Consultoria de Segurança

Comunicado de Segurança da Microsoft 2607712

Certificados digitais fraudulentos podem permitir falsificação

Publicado: terça-feira, 29 de agosto de 2011 | Atualizado: September 19, 2011

Versão: 5.0

Informações Gerais

Resumo executivo

A Microsoft está ciente de ataques ativos usando pelo menos um certificado digital fraudulento emitido pela DigiNotar, uma autoridade de certificação presente no Repositório de Autoridades de Certificação Raiz Confiáveis. Um certificado fraudulento pode ser usado para falsificar conteúdo, executar ataques de phishing ou executar ataques intermediários contra todos os usuários do navegador da Web, incluindo usuários do Internet Explorer. Embora esta não seja uma vulnerabilidade em um produto da Microsoft, esse problema afeta todas as versões com suporte do Microsoft Windows.

A Microsoft continua a investigar esse problema. Com base na investigação preliminar, a Microsoft está fornecendo uma nova atualização (KB2616676) em 13 de setembro de 2011 para todas as versões com suporte do Microsoft Windows que revoga a confiança dos seguintes certificados raiz DigiNotar, colocando-os no Microsoft Untrusted Certificate Store:

• CA raiz do DigiNotar
• DigiNotar Raiz CA G2
• DigiNotar PKIoverheid CA Overheid
• DigiNotar PKIoverheid CA Organização - G2
• DigiNotar PKIoverheid CA Overheid en Bedrijven
• DigiNotar Root CA emitido pela Entrust (2 certificados)
• DigiNotar Services 1024 CA emitido pela Entrust
• DigiNotar Cyber CA emitido pela GTE CyberTrust (3 certificados)

Recomendação. A Microsoft recomenda que os clientes apliquem a atualização imediatamente usando o software de gerenciamento de atualizações ou verificando se há atualizações usando o serviço Microsoft Update . Consulte a seção Ações sugeridas deste comunicado para obter mais informações.

Problemas conhecidos.O Artigo 2616676 Base de Dados de Conhecimento Microsoft documenta os problemas atualmente conhecidos que os clientes podem enfrentar ao instalar esta atualização. O artigo também documenta soluções recomendadas para esses problemas.

Detalhes do Comunicado

Referências de edições

Para obter mais informações sobre esse problema, consulte as seguintes referências:

Software e dispositivos afetados

Este comunicado aborda os seguintes softwares e dispositivos.

*Instalação Server Core afetada. Este comunicado aplica-se às edições com suporte do Windows Server 2008 ou Windows Server 2008 R2, conforme indicado, independentemente de serem ou não instaladas usando a opção de instalação Server Core. Para obter mais informações sobre essa opção de instalação, consulte os artigos do TechNet, Gerenciando uma instalação Server Core e Manutenção de uma instalação Server Core. Observe que a opção de instalação Server Core não se aplica a determinadas edições do Windows Server 2008 e Windows Server 2008 R2; consulte Comparar opções de instalação Server Core.

Perguntas frequentes

Por que este comunicado foi revisado em 19 de setembro de 2011?
A Microsoft revisou este comunicado para anunciar o relançamento da atualização KB2616676. O relançamento agora é cumulativo e resolve um problema conhecido descrito no Artigo 2616676 da Base de Dados de Conhecimento Microsoft, em que a atualização de KB2616676 original, somente em edições com suporte do Windows XP e do Windows Server 2003, não continha os certificados digitais incluídos nas atualizações KB2607712 e KB2524375.

Os clientes de edições com suporte do Windows XP e do Windows Server 2003 devem aplicar a versão relançada da atualização do KB2616676 para se protegerem contra o uso dos certificados fraudulentos, conforme especificado neste comunicado. Os clientes de edições com suporte do Windows Vista, Windows 7, Windows Server 2008 e Windows Server 2008 R2 não são afetados por este relançamento.

Observação A atualização não será oferecida aos clientes de edições com suporte do Windows XP e Windows Server 2003 no caso em que as atualizações originais de KB2616676, KB2607712 e KB2524375 tenham sido aplicadas anteriormente, pois o pacote de relançamento é cumulativo e contém todas as alterações desses três pacotes de atualização.

A maioria dos clientes tem a atualização automática habilitada e não precisará executar nenhuma ação porque a atualização de KB2616676 relançada será baixada e instalada automaticamente.

O Windows Developer Preview é afetado por esse problema?
Sim. A atualização KB2616676 está disponível para a versão Windows Developer Preview. Os clientes do Windows Developer Preview são incentivados a aplicar a atualização em seus sistemas. A atualização só está disponível no Windows Update.

Por que este comunicado foi revisado em 13 de setembro de 2011?
A Microsoft revisou este comunicado para anunciar o lançamento da atualização do KB2616676 que aborda esse problema. A atualização adiciona seis certificados raiz DigiNotar adicionais que são assinados cruzados por Entrust ou GTE para o Microsoft Untrusted Certificate Store. A atualização KB2616676 substitui a atualização KB2607712 e também contém os cinco certificados raiz DigiNotar anteriores adicionados ao Armazenamento de Certificados Não Confiáveis da Microsoft pela atualização KB2607712.

Embora a atualização KB2616676 substitua a atualização KB2607712, a atualização KB2607712 não é um pré-requisito para a atualização KB2616676. Independentemente de a atualização do KB2607712 ter sido aplicada ou não, os clientes devem aplicar a atualização KB2616676 para resolver o problema descrito neste comunicado. Os clientes que aplicam a atualização KB2616676 não precisam aplicar a atualização KB2607712.

Por que este comunicado foi revisado em 6 de setembro de 2011?
A Microsoft revisou este comunicado para anunciar o lançamento de uma atualização que aborda esse problema. A atualização adiciona cinco certificados raiz DigiNotar ao Microsoft Untrusted Certificate Store. Normalmente, nenhuma ação é necessária dos clientes para instalar essa atualização, porque a maioria dos clientes tem a atualização automática habilitada e essa atualização será baixada e instalada automaticamente. Para clientes que não têm a atualização automática habilitada, consulte o Artigo 2607712 da Base de Dados de Conhecimento Microsoft para obter informações sobre como aplicar manualmente a atualização.

Em 29 de agosto de 2011, a Microsoft removeu a confiança de um certificado raiz do DigiNotar, atualizando a CTL da Microsoft. Por que a Microsoft está lançando uma atualização?
O Windows Vista, o Windows 7, o Windows Server 2008 e o Windows Server 2008 R2 usam a Lista de Certificados Confiáveis da Microsoft para validar a confiança de uma autoridade de certificação. O Windows XP e o Windows Server 2003 não usam a Lista de Certificados Confiáveis da Microsoft para validar a confiança de uma autoridade de certificação. Como resultado, uma atualização é necessária para todas as edições do Windows XP e Windows Server 2003 para proteger os clientes.

Após a atualização da CTL em 29 de agosto de 2011, os usuários do Windows Vista, Windows 7, Windows Server 2008 e Windows Server 2008 R2 que acessaram um site assinado por um certificado raiz DigiNotar não confiável receberiam uma mensagem de aviso indicando que a confiança do certificado não pôde ser verificada. Os usuários tinham permissão para clicar nessa mensagem de aviso para acessar o site.

A fim de proteger os clientes de forma mais abrangente contra possíveis ataques man-in-the-middle, a Microsoft está lançando uma atualização que toma medidas adicionais para proteger os clientes, impedindo completamente que os usuários do Internet Explorer acessem recursos de sites que continham certificados assinados pelos certificados raiz não confiáveis do DigiNotar. Os usuários do Internet Explorer que aplicam essa atualização receberão uma mensagem de erro ao tentar acessar um site que tenha sido assinado por um dos certificados raiz DigiNotar acima. Esses usuários não poderão continuar acessando o site.

O que a atualização KB2616676 faz?
Em todas as versões suportadas do Microsoft Windows, a atualização KB2616676 adiciona onze certificados raiz DigiNotar ao Microsoft Untrusted Certificate Store. Além disso, a atualização KB2616676 também inclui os certificados na atualização KB2524375 lançada em 6 de julho de 2011.

Como essa atualização mudará a experiência do usuário ao tentar acessar um site que foi criptografado com TLS e assinado por um certificado raiz DigiNotar não confiável?
Os usuários do Internet Explorer que tentarem acessar um site que foi assinado por um certificado raiz DigiNotar não confiável receberão uma mensagem de erro. Devido ao fato de que esse certificado está localizado no armazenamento de certificados não confiáveis da Microsoft, o Internet Explorer não permitirá que os usuários prossigam para o site. O site permanecerá indisponível até que o certificado do site seja substituído por um novo certificado assinado por um certificado raiz confiável.

Depois de aplicar a atualização, como posso verificar os certificados no Repositório de Certificados Não Confiáveis da Microsoft?
Para obter informações sobre como exibir certificados, consulte o artigo do MSDN, Como: Exibir certificados com o snap-in do MMC.

No snap-in MMC de certificados, verifique se os seguintes certificados foram adicionados à pasta Certificados não confiáveis:

*Certificado adicionado à pasta Certificados Não Confiáveis por essas atualizações.

A atualização KB2616676 também inclui os certificados na atualização KB2524375 adicionada à pasta Certificados Não Confiáveis.

Qual o escopo da assessoria?
O objetivo deste comunicado é notificar os clientes de que a Microsoft confirmou que pelo menos um certificado fraudulento foi emitido pela DigiNotar e está sendo usado em ataques ativos. A Microsoft emitiu uma atualização para todas as versões com suporte do Microsoft Windows que resolve o problema.

O que é criptografia?
A criptografia é a ciência de proteger a informação, convertendo-a entre seu estado normal e legível (chamado de texto sem formatação) e aquele em que os dados são obscurecidos (conhecido como texto cifrado).

Em todas as formas de criptografia, um valor conhecido como chave é usado em conjunto com um procedimento chamado algoritmo de criptografia para transformar dados de texto simples em texto cifrado. No tipo mais familiar de criptografia, a criptografia de chave secreta, o texto cifrado é transformado de volta em texto simples usando a mesma chave. No entanto, em um segundo tipo de criptografia, criptografia de chave pública, uma chave diferente é usada para transformar o texto cifrado de volta em texto sem formatação.

O que é um certificado digital?
Na criptografia de chave pública, uma das chaves, conhecida como chave privada, deve ser mantida em segredo. A outra chave, conhecida como chave pública, destina-se a ser compartilhada com o mundo. No entanto, deve haver uma maneira de o dono da chave dizer ao mundo a quem a chave pertence. Os certificados digitais fornecem uma maneira de fazer isso. Um certificado digital é um dado inviolável que empacota uma chave pública juntamente com informações sobre ela - quem a possui, para que pode ser usada, quando expira e assim por diante.

Para que servem os certificados?
Os certificados são usados principalmente para verificar a identidade de uma pessoa ou dispositivo, autenticar um serviço ou criptografar arquivos. Normalmente, você não terá que pensar em certificados. No entanto, você pode ver uma mensagem informando que um certificado expirou ou é inválido. Nesses casos, você deve seguir as instruções na mensagem.

O que é uma autoridade de certificação (AC)?
As autoridades de certificação são as organizações que emitem certificados. Eles estabelecem e verificam a autenticidade de chaves públicas que pertencem a pessoas ou outras autoridades de certificação e verificam a identidade de uma pessoa ou organização que solicita um certificado.

O que é uma Lista de Certificados Confiáveis (CTL)?
Uma relação de confiança deve existir entre o destinatário de uma mensagem assinada e o signatário da mensagem. Um método de estabelecer essa confiança é por meio de um certificado, um documento eletrônico que verifica se as entidades ou pessoas são quem dizem ser. Um certificado é emitido para uma entidade por um terceiro que é confiável por ambas as outras partes. Assim, cada destinatário de uma mensagem assinada decide se o emissor do certificado do signatário é confiável. A CryptoAPI implementou uma metodologia para permitir que os desenvolvedores de aplicativos criem aplicativos que verificam automaticamente certificados em relação a uma lista predefinida de certificados confiáveis ou raízes. Essa lista de entidades confiáveis (chamadas de entidades) é chamada de lista de certificados confiáveis (CTL). Para obter mais informações, consulte o artigo do MSDN, Verificação de confiança de certificado.

O que causou o problema?
A Microsoft está ciente de ataques ativos usando pelo menos um certificado digital fraudulento emitido pela DigiNotar, uma autoridade de certificação presente no Repositório de Autoridades de Certificação Raiz Confiáveis. Um certificado fraudulento pode ser usado para falsificar conteúdo, executar ataques de phishing ou executar ataques intermediários contra todos os usuários do navegador da Web, incluindo usuários do Internet Explorer. Embora esta não seja uma vulnerabilidade em um produto da Microsoft, esse problema afeta todas as versões com suporte do Microsoft Windows.

Para que um invasor pode usar a vulnerabilidade?
Um invasor pode usar esses certificados para falsificar conteúdo, executar ataques de phishing ou executar ataques intermediários contra todos os usuários do navegador da Web, incluindo usuários do Internet Explorer.

O que é um ataque man-in-the-middle?
Um ataque man-in-the-middle ocorre quando um invasor redireciona a comunicação entre dois usuários através do computador do invasor sem o conhecimento dos dois usuários que se comunicam. Cada usuário na comunicação inadvertidamente envia e recebe tráfego do invasor, enquanto pensa que está se comunicando apenas com o usuário pretendido.

Qual é o procedimento para revogar um certificado?
Há um procedimento padrão que deve permitir que uma autoridade de certificação impeça que certificados sejam aceitos se forem usados. Cada emissor de certificado gera periodicamente uma CRL, que lista todos os certificados que devem ser considerados inválidos. Cada certificado deve fornecer uma parte de dados chamada CDP (Ponto de Distribuição de CRL) que indica o local onde a CRL pode ser obtida.

Uma maneira alternativa para os navegadores da Web validarem a identidade de um certificado digital é usando o OCSP (Online Certificate Status Protocol). O OCSP permite a validação interativa de um certificado conectando-se a um respondente OCSP, hospedado pela Autoridade de Certificação (CA) que assinou o certificado digital. Cada certificado deve fornecer um ponteiro para o local do respondente OCSP por meio da extensão Authority Information Access (AIA) no certificado. Além disso, o grampeamento OCSP permite que o próprio servidor Web forneça uma resposta de validação OCSP ao cliente.

A validação OCSP é habilitada por padrão no Internet Explorer 7 e versões posteriores do Internet Explorer em edições com suporte do Windows Vista, Windows Server 2008, Windows 7 e Windows Server 2008 R2. Nesses sistemas operacionais, se a verificação de validação OCSP falhar, o navegador validará o certificado entrando em contato com o Local da CRL.

Para obter mais informações sobre a verificação de revogação de certificado, consulte o artigo do TechNet, Revogação de certificado e verificação de status.

O que é uma lista de revogação de certificados (CRL)?
A CRL é uma lista assinada digitalmente, emitida por uma autoridade de certificação, que contém uma lista de certificados emitidos pela autoridade de certificação e posteriormente revogados pela autoridade de certificação. Para cada certificado revogado individual, a listagem inclui o número de série do certificado, a data em que o certificado foi revogado e o motivo da revogação. Os aplicativos podem executar a verificação de CRL para determinar o status de revogação de um certificado apresentado.

O que é CDP (Ponto de Distribuição de CRL)?
CDP é uma extensão de certificado que indica onde a lista de revogação de certificado para uma autoridade de certificação pode ser recuperada. Ele pode conter nenhum, um ou muitos URLs HTTP, arquivo ou LDAP.

O que é o OCSP (Online Certificate Status Protocol)?
O OCSP é um protocolo que permite a validação em tempo real do status de um certificado. Normalmente, um respondente OCSP responde com o status de revogação com base na CRL recuperada da CA.

O que a Microsoft está fazendo para ajudar a resolver esse problema?
Embora esse problema não resulte de um problema em nenhum produto da Microsoft, no entanto, atualizamos a Lista de Certificados Confiáveis para remover a confiança no certificado raiz do DigiNotar. A Microsoft continuará a investigar esse problema e poderá lançar uma atualização futura para proteger os clientes.

Como saber se encontrei um erro de certificado inválido?
Quando o Internet Explorer encontra um certificado inválido, os usuários recebem uma página da Web que diz: "Há um problema com o certificado de segurança deste site". Os usuários são incentivados a fechar a página da Web e navegar para fora do site quando essa mensagem de aviso for exibida.

Essa mensagem só é apresentada aos usuários quando o certificado é considerado inválido, por exemplo, quando o usuário tem a validação da CRL (Lista de Certificados Revogados) ou do OCSP (Online Certificate Status Protocol) habilitada. A validação OCSP é habilitada por padrão no Internet Explorer 7 e versões posteriores do Internet Explorer em edições com suporte do Windows Vista, Windows Server 2008, Windows 7 e Windows Server 2008 R2.

Ações sugeridas

Para versões suportadas do Microsoft Windows

A maioria dos clientes tem a atualização automática habilitada e não precisará executar nenhuma ação porque a atualização KB2616676 será baixada e instalada automaticamente. Os clientes que não habilitaram a atualização automática precisam verificar se há atualizações e instalar essa atualização manualmente. Para obter informações sobre opções de configuração específicas na atualização automática, consulte o Artigo 294871 da Base de Dados de Conhecimento Microsoft.

Para instalações de administradores e empresas, ou usuários finais que desejam instalar a atualização KB2616676 manualmente, a Microsoft recomenda que os clientes apliquem a atualização imediatamente usando o software de gerenciamento de atualizações ou verificando se há atualizações usando o serviço Microsoft Update . Para obter mais informações sobre como aplicar manualmente a atualização, consulte o artigo 2616676 da Base de Dados de Conhecimento Microsoft.

Embora a atualização KB2616676 substitua a atualização KB2607712, a atualização KB2607712 não é um pré-requisito para a atualização KB2616676. Independentemente de a atualização do KB2607712 ter sido aplicada ou não, os clientes devem aplicar a atualização KB2616676 para resolver o problema descrito neste comunicado. Os clientes que aplicam a atualização KB2616676 não precisam aplicar a atualização KB2607712.

Ações adicionais sugeridas

• Proteja seu PC

  Continuamos a incentivar os clientes a seguirem nossa orientação Proteja seu computador de habilitar um firewall, obter atualizações de software e instalar software antivírus. Os clientes podem saber mais sobre essas etapas visitando Proteja seu computador.

  Para obter mais informações sobre como se manter seguro na Internet, visite a Central de Segurança da Microsoft.

• Mantenha o software Microsoft atualizado

  Os usuários que executam o software da Microsoft devem aplicar as atualizações de segurança mais recentes da Microsoft para ajudar a garantir que seus computadores estejam o mais protegidos possível. Se você não tiver certeza se o software está atualizado, visite o Microsoft Update, verifique se há atualizações disponíveis no computador e instale as atualizações de alta prioridade que lhe são oferecidas. Se você tiver a atualização automática habilitada e configurada para fornecer atualizações para produtos Microsoft, as atualizações serão entregues a você quando forem lançadas, mas você deverá verificar se elas estão instaladas.

Outras Informações

Programa de Proteção Ativa da Microsoft (MAPP)

Para melhorar as proteções de segurança para os clientes, a Microsoft fornece informações sobre vulnerabilidades aos principais fornecedores de software de segurança antes de cada lançamento mensal da atualização de segurança. Os provedores de software de segurança podem usar essas informações de vulnerabilidade para fornecer proteções atualizadas aos clientes por meio de seus softwares ou dispositivos de segurança, como antivírus, sistemas de detecção de intrusão baseados em rede ou sistemas de prevenção de intrusão baseados em host. Para determinar se as proteções ativas estão disponíveis a partir de provedores de software de segurança, visite os sites de proteções ativas fornecidos por parceiros do programa, listados em Parceiros do Microsoft Active Protections Program (MAPP).

Feedback

• Você pode fornecer comentários preenchendo o formulário de Ajuda e Suporte da Microsoft, Atendimento ao Cliente Fale Conosco.

Suporte

• Os clientes nos Estados Unidos e no Canadá podem receber suporte técnico do Suporte de Segurança. Para obter mais informações sobre as opções de suporte disponíveis, consulte Ajuda e Suporte da Microsoft.
• Os clientes internacionais podem receber suporte de suas subsidiárias locais da Microsoft. Para obter mais informações sobre como entrar em contato com a Microsoft para problemas de suporte internacional, visite Suporte internacional.
• O Microsoft TechNet Security fornece informações adicionais sobre segurança em produtos Microsoft.

Aviso de isenção de responsabilidade

As informações fornecidas neste comunicado são fornecidas "no estado em que se encontram", sem garantia de qualquer tipo. A Microsoft se isenta de todas as garantias, expressas ou implícitas, incluindo as garantias de comercialização e adequação a uma finalidade específica. Em nenhuma circunstância a Microsoft Corporation ou seus fornecedores serão responsáveis por quaisquer danos, incluindo danos diretos, indiretos, incidentais, consequenciais, perda de lucros comerciais ou danos especiais, mesmo que a Microsoft Corporation ou seus fornecedores tenham sido avisados da possibilidade de tais danos. Alguns estados não permitem a exclusão ou limitação de responsabilidade por danos consequenciais ou incidentais, portanto, a limitação acima pode não se aplicar.

Revisões

• V1.0 (29 de agosto de 2011): Comunicado publicado.
• V2.0 (29 de agosto de 2011): Revisado para corrigir o número do comunicado errado.
• V3.0 (6 de setembro de 2011): Revisado para anunciar o lançamento de uma atualização que resolve esse problema.
• V4.0 (13 de setembro de 2011): Revisado para anunciar o lançamento da atualização do KB2616676 que aborda o problema descrito neste comunicado.
• V4.1 (13 de setembro de 2011): Revisado para anunciar a disponibilidade da atualização KB2616676 para a versão Windows Developer Preview. Consulte as Perguntas frequentes sobre atualização neste comunicado para obter mais informações.
• V5.0 (19 de setembro de 2011): Revisado para anunciar o relançamento da atualização KB2616676. Consulte as Perguntas frequentes sobre atualização neste comunicado para obter mais informações.

Construído em 2014-04-18T13:49:36Z-07:00