parceiros do Microsoft Active Protections Program (MAPP).

Comentários

Suporte

  • Os clientes nos EUA e Canadá podem receber suporte técnico do Suporte de Segurança. Para obter mais informações sobre as opções de suporte disponíveis, consulte Ajuda e Suporte da Microsoft.
  • Os clientes de outros países podem obter suporte nas subsidiárias locais da Microsoft. Para obter mais informações sobre como entrar em contato com a Microsoft para problemas de suporte internacional, visite o site Suporte Internacional.
  • O Microsoft TechNet Security fornece informações adicionais sobre segurança em produtos da Microsoft.

Aviso de isenção de responsabilidade

As informações oferecidas neste documento são fornecidas "como estão" sem garantia de nenhum tipo. A Microsoft se isenta de todas as garantias, expressas ou implícitas, inclusive as garantias de comercialização e adequação a um propósito específico. Em hipótese alguma a Microsoft Corporation ou seus fornecedores serão responsáveis por quaisquer danos, inclusive danos diretos, indiretos, incidentais, consequenciais, danos por lucros cessantes ou danos especiais, mesmo que a Microsoft Corporation ou seus fornecedores tenham sido alertados da possibilidade dos referidos danos. Como alguns estados não permitem a exclusão ou limitação de responsabilidade por danos consequenciais ou indiretos, a limitação acima pode não ser aplicável a você.

Revisões

  • V1.0 (3 de junho de 2012): Comunicado publicado.
  • V1.1 (13 de junho de 2012): Comunicado revisado para notificar os clientes de que os dispositivos Windows Mobile 6.x, Windows Phone 7 e Windows Phone 7.5 não foram afetados pelo problema.

Built at 2014-04-18T01:50:00Z-07:00

Isso foi útil para você?
(1500 caracteres restantes)
Agradecemos os seus comentários
Mostrar:
© 2015 Microsoft