Microsoft-მ Windows-ის სანდო სიიდან eMudhra-სთან დაკავშირებული შვიდი root სერტიფიკატი ამოიღო

Microsoft-მ გამოუშვა არაგეგმიური Windows-ის განახლება, რომელიც შლის eMudhra-ს დაზარალებულ შუალედურ CA გასაღებებთან დაკავშირებულ შვიდ სერტიფიკატს, და 27 ოქტომბერს, სამშაბათს, იგივე სერტიფიკატების Microsoft Edge-ის სანდო სიიდან ამოღებას გეგმავს. საკითხი ეხება რვა eMudhra-ს შუალედური CA-ს პირად გასაღებს, აქედან ექვსი TLS-ს, ორი კი კოდის ხელმოწერას უკავშირდება, რომლებიც შეიძლებოდა აღდგენილიყო და პოტენციურად გამოყენებულიყო სერტიფიკატების შესაქმნელად ან კონტენტის ხელმოსაწერად, რომელიც თითქოს სანდო CA-სგან მოდიოდა; ის eMudhra-ს სერტიფიკატების იერარქიაში წარმოიშვა და Microsoft-ის სისტემების კომპრომეტაცია არ ყოფილა. მომხმარებლებმა, რომელთა სერტიფიკატების ჯაჭვი ამოღებული შვიდი სერტიფიკატიდან ერთ-ერთს ეყრდნობა, უნდა იპოვონ ეს დამოკიდებულებები და მოიპოვონ შემცვლელი სერტიფიკატები მანამ, სანამ ცვლილებები მათ მოწყობილობებამდე მივა.

დაუყოვნებელი დაცვის ზომები უკვე ამოქმედებულია

20 ოქტომბერს Microsoft-მ გამოაქვეყნა Windows-ის აკრძალული სერტიფიკატების სანდოობის სიის (Disallowed Certificate Trust List) განახლება, რათა დაებლოკა დაზარალებული სერტიფიკატების ავტორიტეტები. Microsoft-მ ასევე დანერგა ცალკე CRLSet განახლება Microsoft Edge-ისა და WebView2-ისთვის, რათა დაებლოკა ამ ავტორიტეტების მიერ ხელმოწერილი დაზარალებული TLS სერტიფიკატები. Edge-ისა და WebView2-ის განახლება ავტომატურად მიეწოდება კომპონენტების განახლების მექანიზმით და არ მოითხოვს მომხმარებლების მხრიდან ბრაუზერის ახალი ვერსიის დაყენებას. ეს დაცვის ზომები ეხება გამოვლენილ კომპრომეტირებულ შუალედურ გასაღებებს და ცალკეა eMudhra-ს მიერ დაზარალებული შუალედური სერტიფიკატების გაუქმებისგან.

Root სერტიფიკატები სანდო სიებიდან ამოღებულია

26 ოქტომბრის არაგეგმიური Windows-ის განახლება Windows-ის სანდო სიიდან შლის ექვს eMudhra G3 root სერტიფიკატს და AAA Certificate Services-ის cross-sign-ს. Microsoft 27 ოქტომბერს, სამშაბათს, Microsoft Edge-ის სანდო სიიდან იმავე შვიდი სერტიფიკატის ამოღებას გეგმავს. როგორც კი ცვლილებები მოწყობილობამდე მივა, ეს სერტიფიკატები შესაბამისი სანდო სიებით ნაგულისხმევად აღარ იქნებიან სანდო. root სერტიფიკატის სანდო სიიდან ამოღება უფრო ფართო ნდობის გადაწყვეტილებაა, ვიდრე ცნობილი დაზარალებული შუალედური სერტიფიკატების ავტორიტეტების გაუქმება, და ცალკეა ადრინდელი დაცვის ზომებისგან, რომლებმაც კომპრომეტირებული შუალედური გასაღებები დაბლოკა.

რა უნდა გააკეთონ მომხმარებლებმა

განახლებების მიღება უზრუნველყავით: მისცეთ Windows-ის სერტიფიკატების სანდოობის ავტომატურ განახლებებსა და Edge-ის კომპონენტების განახლებებს მოწყობილობებამდე მისვლის საშუალება. ხაზგარეშე Windows-ის მოწყობილობებისთვის დარწმუნდით, რომ განახლების პროცესი მიაწვდის აკრძალული სერტიფიკატების სანდოობის სიის განახლებულ ვერსიას და სანდო სიის მომავალ ცვლილებებს. გადახედეთ Azure-ის ხაზგარეშე მოწყობილობებს, რომლებიც Virtual Machine Scale Sets-ზე ან ერთი ინსტანსის VM-ებზე მუშაობენ; განახლებული იმიჯები ხელმისაწვდომია Azure Marketplace-ში. თუ რომელიმე სერტიფიკატის ჯაჭვი ამოღებული შვიდი სერტიფიკატიდან ერთ-ერთს ეყრდნობა, იპოვეთ ეს დამოკიდებულებები და მიიღეთ შემცვლელი სერტიფიკატები ან ალტერნატიული სანდო ჯაჭვი მანამ, სანამ ცვლილებები თქვენს მოწყობილობებამდე მივა. ორგანიზაციებს, რომლებსაც კონკრეტული თავსებადობის საჭიროება აქვთ, შეუძლიათ სერტიფიკატი ლოკალურად სანდოდ მიიჩნიონ, საკუთარი უსაფრთხოების შეფასებისა და პოლიტიკის შესაბამისად, თუმცა დაზარალებულ იერარქიაში ნდობა არ უნდა აღადგინონ დაკავშირებული რისკის გააზრების გარეშე.

დამატებითი განხილვა

Microsoft ცალკე აფასებს eMudhra-ს დარჩენილ root სერტიფიკატებს და ნებისმიერ შემდგომ ცვლილებას იმ თანმიმდევრობით დაგეგმავს, როცა დაზარალებული მომხმარებლები ამ იერარქიებიდან გადავლენ. Microsoft აგრძელებს ამ პრობლემის მასშტაბის გამოძიებას და განაახლებს პოსტს, თუ დამატებითი აღმოჩენები ან ნდობის ცვლილებები მომხმარებლებზე არსებითად იმოქმედებს.

ადრინდელი გაშუქება: რვა eMudhra-ს CA-ს პირადი გასაღები გატეხილია, ბრაუზერებმა სასწრაფო ბლოკირება ჩართეს

წყაროები: Microsoft · The Register · Microsoft Support