Microsoft: Ukradené certifikáty neohrozí aktualizace Windows

Vyjádření Microsoftu přichází dva dny poté, co vyšlo najevo, že se z dílen holandské firmy DigiNotar ztratilo více než 500 SSL (secure socket layer) certifikátů, včetně několika určených pro aktualizační službu Windows Update. „Útočníci ale nejsou schopni využít podvodné certifikáty k instalaci malwaru prostřednictvím Windows Update serverů,“ uvedl na svém blogu Jonathan Ness, z Microsoft Security Response Center (MSRC). Windows Update klient prý akceptuje pouze kořenový certifikát vydaný společností Microsoft.

Sedm z celkem 531 dosud známých odcizených certifikátů bylo určeno pro domény update.microsoft.com a windowsupdate.com, zatímco dalších šest pak pro *.microsoft.com. Podle Microsoftu nemůže být doména  windowsupdate.com zneužita, protože ji společnost již delší dobu nepoužívá. U těch ostatních sice nějaká šance přeci jen existuje, ovšem jak řekl Ness, aktualizace jsou označené separátním certifikátem drženým společností. Bez tohoto označení bude každý pokus o šíření malwaru neúspěšný. Podobně postupují i další firmy včetně Applu.

K odcizení certifikátů společnosti DigiNotar došlo již v polovině července. Pracovníci firmy se zpočátku domnívali, že všechny podvodné certifikáty uvedli v neplatnost, ale později si uvědomili, že přehlédli jeden, který by útočníkům mohl dovolit vydávat se za jakoukoliv službu společnosti Google. DigiNotar proto vše raději zveřejnil.

Stejně jako Google či Mozilla, také Microsoft se rozhodl, že bude pro jistotu blokovat všechny certifikáty vydané společností DigiNotar. Chráněni jsou však zatím pouze majitelé novějších operačních systémů. Uživatelé Windows XP a Windows Server 2003 si budou muset počkat na vydání vlastní aktualizace. Do té doby se mohou sami bránit ručním odstraněním DigiNotaru ze seznamu schválených vydavatelů certifikátů.