Microsoft تزيل سبعة جذور مرتبطة بـ eMudhra من قائمة الثقة في Windows

أصدرت Microsoft تحديثًا لـ Windows خارج النطاق يزيل سبع شهادات مرتبطة بمفاتيح CA وسيطة متأثرة لدى eMudhra، وتعتزم إزالة الشهادات نفسها من قائمة الثقة في Microsoft Edge يوم الثلاثاء 27 أكتوبر. تتعلق المشكلة بثمانية مفاتيح خاصة لـ CA وسيطة لدى eMudhra، ستة مرتبطة بـ TLS واثنان بتوقيع التعليمات البرمجية، كان يمكن استردادها وربما استخدامها لإنشاء شهادات أو توقيع محتوى يبدو صادرًا عن CA موثوقة؛ وقد نشأت في تسلسل eMudhra الهرمي ولم تكن اختراقًا لأنظمة Microsoft. على العملاء الذين تتسلسل شهاداتهم إلى إحدى الشهادات السبع المزالة أن يجدوا تلك التبعيات ويحصلوا على بدائل قبل وصول التغييرات إلى أجهزتهم.

حمايات فورية نُشرت بالفعل

في 20 أكتوبر، نشرت Microsoft تحديثًا لقائمة الثقة بالشهادات غير المسموح بها في Windows لحظر سلطات الشهادات المتأثرة. كما نشرت Microsoft تحديث CRLSet منفصلًا لـ Microsoft Edge وWebView2 لحظر شهادات TLS المتأثرة الموقعة من تلك السلطات. يُسلَّم تحديث Edge وWebView2 تلقائيًا عبر آلية تحديث المكوّنات ولا يتطلب تثبيت إصدار متصفح جديد. تعالج هذه الحمايات المفاتيح الوسيطة المخترقة المحددة وهي منفصلة عن إبطال eMudhra للشهادات الوسيطة المتأثرة.

إزالة الجذور من قوائم الثقة

يزيل تحديث Windows خارج النطاق الصادر في 26 أكتوبر ستة جذور eMudhra G3 وتوقيعًا متقاطعًا من AAA Certificate Services من قائمة الثقة في Windows. وتعتزم Microsoft إزالة الشهادات السبع نفسها من قائمة الثقة في Microsoft Edge يوم الثلاثاء 27 أكتوبر. وبمجرد وصول التغييرات إلى جهاز، لن تكون هذه الشهادات موثوقة افتراضيًا عبر قوائم الثقة المعنية. إزالة جذر من قائمة الثقة قرار أوسع من إبطال السلطات الوسيطة المتأثرة المعروفة، وهي منفصلة عن الحمايات السابقة التي حظرت المفاتيح الوسيطة المخترقة.

ما ينبغي للعملاء فعله

أبقِ التحديثات متدفقة بالسماح لتحديثات ثقة الشهادات التلقائية في Windows وتحديثات مكوّنات Edge بالوصول إلى الأجهزة. لأجهزة Windows غير المتصلة، تأكد من أن عملية التحديث توصل قائمة الثقة بالشهادات غير المسموح بها المحدّثة وتغييرات قائمة الثقة القادمة. راجع أجهزة Azure غير المتصلة العاملة على Virtual Machine Scale Sets أو أجهزة VM أحادية المثيل؛ تتوفر صور محدّثة في Azure Marketplace. إذا كانت أي شهادات تتسلسل إلى إحدى الشهادات السبع المزالة، فابحث عن تلك التبعيات واحصل على شهادات بديلة أو سلسلة ثقة بديلة قبل وصول التغييرات إلى أجهزتك. يجوز للمؤسسات ذات حاجة توافق محددة الوثوق بشهادة محليًا وفق تقييمها الأمني وسياساتها، لكن ينبغي ألا تعيد الثقة في تسلسل هرمي متأثر دون فهم المخاطر المرتبطة.

مزيد من المراجعة

تقيّم Microsoft الجذور المتبقية لـ eMudhra بشكل منفصل وسترتّب أي تغييرات إضافية مع انتقال العملاء المتأثرين بعيدًا عن تلك التسلسلات الهرمية. تواصل Microsoft التحقيق في نطاق المشكلة وستحدّث منشورها إذا أثّرت نتائج إضافية أو تغييرات ثقة على العملاء بشكل جوهري.

تغطية سابقة: تم اختراق ثمانية مفاتيح CA خاصة لـ eMudhra، وشغّلت المتصفحات حظرًا طارئًا

المصادر: Microsoft · The Register · Microsoft Support