Microsoft вилучає сім кореневих сертифікатів eMudhra зі списку довіри Windows

Microsoft випустила позапланове оновлення Windows, що вилучає сім сертифікатів, пов'язаних з ураженими проміжними ключами сертифікаційного центру eMudhra, і планує вилучити ті самі сертифікати зі списку довіри Microsoft Edge у вівторок, 27 жовтня. Проблема стосується восьми приватних ключів проміжних CA eMudhra, шість для TLS і два для підписування коду; їх можна було відновити й потенційно використати для створення сертифікатів або підписування вмісту, який виглядав би як походження від довіреного CA. Вона виникла в ієрархії сертифікатів eMudhra і не була компрометацією систем Microsoft. Клієнти, чиї сертифікати утворюють ланцюг до одного з семи вилучених сертифікатів, мають знайти ці залежності та отримати заміни до того, як зміни досягнуть їхніх пристроїв.

Негайні заходи захисту вже впроваджено

20 жовтня Microsoft опублікувала оновлення списку заборонених сертифікатів довіри Windows для блокування уражених сертифікаційних центрів. Microsoft також розгорнула окреме оновлення CRLSet для Microsoft Edge і WebView2 для блокування уражених TLS-сертифікатів, підписаних цими центрами. Оновлення Edge і WebView2 доставляється автоматично через механізм оновлення компонентів і не вимагає від клієнтів встановлення нової версії браузера. Ці заходи захисту стосуються виявлених скомпрометованих проміжних ключів і є окремими від відкликання eMudhra уражених проміжних сертифікатів.

Кореневі сертифікати, вилучені зі списків довіри

Позапланове оновлення Windows від 26 жовтня вилучає шість коренів eMudhra G3 і перехресний підпис AAA Certificate Services зі списку довіри Windows. Microsoft планує вилучити ті самі сім сертифікатів зі списку довіри Microsoft Edge у вівторок, 27 жовтня. Після того як зміни досягнуть пристрою, ці сертифікати більше не будуть довіреними за замовчуванням через відповідні списки довіри. Вилучення кореня зі списку довіри є ширшим рішенням щодо довіри, ніж відкликання відомих уражених проміжних сертифікаційних центрів, і є окремим від попередніх заходів захисту, що блокували скомпрометовані проміжні ключі.

Що мають зробити клієнти

Забезпечте надходження оновлень, дозволивши автоматичним оновленням довіри сертифікатів Windows і компонентним оновленням Edge досягати пристроїв. Для відключених від мережі пристроїв Windows переконайтеся, що процес оновлення доставляє оновлений список заборонених сертифікатів довіри та майбутні зміни списків довіри. Перевірте відключені пристрої Azure, що працюють у Virtual Machine Scale Sets або на одиночних віртуальних машинах; оновлені образи доступні в Azure Marketplace. Якщо будь-які сертифікати утворюють ланцюг до одного з семи вилучуваних сертифікатів, знайдіть ці залежності та отримайте сертифікати-замінники або альтернативний довірений ланцюг до того, як зміни досягнуть ваших пристроїв. Організації зі специфічною потребою сумісності можуть обрати локальну довіру до сертифіката згідно з власною оцінкою безпеки та політиками, але не повинні відновлювати довіру до ураженої ієрархії без розуміння пов'язаного ризику.

Подальший розгляд

Microsoft окремо оцінює решту коренів eMudhra і послідовно впроваджуватиме будь-які подальші зміни в міру переходу клієнтів, яких це стосується, від цих ієрархій. Microsoft продовжує досліджувати масштаб проблеми й оновить свою публікацію, якщо додаткові висновки або зміни довіри суттєво вплинуть на клієнтів.

Раніше про це: Вісім приватних ключів CA eMudhra зламано, браузери увімкнули екстрене блокування

Джерела: Microsoft · The Register · Microsoft Support