„Windows“ pašalino pavojingus skaitmeninius sertifikatus: kompromituoti raktai galėjo padėti apsimesti patikimomis svetainėmis

Sekite TechNaujienos Google

„Microsoft“ išplatino neeilinį „Windows“ saugumo atnaujinimą, skirtą apsaugoti kompiuterius nuo skaitmeninių sertifikatų, kurių pasitikėjimas tapo nesaugus. Problema kilo ne pačios „Microsoft“ sistemose, o Indijos sertifikavimo paslaugų bendrovės „eMudhra“ infrastruktūroje: tam tikrų tarpinių sertifikatų institucijų privačius raktus buvo įmanoma atkurti. Tokiais raktais potencialiai galima pasirašyti netikrus interneto svetainių sertifikatus arba programinę įrangą, kuri vartotojams atrodytų patikima.

Spalio 26 dieną „Microsoft Security Response Center“ paskelbė išsamų paaiškinimą, kurį spalio 27 dieną papildė nauja informacija. Bendrovė nustatė aštuonis paveiktus tarpinių sertifikatų institucijų raktus: šešis, susijusius su TLS, ir du, skirtus programinės įrangos kodui pasirašyti. Tai nereiškia, kad kiekvienas „Windows“ kompiuteris buvo nulaužtas, tačiau atskleidžia rimtą pasitikėjimo infrastruktūros problemą.

TLS sertifikatai padeda naršyklei patikrinti, ar ji jungiasi prie tikros svetainės ir ar ryšys su ja šifruojamas. Jei užpuolikas galėtų sukurti patikimai atrodančius sertifikatus naudodamas kompromituotą raktą, tam tikromis sąlygomis taptų įmanoma apsimesti kitu paslaugų teikėju ir perimti ryšį. Kodo pasirašymo sertifikatai veikia kitaip: jie patvirtina tariamą programos leidėją, todėl jų kompromitavimas gali padėti kenkėjišką failą pateikti kaip teisėtą.

Kaip sureagavo „Microsoft“

Bendrovė keliais etapais įdiegė apsaugines priemones. Spalio 20 dieną buvo atnaujintas „Windows“ draudžiamų sertifikatų sąrašas, kad paveiktos tarpinės institucijos nebegalėtų būti naudojamos pasitikėjimui įrodyti. „Microsoft Edge“ ir „WebView2“ gavo atskirus automatiškai pristatomus sertifikatų blokavimo pakeitimus. Taigi ne kiekvienam vartotojui buvo būtina rankomis atsisiųsti naują naršyklės versiją.

Naujausi straipsniai

4 min. skaitymo • prieš 43 minutės

Rusijos dronai keičia keliones Ukrainoje: keleivius iš traukinių evakuoja kelis kartus per naktį, žuvo per 50 geležinkelininkų

4 min. skaitymo • prieš 1 val

„Instagram“ meta iššūkį „YouTube“: pradėjo bandyti iki 90 minučių vaizdo įrašus

4 min. skaitymo • prieš 1 val

„Discord“ vieši pokalbiai netrukus gali atsirasti „Google“ paieškoje – ką svarbu žinoti Lietuvos naudotojams

Visi naujausi straipsniai →

Spalio 26 dieną bendrovė išleido papildomą neeilinį atnaujinimą, pašalinantį septynis susijusius šakninius arba kryžminio pasirašymo sertifikatus iš „Windows“ pasitikėjimo sąrašo. Kitą dieną tie patys sertifikatai pašalinti iš „Edge“ sąrašo. Tai platesnis sprendimas nei vien kompromituotų tarpinių raktų blokavimas: operacinė sistema apskritai nustoja automatiškai pasitikėti nurodyta sertifikatų grandine.

Svarbi detalė: bendrovė aiškiai atskyrė šį incidentą nuo tiesioginio įsilaužimo į jos sistemas. Paveiktos buvo „eMudhra“ sertifikatų pasitikėjimo grandinės, o ne „Windows“ slaptažodžių saugyklos ar visų vartotojų paskyros. „Microsoft“ taip pat nenurodė, kad kiekvienam vartotojui būtų tekę keisti slaptažodį vien dėl šio įvykio.

Ką patikrinti savo kompiuteryje

Įprastam vartotojui aktualiausia užtikrinti, kad „Windows Update“ veiktų ir saugumo bei pasitikėjimo sąrašų atnaujinimai nebūtų užblokuoti. „Edge“ komponentų atnaujinimai paprastai įdiegiami automatiškai. Įmonėse IT administratoriams svarbu patikrinti uždarų tinklų, izoliuotų kompiuterių ar specialių pasitikėjimo taisyklių naudojimą, nes kai kurios sistemos gali būti neprisijungusios prie automatinio atnaujinimų kanalo.

Administruojant sudėtingas sistemas kyla ir suderinamumo iššūkių. Jei senas vidinis verslo sprendimas buvo priklausomas nuo pašalintos sertifikatų grandinės, po atnaujinimo jis gali pradėti rodyti pasitikėjimo klaidą. Tačiau aklai grąžinti pašalintą sertifikatą į patikimų sąrašą yra rizikinga: taip gali būti vėl suteiktas pasitikėjimas nepageidaujamai grandinei. „Microsoft“ ragina tokius sprendimus priimti tik įvertinus saugumo pasekmes.

Sertifikatų patikimumas ypač svarbus elektroninei prekybai, bankininkystei ir įmonių nuotolinio darbo sistemoms. Net jei incidento priežastis yra už Lietuvos ribų, interneto paslaugų sertifikavimas remiasi tarptautine pasitikėjimo infrastruktūra. Dėl to tokie atvejai gali turėti potencialų poveikį ir Lietuvos organizacijoms, naudojančioms pasaulinius sertifikatų teikėjus.

Skaitmeninių sertifikatų sistemos veikia pagal vadinamąją pasitikėjimo grandinę: operacinė sistema ar naršyklė pasitiki tam tikromis šakninėmis institucijomis, o jos gali suteikti įgaliojimus kitoms institucijoms. Jei žemesnėje grandies vietoje atsiranda privačių raktų problema, rizika gali išplisti į daugelį paslaugų. Todėl sertifikatų atšaukimas ar pašalinimas iš patikimų sąrašų yra svarbi reagavimo priemonė, tačiau kartu gali paveikti teisėtas paslaugas, kurios vis dar naudojasi susijusiais sertifikatais.

Šis atvejis taip pat primena, kad užšifruoto ryšio simbolis naršyklėje nėra neklystantis įrodymas, jog pati svetainė saugi. Net ir esant techniškai tinkamam sertifikatui, naudotojas gali patekti į sukčių sukurtą svetainę kitu adresu. Todėl kritiškai vertinti nuorodas, tikrinti domeną ir naudoti papildomą prisijungimo apsaugą išlieka svarbu net po saugumo atnaujinimų.

Anksčiau rašėme apie papildomų prisijungimo apsaugos priemonių pasirinkimą. Tačiau net geriausia dviejų veiksnių autentifikacija nepakeičia būtinybės užtikrinti saugų ir patikimą ryšį su paslaugos serveriu. Šis incidentas primena, kad skaitmeninį saugumą sudaro kelios viena nuo kitos priklausančios sistemos, o jų silpnoji grandis kartais būna mažai žinomas sertifikavimo paslaugų teikėjas.