Microsoft Windows etibar siyahısından eMudhra ilə bağlı yeddi kök sertifikatı çıxarır

Microsoft eMudhra ara sertifikat orqanı açarları ilə əlaqəli yeddi sertifikatı silən planlaşdırılmışdan kənar Windows yeniləməsi buraxdı və həmin sertifikatları Microsoft Edge etibar siyahısından 27 oktyabr, çərşənbə axşamı silməyi planlaşdırır. Məsələ TLS ilə əlaqəli altı və kod imzalama ilə əlaqəli iki olmaqla, səkkiz eMudhra ara CA şəxsi açarını əhatə edir; onlar bərpa edilə bilərdi və etibarlı CA-dan gəlirmiş kimi sertifikat yaratmaq və ya məzmun imzalamaq üçün istifadə edilə bilərdi. Problem eMudhra sertifikat iyerarxiyasında yaranıb və Microsoft sistemlərinin pozulması deyil. Sertifikatları yeddi silinən sertifikatdan birinə zəncirlənən müştərilər bu asılılıqları tapmalı və dəyişikliklər cihazlarına çatmazdan əvvəl əvəzlərini əldə etməlidirlər.

İndi yerləşdirilmiş qoruyucu tədbirlər

20 oktyabrda Microsoft təsirlənmiş sertifikat orqanlarını bloklamaq üçün Windows Disallowed Certificate Trust List yeniləməsi dərc etdi. Microsoft həmçinin həmin orqanlar tərəfindən imzalanmış təsirlənmiş TLS sertifikatlarını bloklamaq üçün Microsoft Edge və WebView2 üçün ayrıca CRLSet yeniləməsi yerləşdirdi. Edge və WebView2 yeniləməsi komponent yeniləmə mexanizmi vasitəsilə avtomatik çatdırılır və müştərilərdən yeni brauzer versiyası quraşdırmağı tələb etmir. Bu qoruyucu tədbirlər müəyyən edilmiş pozulmuş ara açarları əhatə edir və eMudhra-nın təsirlənmiş ara sertifikatlarını ləğv etməsindən ayrıdır.

Etibar siyahılarından silinən köklər

26 oktyabr planlaşdırılmışdan kənar Windows yeniləməsi Windows etibar siyahısından altı eMudhra G3 kökünü və AAA Certificate Services cross-sign sertifikatını silir. Microsoft həmin yeddi sertifikatı Microsoft Edge etibar siyahısından 27 oktyabr, çərşənbə axşamı silməyi planlaşdırır. Dəyişikliklər cihaza çatdıqdan sonra bu sertifikatlar müvafiq etibar siyahıları vasitəsilə artıq default olaraq etibarlı olmayacaq. Kök sertifikatın etibar siyahısından silinməsi məlum təsirlənmiş ara sertifikat orqanlarının ləğv edilməsindən daha geniş etibar qərarıdır və pozulmuş ara açarları bloklayan əvvəlki qoruyucu tədbirlərdən ayrıdır.

Müştərilər nə etməlidir

Yeniləmələrin axınını təmin etmək üçün avtomatik Windows sertifikat etibar yeniləmələrinin və Edge komponent yeniləmələrinin cihazlara çatmasına icazə verin. Bağlantısız Windows cihazları üçün yeniləmə prosesinin yenilənmiş Disallowed Certificate Trust List-i və qarşıdan gələn etibar siyahısı dəyişikliklərini çatdırdığından əmin olun. Virtual Machine Scale Sets və ya tək instansiyalı VM-lərdə işləyən bağlantısız Azure cihazlarını yoxlayın; Azure Marketplace-də yenilənmiş image-lər mövcuddur. Əgər hər hansı sertifikat silinən yeddi sertifikatdan birinə zəncirlənirsə, bu asılılıqları tapın və dəyişikliklər cihazlarınıza çatmazdan əvvəl əvəz sertifikatları və ya alternativ etibarlı zəncir əldə edin. Xüsusi uyğunluq ehtiyacı olan təşkilatlar öz təhlükəsizlik qiymətləndirməsi və siyasətlərinə tabe olaraq sertifikata lokal etibar etməyi seçə bilərlər, lakin riski anlamadan təsirlənmiş iyerarxiyaya etibarı bərpa etməməlidirlər.

Əlavə araşdırma

Microsoft qalan eMudhra köklərini ayrıca qiymətləndirir və təsirlənmiş müştərilər həmin iyerarxiyalardan uzaqlaşdıqca hər hansı əlavə dəyişiklikləri ardıcıllıqla tətbiq edəcək. Microsoft bu məsələnin miqyasını araşdırmağa davam edir və əlavə tapıntılar və ya etibar dəyişiklikləri müştərilərə əhəmiyyətli təsir göstərərsə, yazısını yeniləyəcək.

Əvvəlki material: Səkkiz eMudhra CA şəxsi açarı pozulub, brauzerlər təcili bloklama işə saldı

Mənbələr: Microsoft · The Register · Microsoft Support