Microsoft, Windows güven listesinden eMudhra bağlantılı yedi kök sertifikayı kaldırdı

Microsoft, etkilenen eMudhra ara sertifika yetkilisi anahtarlarına bağlı yedi sertifikayı kaldıran band dışı bir Windows güncellemesi yayımladı ve aynı sertifikaları Microsoft Edge güven listesinden Salı, 27 Ekim tarihinde kaldırmayı planlıyor. Sorun, TLS ile ilişkili altısı ve kod imzalama ile ilişkili ikisi olmak üzere sekiz eMudhra ara CA özel anahtarını içeriyor; bu anahtarlar kurtarılabildiğinden, güvenilir bir CA'dan gelmiş gibi görünen sertifikalar oluşturmak veya içerik imzalamak için potansiyel olarak kullanılabilir. Sorun eMudhra'nın sertifika hiyerarşisinde ortaya çıktı ve Microsoft sistemlerinin güvenliğinin aşılmasından kaynaklanmadı. Sertifikaları kaldırılan yedi sertifikadan birine zincirlenen sertifikaları olan müşteriler, bu bağımlılıkları bulmalı ve değişiklikler cihazlarına ulaşmadan önce yedeklerini edinmelidir.

Hemen devreye alınan korumalar

20 Ekim'de Microsoft, etkilenen sertifika yetkililerini engellemek için Windows Yasaklanmış Sertifika Güven Listesi güncellemesi yayımladı. Microsoft ayrıca, bu yetkililer tarafından imzalanmış etkilenen TLS sertifikalarını engellemek için Microsoft Edge ve WebView2 için ayrı bir CRLSet güncellemesi devreye aldı. Edge ve WebView2 güncellemesi bileşen güncelleme mekanizması aracılığıyla otomatik olarak sunulur ve müşterilerin yeni bir tarayıcı sürümü yüklemesi gerekmez. Bu korumalar belirlenen tehlikeye giren ara anahtarları ele alır ve eMudhra'nın etkilenen ara sertifikaları iptal etmesinden ayrıdır.

Güven listelerinden kaldırılan kökler

26 Ekim band dışı Windows güncellemesi, Windows güven listesinden altı eMudhra G3 kökünü ve bir AAA Certificate Services çapraz imzasını kaldırır. Microsoft, aynı yedi sertifikayı Microsoft Edge güven listesinden Salı, 27 Ekim tarihinde kaldırmayı planlıyor. Değişiklikler bir cihaza ulaştığında bu sertifikalar ilgili güven listeleri aracılığıyla varsayılan olarak artık güvenilir olmayacaktır. Bir kökü güven listesinden kaldırmak, bilinen etkilenmiş ara sertifika yetkililerini iptal etmekten daha geniş bir güven kararıdır ve tehlikeye giren ara anahtarları engelleyen önceki korumalardan ayrıdır.

Müşteriler ne yapmalı

Otomatik Windows sertifika güven güncellemelerine ve Edge bileşen güncellemelerine izin vererek güncellemelerin akışını sürdürün. Bağlantısız Windows cihazlarda güncelleme sürecinin güncellenmiş Yasaklanmış Sertifika Güven Listesini ve yaklaşan güven listesi değişikliklerini ilettiğinden emin olun. Virtual Machine Scale Sets veya tek örnekli VM'ler üzerinde çalışan bağlantısız Azure cihazlarını gözden geçirin; Azure Marketplace'te güncellenmiş görüntüler mevcuttur. Kaldırılan yedi sertifikadan birine zincirlenen sertifikalar varsa, bu bağımlılıkları bulun ve değişiklikler cihazlarınıza ulaşmadan önce yedek sertifikalar veya alternatif güvenilir bir zincir edinin. Belirli bir uyumluluk ihtiyacı olan kuruluşlar kendi güvenlik değerlendirmelerine ve politikalarına bağlı olarak bir sertifikaya yerel olarak güvenmeyi seçebilir, ancak ilişkili riski anlamadan etkilenen bir hiyerarşiye güveni geri yüklememelidir.

Ek inceleme

Microsoft kalan eMudhra köklerini ayrı ayrı değerlendiriyor ve etkilenen müşteriler bu hiyerarşilerden uzaklaştıkça daha fazla değişikliği sıralayacak. Microsoft bu sorunun kapsamını araştırmaya devam ediyor ve ek bulgular veya güven değişiklikleri müşterileri önemli ölçüde etkilerse gönderisini güncelleyecektir.

Önceki haber: Sekiz eMudhra CA anahtarı ele geçirildi, tarayıcılar acil blokajı etkinleştirdi

Kaynaklar: Microsoft · The Register · Microsoft Support