Microsoft-ը Windows-ի վստահության ցանկից հեռացնում է eMudhra-ի յոթ արմատային վկայագիր

Microsoft-ը թողարկել է Windows-ի արտահերթ թարմացում, որը հեռացնում է eMudhra-ի միջանկյալ CA բանալիներին կապված յոթ վկայագիր, և նախատեսում է նույն վկայագրերը հեռացնել Microsoft Edge-ի վստահության ցանկից երեքշաբթի, հոկտեմբերի 27-ին: Խնդիրը վերաբերում է eMudhra-ի միջանկյալ CA-ի ութ փակ բանալիներին, որոնցից վեցը կապված են TLS-ի հետ, իսկ երկուսը՝ կոդի ստորագրման հետ. դրանք կարող էին վերականգնվել և պոտենցիալ օգտագործվել վկայագրեր ստեղծելու կամ բովանդակություն ստորագրելու համար, որը կարող էր թվալ՝ վստահելի CA-ից եկած. այն առաջացել է eMudhra-ի վկայագրերի հիերարխիայում և չի եղել Microsoft-ի համակարգերի կոմպրոմետացում: Հաճախորդները, որոնց վկայագրերը շղթայվում են յոթ հեռացվող վկայագրերից մեկին, պետք է գտնեն այդ կախվածությունները և ստանան փոխարինումները մինչև փոփոխությունները հասնեն իրենց սարքերին:

Արդեն տեղակայված անհապաղ պաշտպանություններ

Հոկտեմբերի 20-ին Microsoft-ը հրապարակեց Windows-ի արգելված վկայագրերի վստահության ցանկի թարմացում՝ ազդված վկայագրող մարմինները արգելափակելու համար: Microsoft-ը նաև տեղակայեց առանձին CRLSet թարմացում Microsoft Edge-ի և WebView2-ի համար՝ այդ մարմինների կողմից ստորագրված ազդված TLS վկայագրերը արգելափակելու համար: Edge-ի և WebView2-ի թարմացումը ավտոմատ կերպով է մատուցվում բաղադրիչների թարմացման մեխանիզմի միջոցով և չի պահանջում, որ հաճախորդները տեղադրեն բրաուզերի նոր տարբերակ: Այս պաշտպանությունները վերաբերում են բացահայտված կոմպրոմետացված միջանկյալ բանալիներին և առանձին են eMudhra-ի՝ ազդված միջանկյալ վկայագրերի չեղարկումից:

Վստահության ցանկերից հեռացված արմատներ

Հոկտեմբերի 26-ի արտահերթ Windows թարմացումը Windows-ի վստահության ցանկից հեռացնում է eMudhra-ի G3 վեց արմատ և AAA Certificate Services-ի խաչաձև ստորագրումը: Microsoft-ը նախատեսում է նույն յոթ վկայագիրը հեռացնել Microsoft Edge-ի վստահության ցանկից երեքշաբթի, հոկտեմբերի 27-ին: Երբ փոփոխությունները հասնեն սարքին, այդ վկայագրերը լռելյայն այլևս չեն վստահվի համապատասխան վստահության ցանկերի միջոցով: Արմատի հեռացումը վստահության ցանկից ավելի լայն վստահության որոշում է, քան բացահայտված ազդված միջանկյալ վկայագրող մարմինների չեղարկումը, և այն առանձին է ավելի վաղ պաշտպանություններից, որոնք արգելափակել էին կոմպրոմետացված միջանկյալ բանալիները:

Ինչ պետք է անեն հաճախորդները

Թողեք թարմացումները հասնեն սարքերին՝ թույլ տալով ավտոմատ Windows վկայագրերի վստահության թարմացումներին և Edge-ի բաղադրիչների թարմացումներին հասնել դրանց: Անջատված Windows սարքերի համար համոզվեք, որ թարմացման գործընթացը մատուցում է թարմացված արգելված վկայագրերի վստահության ցանկը և առաջիկա վստահության ցանկի փոփոխությունները: Վերանայեք անջատված Azure սարքերը, որոնք աշխատում են Virtual Machine Scale Sets-ում կամ մեկ առանձին VM-ում. թարմացված պատկերները հասանելի են Azure Marketplace-ում: Եթե որևէ վկայագիր շղթայվում է յոթ հեռացվող վկայագրերից մեկին, գտեք այդ կախվածությունները և ստացեք փոխարինող վկայագրեր կամ այլընտրանքային վստահելի շղթա մինչև փոփոխությունները հասնեն ձեր սարքերին: Կազմակերպությունները, որոնք ունեն հատուկ համատեղելիության կարիք, կարող են ընտրել վկայագիրը տեղում վստահել, ենթակա իրենց անվտանգության գնահատմանը և քաղաքականությանը, բայց չպետք է վերականգնեն վստահությունը ազդված հիերարխիայում՝ առանց կապված ռիսկը հասկանալու:

Հետագա վերանայում

Microsoft-ը մնացած eMudhra արմատները առանձին է գնահատում և կհաջորդաբար իրականացնի հետագա փոփոխությունները՝ ազդված հաճախորդների՝ այդ հիերարխիաներից անցնելու ընթացքում: Microsoft-ը շարունակում է ուսումնասիրել այս խնդրի շրջանակը և կթարմացնի իր գրառումը, եթե լրացուցիչ բացահայտումները կամ վստահության փոփոխությունները էապես ազդեն հաճախորդների վրա:

Նախորդ լուսաբանում: Ութ eMudhra CA փակ բանալի կոմպրոմետացված է, բրաուզերները միացրել են արտակարգ արգելափակումը

Աղբյուրներ: Microsoft · The Register · Microsoft Support