Source: https://technet.microsoft.com/pt-pt/library/security/2641690.aspx
Timestamp: 2018-03-22 02:43:20+00:00

Document:
Aviso de Segurança da Microsoft 2641690
Data de publicação: 10 de novembro de 2011 | Updated: 19 de janeiro de 2012
A Microsoft tem conhecimento que a DigiCert Sdn. A Bhd, uma autoridade de certificação subordinada (CA) da Malásia, com a Entrust e a GTE CyberTrust, publicou 22 certificados com chaves de 512 bits pouco seguras. Estas chaves de encriptação pouco seguras, quando descodificadas, poderiam permitir que um intruso utilizasse os certificados de forma fraudulenta para falsificar conteúdos (spoof), executar ataques de phishing ou executar ataques man-in-the-middle contra todos os utilizadores de browsers da Web, incluindo utilizadores do Internet Explorer. Embora esta não seja uma vulnerabilidade num produto Microsoft, esta questão afecta todas as edições suportadas do Microsoft Windows.
A DigiCert Sdn. A Bhd não é afiliada da Corporation DigiCert, Inc., membro do Microsoft Root Certificate Program.
Não há indicações de que os certificados tenham sido publicados de forma fraudulenta. Em vez disso, as chaves criptograficamente pouco seguras permitiram que alguns dos certificados tenham sido duplicados e utilizados de forma fraudulenta.
A Microsoft está a fornecer uma actualização para todas as edições suportadas do Microsoft Windows que revoga a confiança na DigiCert Sdn. Bhd. A actualização revoga a confiança dos dois seguintes certificados intermédios de CA:
Digisign Server ID – (Enrich), publicado pela Entrust.net Certification Authority (2048)
Digisign Server ID (Enrich), publicado pela GTE CyberTrust Global Root
Recomendação. A Microsoft recomenda que os clientes apliquem imediatamente a actualização de segurança, utilizando software de gestão de actualizações ou verificando as actualizações através do serviço Microsoft Update. Consulte a secção Acções Sugeridas deste aviso para obter mais informações.
Questões conhecidas. O Artigo 2641690 da Base de Dados de Conhecimento da Microsoft documenta as questões actualmente conhecidas que os clientes podem verificar quando instalam esta actualização. O artigo também documenta soluções recomendadas para estas questões.
Artigo da Base de Dados de Conhecimento da Microsoft 2641690
Software e Dispositivos Afectados
Este aviso abrange o seguinte software e dispositivos.
*Instalação Server Core afectada. Este aviso aplica-se às edições suportadas do Windows Server 2008 ou Windows Server 2008 R2, conforme indicado, quer a instalação tenha sido efectuada ou não utilizando a opção de instalação Server Core. Para obter mais informações sobre esta opção de instalação, consulte os artigos TechNet sobre Gestão de uma Instalação Server Core e Manutenção de uma Instalação Server Core. Tenha em atenção que a opção de instalação Server Core não se aplica a determinadas edições do Windows Server 2008 e Windows Server 2008 R2. Consulte Comparar as Opções de Instalação Server Core.
Porque é que este aviso foi revisto a 19 de Janeiro de 2012 ?
A Microsoft reviu este aviso para anunciar a publicação de uma actualização para dispositivos com o Windows Mobile 6.x, Windows Phone 7 e Windows Phone 7.5. Para obter mais informações, consulte o Artigo 2641690 da Base de Dados de Conhecimento da Microsoft.
Porque é que este aviso foi revisto a 16 de Novembro de 2011 ?
A Microsoft reviu este aviso para anunciar o relançamento da actualização KB2641690 para o Windows XP Professional x64 Edition Service Pack 2 e todas as edições suportadas do Windows Server 2003. A actualização relançada resolve uma questão indicada por clientes que utilizam os Windows Server Update Services (WSUS), onde a aplicabilidade da actualização não foi devidamente detectada.
Os clientes com o Windows XP Professional x64 Edition Service Pack 2 e todas as edições suportadas do Windows Server 2003 devem aplicar a versão relançada da actualização KB2641690 para garantirem a protecção contra o uso de certificados fraudulentos tal como descrito neste aviso. Os clientes com o Windows XP Service Pack 3 e as edições suportadas do Windows Vista, Windows Server 2008, Windows 7 e Windows Server 2008 R2 não são afectados por este relançamento.
A maioria dos clientes tem a actualização automática activada e não necessitará de efectuar qualquer acção, porque a actualização KB2641690 relançada será transferida e instalada automaticamente.
O objectivo deste aviso é informar os clientes que a DigiCert Sdn. A Bhd publicou 22 certificados com chaves de 512 bits pouco seguras. Estas chaves pouco seguras permitiram que alguns certificados fossem comprometidos. A Microsoft revogou a confiança desta CA subordinada numa actualização que transfere dois certificados intermédios de CA para o Arquivo de Certificados Não Fidedignos da Microsoft.
A Microsoft foi informada pela Entrust, uma CA no Microsoft Root Certificate Program, que uma das CAs subordinadas, a DigiCert Sdn. A Bhd publicou 22 certificados com chaves de 512 bits pouco seguras. Adicionalmente, esta CA subordinada publicou certificados sem as extensões de utilização ou informações de revogação adequadas. Trata-se de uma violação dos requisitos do Microsoft Root Certificate Program.
Não há indicações de que os certificados tenham sido publicados de forma fraudulenta. Em vez disso, as chaves criptograficamente pouco seguras permitiram que alguns dos certificados tenham sido duplicados e utilizados de forma fraudulenta. A Entrust e a GTE CyberTrust revogaram os certificados intermédios de CA publicados pela DigiCert Sdn. Bhd. A Microsoft está a fornecer uma actualização que revoga a confiança destes dois certificados intermédios para proteger mais os clientes.
De que forma pode um intruso duplicar um certificado?
Uma assinatura digital só pode ser criada pela pessoa que possui a chave privada do certificado. Um intruso pode tentar adivinhar a chave privada e utilizar técnicas matemáticas para determinar se uma tentativa está correcta. A dificuldade de adivinhar com sucesso a chave privada é proporcional ao número de bits utilizados na chave. Por essa razão, quanto maior for a chave mais tempo demorará até um intruso adivinhar a chave privada. Utilizando hardware moderno, as chaves de 512 bits podem ser descobertas em pouco tempo.
De que forma pode um intruso utilizar certificados fraudulentos ?
Um intruso poderia utilizar os certificados de 512 bits para falsificar conteúdos (spoof), executar ataques de phishing ou executar ataques man-in-the-middle contra todos os utilizadores de browsers da Web, incluindo utilizadores do Internet Explorer.
Embora esta questão não tenha origem em produtos da Microsoft, a Microsoft publicou uma actualização que transfere dois certificados intermédios emitidos pela Entrust e pela GTE CyberTrust para o Arquivo de Certificados Não Fidedignos da Microsoft. A Microsoft recomenda que os clientes apliquem de imediato a actualização.
Há um procedimento padrão que deve permitir que uma autoridade de certificação impeça a aceitação dos certificados caso sejam utilizados. Cada emissor de um certificado gera periodicamente uma Lista de Revogação de Certificados (CRL), que lista todos os certificados que devem ser considerados inválidos. Cada certificado deve fornecer um conjunto de dados chamado Ponto de Distribuição de CRL (CDP) que indica a localização onde a CRL pode ser obtida.
Algumas implementações de rede podem impedir actualizações do OCSP ou da CRL online e a Microsoft lançou uma actualização para todas as versões do Microsoft Windows que adiciona estes certificados ao Arquivo de Certificados Não Fidedignos da Microsoft. Transferir estes certificados para o Arquivo de Certificados Não Fidedignos da Microsoft garante que estes certificados fraudulentos não são considerados fidedignos em todos os cenários de implementações de rede.
Depois de aplicar a actualização, como posso verificar os certificados no Arquivo de Certificados Não Fidedignos da Microsoft?
Para edições suportadas do Microsoft Windows
A maioria dos clientes tem a actualização automática activada e não necessitará de efectuar qualquer acção, porque a actualização KB2641690 será transferida e instalada automaticamente. Os clientes que não tenham a actualização automática activada necessitam de verificar as actualizações e instalar esta actualização manualmente. Para obter informações sobre opções específicas de configuração da actualização automática, consulte o Artigo 294871 da Base de Dados de Conhecimento da Microsoft.
Para administradores e instalações empresariais ou utilizadores finais que pretendam instalar manualmente a actualização KB2641690, a Microsoft recomenda que os clientes apliquem imediatamente a actualização, utilizando software de gestão de actualizações ou verificando as actualizações através do serviço Microsoft Update. Para obter mais informações sobre como aplicar a actualização manualmente, consulte o Artigo 2641690 da Base de Dados de Conhecimento da Microsoft.
Para dispositivos com o Windows Mobile 6.x, Windows Phone 7 e Windows Phone 7.5
Para informações sobre a actualização para dispositivos com o Windows Mobile 6.x, Windows Phone 7 e Windows Phone 7.5, consulte o Artigo 2641690 da Base de Dados de Conhecimento da Microsoft.
V1.0 (10 de Novembro de 2011): Aviso publicado.
V2.0 (16 de Novembro de 2011): Revisto para anunciar o relançamento da actualização KB2641690. Para obter mais informações, consulte as Perguntas Mais Frequentes sobre a Actualização deste aviso. Além disso, ligação adicionada para o Artigo 2641690 da Base de Dados de Conhecimento da Microsoft, na secção Questões Conhecidas, no Resumo Executivo.
V3.0 (19 de Janeiro de 2012): Revisto para anunciar o lançamento de uma actualização para dispositivos com o Windows Mobile 6.x, Windows Phone 7 e Windows Phone 7.5.

References: Artigo 2641690
 Artigo 2641690
 Artigo 294871
 Artigo 2641690
 Artigo 2641690
 Artigo 2641690