Microsoft מסירה שבעה שורשי eMudhra מרשימת האמון של Windows

Microsoft פרסמה עדכון Windows מחוץ למסלול הרגיל שמסיר שבעה אישורים הקשורים למפתחות CA ביניים שנפגעו של eMudhra, והיא מתכננת להסיר את אותם אישורים מרשימת האמון של Microsoft Edge ביום שלישי, 27 באוקטובר. הבעיה נוגעת לשמונה מפתחות פרטיים של CA ביניים של eMudhra, שישה המשויכים ל-TLS ושניים לחתימת קוד, שניתן לשחזר ועלולים לשמש ליצירת אישורים או לחתימה על תוכן שנראה כאילו הגיע מ-CA מהימן; היא נוצרה בהיררכיית האישורים של eMudhra ולא הייתה פגיעה במערכות Microsoft. לקוחות שאישוריהם נקשרים בשרשרת לאחד משבעת האישורים שהוסרו צריכים לאתר את התלויות הללו ולהשיג תחליפים לפני שהשינויים יגיעו להתקנים שלהם.

הגנות מיידיות שכבר נפרסו

ב-20 באוקטובר, Microsoft פרסמה עדכון ל-Windows Disallowed Certificate Trust List כדי לחסום את רשויות האישורים המושפעות. Microsoft גם פרסה עדכון CRLSet נפרד עבור Microsoft Edge ו-WebView2 כדי לחסום אישורי TLS מושפעים שנחתמו בידי אותן רשויות. עדכון Edge ו-WebView2 מועבר אוטומטית דרך מנגנון עדכון הרכיבים ואינו מחייב לקוחות להתקין גרסת דפדפן חדשה. הגנות אלה מטפלות במפתחות הביניים שנפגעו שזוהו והן נפרדות מביטול האישורים של eMudhra עבור אישורי הביניים המושפעים.

שורשים שהוסרו מרשימות האמון

העדכון מחוץ למסלול הרגיל של Windows מ-26 באוקטובר מסיר שישה שורשי eMudhra G3 וחתימה צולבת של AAA Certificate Services מרשימת האמון של Windows. Microsoft מתכננת להסיר את אותם שבעה אישורים מרשימת האמון של Microsoft Edge ביום שלישי, 27 באוקטובר. לאחר שהשינויים יגיעו להתקן, אישורים אלה לא יהיו מהימנים כברירת מחדל דרך רשימות האמון המתאימות. הסרת שורש מרשימת אמון היא החלטת אמון רחבה יותר מאשר ביטול רשויות האישורים הביניים הידועים כמושפעים, והיא נפרדת מההגנות המוקדמות שחסמו את מפתחות הביניים שנפגעו.

מה על הלקוחות לעשות

יש להמשיך את זרימת העדכונים בכך שמאפשרים לעדכוני אמון אישורים אוטומטיים של Windows ולעדכוני רכיבים של Edge להגיע להתקנים. עבור התקני Windows מנותקים, יש לוודא שתהליך העדכון מספק את Windows Disallowed Certificate Trust List המעודכן ואת שינויי רשימת האמון הקרובים. יש לבדוק התקני Azure מנותקים הפועלים ב-Virtual Machine Scale Sets או ב-VMs בודדים; תמונות מעודכנות זמינות ב-Azure Marketplace. אם אישורים כלשהם נקשרים בשרשרת לאחד משבעת האישורים שמוסרים, יש לאתר את התלויות הללו ולהשיג אישורים חלופיים או שרשרת מהימנה חלופית לפני שהשינויים יגיעו להתקנים שלכם. ארגונים עם צורך ספציפי בתאימות רשאים לבחור לתת אמון באישור באופן מקומי, בכפוף להערכת האבטחה ולמדיניות שלהם, אך לא צריכים להחזיר אמון בהיררכיה מושפעת בלי להבין את הסיכון הנלווה.

בדיקה נוספת

Microsoft בוחנת את יתר שורשי eMudhra בנפרד ותתזמן כל שינוי נוסף ככל שלקוחות מושפעים עוברים מאותן היררכיות. Microsoft ממשיכה לחקור את היקף הבעיה ותעדכן את הפוסט שלה אם ממצאים נוספים או שינויי אמון ישפיעו באופן מהותי על לקוחות.

סיקור קודם: שמונת מפתחות CA פרטיים של eMudhra נפגעו, והדפדפנים הפעילו חסימה דחופה

מקורות: Microsoft · The Register · Microsoft Support