Am Puls von Microsoft

Weiteres Update gegen Zertifikats-Missbrauch angekündigt

Mindestlänge für RSA-Keys wird eingeführt.
Die Juli-Sicherheitsupdates sind kaum veröffentlicht, da widmet man sich bei Microsoft schon dem nächsten Patchday am 14. August. Die jüngsten Fälle von Zertifikats-Missbrauch haben die Sicherheits-Ingenieure offenbar aufgeschreckt, so dass man jetzt nicht auf den nächsten Fall warten möchte, sondern vorab präventive Maßnahmen ergreift.
So wird für RSA-Keys eine Mindestlänge von 1024 Bits vorgeschrieben. Mit dem letzten Zertifikatsupdate im Juni war diese Grenze erstmals eingeführt worden.
Wie auch immer – Zertifikate, deren RSA-Keys nicht die vorgeschriebene Länge haben, werden grundsätzlich als unsicher gekennzeichnet und abgewiesen – selbst dann, wenn sie über eine gültige Signatur verfügen.
Es geht aus der entsprechenden Ankündigung im „Security Research & Defense“ Blog, zwar nicht wortwörtlich erwähnt, es ist aber davon auszugehen, dass die neue Untergrenze auch für bereits im System hinterlegte Zertifikate gilt und diese für ungültig erklärt werden.

In einem Security Advisory führt Microsoft außerdem eine Liste von 23 Zertifikats-Quellen auf, die mit dem kommenden Update für ungültig erklärt werden. Microsoft betont allerdings, dass dies eine reine Vorsichtsmaßnahme sei und bisher keine Erkenntnisse über eventuellen Missbrauch vorliegen.

Eine weitere Änderung ist mit dem Juli-Patchday bereits in Kraft getreten – die Zertifikats-Sperrlisten in Windows werden künftig täglich aktualisiert, sofern automatische Updates aktiviert sind und der Patch KB2677070 installiert ist, der bereits im Juni veröffentlicht wurde.

Über den Autor

Martin Geuß

Martin Geuß

Ich bin Martin Geuß, und wie unschwer zu erkennen ist, fühle ich mich in der Windows-Welt zuhause. Seit 15 Jahren lasse ich die Welt an dem teilhaben, was mir zu Windows und anderen Microsoft-Produkten durch den Kopf geht, und manchmal ist das sogar interessant. Das wichtigste Motto meiner Arbeit lautet: Von mir - für Euch!

Anzeige