Exportar (0) Imprimir
Expandir Tudo

Comunicado de Segurança da Microsoft 2916652

Certificados digitais publicados impropriamente podem permitir falsificação

Publicado: segunda-feira, 9 de dezembro de 2013 | Atualizado: quarta-feira, 15 de janeiro de 2014

Versão: 2.1

Informações Gerais

Sinopse

A Microsoft está ciente de um certificado de CA subordinada impropriamente publicado que podia ser usado em tentativas de falsificação de conteúdo, de execução de ataques de phishing ou de execução de ataques a intermediários. O certificado de CA subordinada foi inadequadamente publicado pela Direção Geral da Tesouraria (DG Trésor), subordinada ao Governo de CA da França (ANSSI), que é uma CA presente no Armazenamento das Autoridades de Certificação de Raiz Confiável. Este problema afeta todas as versões suportadas do Microsoft Windows. Atualmente, a Microsoft desconhece ataques relacionados a este problema.

O certificado de CA subordinada impropriamente publicado foi empregado de modo incorreto para publicar certificados SSL para vários sites, inclusive propriedades de Web da Google. Esses certificados SSL podem ser usados para falsificar conteúdos, executar ataques de phishing ou executar ataques intermediários contra várias propriedades da Web da Google. O certificado de CA subordinada também pode ter sido usado para publicar certificados para outros sites, atualmente desconhecidos, que podiam estar sujeitos a ataques semelhantes.

Para ajudar a proteger os clientes de uso potencialmente fraudulento deste certificado digital, a Microsoft está atualizando a Lista de Certificados Confiáveis (CTL) para todos os lançamentos com suporte do Microsoft Windows para remover a confiança de certificados que estão causando esse problema. Para obter mais informações sobre esses certificados, consulte a seção Perguntas frequentes deste comunicado.

Recomendação. Um atualizador automático de certificados revogados está incluído nas edições com suporte do Windows 8, Windows 8.1, Windows RT, Windows RT 8.1, Windows Server 2012 e Windows Server 2012 R2, e em dispositivos que executam o Windows Phone 8. Para estes sistemas operacionais e dispositivos, os clientes não precisam tomar nenhuma ação, pois esses sistemas e dispositivos estarão automaticamente protegidos.

Para sistemas com Windows Vista, Windows 7, Windows Server 2008 ou Windows Server 2008 R2 que usam o atualizador automático de certificados revogados (consulte o Artigo 2677070 (em inglês) da Microsoft Knowledge Base para obter detalhes), os clientes não precisam tomar nenhuma ação, pois esses sistemas estarão automaticamente protegidos.

Para os clientes do Windows XP ou do Windows Server 2003, ou para os clientes que optaram não instalar o atualizador automático de certificados revogados, a Microsoft recomenda aplicar imediatamente a atualização 2917500 por meio do software de gerenciamento de atualização, verificando se há atualizações no serviço Microsoft Update ou fazendo download e aplicando a atualização manualmente. Para obter mais informações, consulte a seção Ações sugeridas deste comunicado.

Detalhes do Comunicado

Referências ao problema

Para obter mais informações sobre este problema, consulte as seguintes referências:

ReferênciasIdentificação
Artigo da Microsoft Knowledge Base 2917500

Softwares afetados

Este comunicado descreve o seguinte software:

Softwares afetados
Sistema operacional
Windows XP Service Pack 3
Windows XP Professional x64 Edition Service Pack 2
Windows Server 2003 Service Pack 2
Windows Server 2003 x64 Edition Service Pack 2
Windows Server 2003 com SP2 para sistemas baseados no Itanium
Windows Vista Service Pack 2
Windows Vista x64 Edition Service Pack 2
Windows Server 2008 para sistemas de 32 bits Service Pack 2
Windows Server 2008 para sistemas baseados em x64 Service Pack 2
Windows Server 2008 para sistemas baseados no Itanium Service Pack 2
Windows 7 para sistemas de 32 bits Service Pack 1
Windows 7 para Sistemas Service Pack 1 baseados em x64
Windows Server 2008 R2 para Sistemas Service Pack 1 baseados em x64
Windows Server 2008 R2 para sistemas baseados no Itanium Service Pack 1
Windows 8 para sistemas de 32 bits
Windows 8 para sistemas baseados em x64
Windows 8.1 para sistemas de 32 bits
Windows 8.1 para sistemas baseados em x64
Windows RT
Windows RT 8.1
Windows Server 2012
Windows Server 2012 R2
Opção de instalação Server Core
Windows Server 2008 para sistemas de 32 bits Service Pack 2 (instalação Server Core)
Windows Server 2008 para sistemas baseados em x64 Service Pack 2 (instalação Server Core)
Windows Server 2008 R2 para sistemas baseados em x64 (instalação do núcleo do servidor)
Windows Server 2012 (instalação Server Core)
Windows Server 2012 R2 (instalação Server Core)
Dispositivos afetados
Windows Phone 8

Qual é o escopo do comunicado? 
O propósito deste comunicado é notificar os clientes que a DG Trésor publicou impropriamente um certificado de CA subordinada, e que este certificado de CA subordinada foi empregado incorretamente para publicar certificados SSL para vários sites, inclusive propriedades de Web da Google. Esses certificados SSL podem ser usados para falsificar conteúdos, executar ataques de phishing ou executar ataques intermediários contra várias propriedades da Web da Google. O certificado de CA subordinada também pode ter sido usado para publicar certificados para outros sites, atualmente desconhecidos, que podiam estar sujeitos a ataques semelhantes.

O que causou o problema? 
Um certificado de CA subordinada publicado inadequadamente pela Direção Geral da Tesouraria (DG Trésor), subordinada ao Governo de CA da França (ANSSI), que é uma CA presente no Armazenamento das Autoridades de Certificação de Raiz Confiável.

Esta atualização aborda outros certificados digitais?  
Sim, além de abordar os certificados descritos neste comunicado, essa atualização é cumulativa e inclui certificados digitais descritos em comunicados anteriores:

O que é criptografia? 
A criptografia é a ciência de proteger informações convertendo-as entre seu estado legível normal (chamado texto sem formatação) e outro em que os dados são ocultados (conhecido como texto codificado ou cifrado).

Em todas as formas de criptografia, um valor conhecido como uma chave é usado junto com um procedimento chamado de algoritmo criptografado para transformar dados de texto sem formatação em texto codificado. No tipo de criptografia mais familiar, criptografia de chave secreta, o texto codificado é revertido a texto sem formatação usando a mesma chave. No entanto, em um segundo tipo de criptografia, criptografia de chave pública, uma chave diferente é usada para reverter o texto codificado a texto sem formatação.

O que é um certificado digital?  
Na criptografia de chave pública, uma das chaves, conhecida como chave privada, deve ser mantida em segredo. A outra chave, conhecida como chave pública, deve ser compartilhada com todos. No entanto, deve haver uma forme de o proprietário da chave contar a todos a quem a chave pertence. Os certificados digitais fornecem uma maneira de fazer isso. Um certificado digital é um pedaço inviolável de dados que empacota uma chave pública junto com a informação sobre ela (quem a mantém, para que pode ser usada, quando expira, etc.).

Para que são usados os certificados? 
Os certificados são usados principalmente para verificar a identidade de uma pessoa ou dispositivo, autenticar um serviço ou criptografar arquivos. Normalmente você não terá que pensar sobre certificados. Talvez você veja uma mensagem informando que determinado certificado está expirado ou é inválido. Nesses casos, você deve seguir as instruções da mensagem.

O que é uma autoridade de certificação (CA)?  
As autoridades de certificação são as organizações que publicam certificados. Elas estabelecem e verificam a autenticidade das chaves públicas que pertencem às pessoas ou a outras autoridades de certificação, e elas verificam a identidade de uma pessoa ou organização que solicita um certificado.

O que é uma Lista de certificados confiáveis (CTL)?  
Deve haver confiança entre o destinatário de uma mensagem assinada e o signatário da mensagem. Um método de estabelecer essa confiança é por meio de um certificado, um documento eletrônico que verifica se entidades ou pessoas são quem eles alegam ser. Um certificado é publicado para uma entidade por terceiros que são confiáveis pelas outras partes. Assim sendo, cada destinatário de uma mensagem assinada decide se o emissor do certificado do signatário é confiável. CryptoAPI implementou uma metodologia para permitir que desenvolvedores de aplicativos criem aplicativos que verificam automaticamente certificados em uma lista predefinida de certificados confiáveis ou raízes. Essa lista de entidades confiáveis (chamada assuntos) é chamada lista de certificados confiáveis (CTL). Para obter mais informações, consulte o artigo do MSDN, Verificação de Confiança de Certificado.

O que um invasor pode fazer com esses certificados? 
Um invasor pode usar esses certificados para falsificar conteúdo, executar ataques de phishing ou executar ataques a intermediários contra estas propriedades da Web:

  • *.google.com
  • *.android.com
  • *.appengine.google.com
  • *.cloud.google.com
  • *.google-analytics.com
  • *.google.ca
  • *.google.cl
  • *.google.co.in
  • *.google.co.jp
  • *.google.co.uk
  • *.google.com.ar
  • *.google.com.au
  • *.google.com.br
  • *.google.com.co
  • *.google.com.mx
  • *.google.com.tr
  • *.google.com.vn
  • *.google.de
  • *.google.es
  • *.google.fr
  • *.google.hu
  • *.google.it
  • *.google.nl
  • *.google.pl
  • *.google.pt
  • *.googleapis.cn
  • *.googlecommerce.com
  • *.gstatic.com
  • *.urchin.com
  • *.url.google.com
  • *.youtube-nocookie.com
  • *.youtube.com
  • *.ytimg.com
  • android.com
  • g.co
  • goo.gl
  • google-analytics.com
  • google.com
  • googlecommerce.com
  • urchin.com
  • youtu.be
  • youtube.com

O que é um ataque de intermediário?  
Um ataque de intermediário ocorre quando um invasor desvia a comunicação entre dois usuários pelo computador do invasor, sem o conhecimento dos dois usuários que se comunicam. Cada usuário na comunicação, sem saber, envia e recebe tráfego do invasor, achando que está se comunicando somente com o usuário pretendido.

O que a Microsoft está fazendo para ajudar a resolver este problema?  
Embora esse problema não resulte de um problema em um produto da Microsoft, estamos atualizando a CTL e fornecendo uma atualização para ajudar na proteção dos clientes. A Microsoft continuará investigando o problema e pode fazer alterações futuras à CTL ou lançar uma atualização futura para ajudar a proteger os clientes.

Depois de aplicar a atualização, como eu posso verificar os certificados no Armazenamento de certificados não confiáveis da Microsoft?  
Para Windows Vista, Windows 7, Windows Server 2008 e sistemas Windows Server 2008 R2 que usam o atualizador automático de certificados revogados (consulte o Artigo 2677070 (em inglês) da Microsoft Knowledge Base para obter mais detalhes), e para Windows 8, Windows 8.1, Windows RT, Windows RT 8.1, Windows Server 2012 e sistemas Windows Server 2012 R2, você pode verificar o log de aplicativo no Visualizador de Eventos se há uma entrada com os seguintes valores:

  • Fonte: CAPI2
  • Nível: Informação
  • ID do evento: 4112
  • Descrição: Autoatualização bem-sucedida de lista de certificados rejeitados com a data de vigência: Segunda-feira, 5 de dezembro de 2013 (ou posteriormente).

Para sistemas que não usam o atualizador automático de certificados revogados, no Snap-in de MMC de certificados, verifique se o seguinte certificado foi adicionado à pasta Certificados não confiáveis:

CertificadoEmitido porThumbprint
SSL de CA da DG Trésor Autenticação de assinatura de CA de DGTPE ‎5c e3 39 46 5f 41 a1 e4 23 14 9f 65 54 40 95 40 4d e6 eb e2

Observação Para informações sobre como visualizar certificados com o MMC Snap-in, consulte o artigo do MSDN, Passo a passo: Visualize certificados com o Snap-in de MMC.

Aplique as atualização em versões compatíveis do Microsoft Windows

Um atualizador automático de certificados revogados está incluído nas edições com suporte do Windows 8, Windows 8.1, Windows RT, Windows RT 8.1, Windows Server 2012 e Windows Server 2012 R2, e em dispositivos que executam o Windows Phone 8. Para esses sistemas operacionais ou dispositivos, os clientes não precisam tomar nenhuma ação, pois a CTL será atualizada automaticamente.

Para sistemas com Windows Vista, Windows 7, Windows Server 2008 ou Windows Server 2008 R2 que usam o atualizador automático de certificados revogados (consulte o Artigo 2677070 (em inglês) da Microsoft Knowledge Base para obter detalhes), os clientes não precisam tomar nenhuma ação, pois a CTL será atualizada automaticamente.

Para os clientes do Windows XP ou do Windows Server 2003, ou para os clientes que optaram não instalar o atualizador automático de certificados revogados, a Microsoft recomenda aplicar imediatamente a atualização 2917500 por meio do software de gerenciamento de atualização, verificando se há atualizações no serviço Microsoft Update ou fazendo download e aplicando a atualização manualmente. Consulte o Artigo 2917500 (em inglês) da Microsoft Knowledge Base para obter links de download.

Ações adicionais sugeridas

  • Proteja seu PC

    Continuamos a incentivar nossos clientes a seguir nossa orientação de proteger o computador por meio de habilitação do firewall, obtenção de atualizações de software e instalação de software antivírus. Para obter mais informações, consulte Microsoft Safety & Security Center.

  • Mantenha o software da Microsoft atualizado

    Todos os usuários que executam software da Microsoft devem aplicar as mais recentes atualizações de segurança da Microsoft para ter certeza de que seus computadores estejam protegidos ao máximo. Se não tiver certeza de que seu computador está atualizado, visite o Microsoft Update, verifique se há atualizações disponíveis para o computador e instale as atualizações de alta prioridade oferecidas. Se você tem as atualizações automáticas habilitadas e configuradas para fornecer atualizações para produtos Microsoft, as atualizações serão fornecidas a você quando lançadas, mas você deve verificar se elas são instaladas.

Outras informações

Agradecimentos

A Microsoft agradece às pessoas mencionadas abaixo por trabalhar conosco para ajudar a proteger os clientes:

Microsoft Active Protections Program (MAPP)

Para melhorar as proteções de segurança para os clientes, a Microsoft fornece informações sobre vulnerabilidades aos principais fornecedores de software de segurança antes do lançamento de cada atualização de segurança mensal. Assim, os fornecedores de software de segurança podem usar essas informações sobre vulnerabilidades para fornecer proteções atualizadas aos clientes por meio de seus softwares ou dispositivos de segurança, como antivírus, sistemas de detecção de invasões baseados em rede ou sistemas de prevenção de invasões baseados em host. Para determinar se os fornecedores de software de segurança estão disponibilizando proteções ativas, visite os sites de proteções ativas fornecidos pelos parceiros do programa, listados em Parceiros do Microsoft Active Protections Program (MAPP).

Comentários

Suporte

Aviso de isenção de responsabilidade

As informações oferecidas neste documento são fornecidas "como estão" sem garantia de nenhum tipo. A Microsoft se isenta de todas as garantias, expressas ou implícitas, inclusive as garantias de comercialização e adequação a um propósito específico. Em hipótese alguma a Microsoft Corporation ou seus fornecedores serão responsáveis por quaisquer danos, inclusive danos diretos, indiretos, incidentais, consequenciais, danos por lucros cessantes ou danos especiais, mesmo que a Microsoft Corporation ou seus fornecedores tenham sido alertados da possibilidade dos referidos danos. Como alguns estados não permitem a exclusão ou limitação de responsabilidade por danos consequenciais ou indiretos, a limitação acima pode não ser aplicável a você.

Revisões

  • V1.0 (9 de dezembro de 2013): Comunicado publicado.
  • V2.0 (12 de dezembro de 2013): O comunicado foi revisado para anunciar a disponibilidade da atualização 2917500 para clientes que executam o Windows XP ou o Windows Server 2003, ou para clientes que optaram não instalar o atualizador automático de certificados revocados. A atualização 2917500 está disponível pelo serviço Microsoft Update e a partir do Centro de Download. Para obter mais informações, consulte a seção Ações sugeridas deste comunicado.
  • V2.1 (15 de Janeiro de 2015): Comunicado revisado para anunciar uma alteração de detecção na atualização 2917500. Isto é uma alteração somente de detecção. Os clientes que já atualizaram seus sistemas com êxito não precisam fazer mais nada.

Built at 2014-04-18T01:50:00Z-07:00

Isso foi útil para você?
(1500 caracteres restantes)
Agradecemos os seus comentários
Mostrar:
© 2015 Microsoft