微软修补SSL安全威胁

全球补丁程序认为,除荷兰的操作系统以外,所有DigiNotar SSL证书都是不可信任的

微软正在发布一个全球补丁,该补丁认为除荷兰政府要求的荷兰OS外,所有DigiNotar SSL证书都是不可信任的。

由荷兰安全套接字层(SSL)证书提供商提供的DigiNotar颁发的所有证书,都是微软在对此事进行调查后得出的不可信结论。证书将在星期二移至“不受信任的证书列表”。

微软可信赖计算部门主管戴夫·弗斯特罗姆(Dave Forstrom)在一份声明中宣布,该补丁解决了所有版本的Windows和Windows Server(包括Windows XP和Server 2003)的问题。 安全咨询.

截至8月29日,证书信任列表(CTL)为 修订版 从证书颁发机构(CA)列表中删除DigiNotar。该列表具有有效的根证书,将针对Windows Vista,Windows 7和Windows Server 2008自动更新。WindowsVista及更高版本每7天检查一次列表中的更改,因此这些操作系统最后一次容易受到500个流氓DigiNotar证书的攻击。微软表示是9月5日。

Windows XP和Windows Server 2003使用必须通过安全补丁更新的静态列表。 “我们已通过此更新扩展了对我们的支持,因此,所有使用Windows XP,Windows Server 2003和所有Windows支持的第三方应用程序的客户都受到了保护,” Forstrom写道。此更新后,不再将所有DigiNotar证书用于HTTPS连接。

该补丁将于周二在全球范围内推出,只有一个例外。该公司在荷兰的一份新闻稿中表示,应政府的要求,微软不对荷兰的操作系统进行修补。微软荷兰表示:“应荷兰政府的明确要求,微软决定不自动为荷兰执行更新。”

为期一周的CTL更新仅撤销了DigiNotar证书的一部分。从星期二开始,它还包括荷兰政府和某些公司使用的“ PKIoverheid”根证书。荷兰政府要求延迟更新,因为它想让组织和企业有机会更换证书。荷兰政府在当地时间星期五晚上举行的罕见的每晚新闻发布会上禁止DigiNotar自己。想要修补其系统的管理员可以按照Microsoft发出的说明自行执行此操作。

周一,“ Comodohacker”在Pastebin的帖子中声称对DigiNotar进行了黑客攻击。 Comodohacker声称违反DigiNotar来惩罚荷兰政府在斯雷布雷尼察的行动,1995年波斯尼亚战争期间,塞尔维亚军队杀害了8000名穆斯林。

DigiNotar的系统遭到破坏后,颁发了500多个欺诈性SSL证书。 DigiNotar审计员Fox-IT周一发布的一份报告发现,在欺诈性证书下,可能有超过300,000个主要是伊朗唯一IP地址访问了Google帐户信息,这意味着与Google交换的数据可能已被拦截。

版权© 2011 IDG通讯,Inc.