Microsoft ha rilasciato aggiornamenti out-of-band, ovvero al di fuori del consueto ciclo mensile, per revocare la fiducia nei certificati legati a chiavi della certification authority eMudhra risultate compromesse. L’intervento è stato predisposto con urgenza perché il problema riguarda l’infrastruttura di fiducia dei certificati, un elemento alla base della sicurezza di numerose comunicazioni e applicazioni su Windows.
La misura tocca direttamente chi gestisce ambienti Windows in azienda, perché la revoca della fiducia può avere ripercussioni su servizi e software che utilizzano certificati emessi dalla CA coinvolta.
Perché è una questione delicata
I certificati sono il meccanismo che consente di verificare l’identità di server, servizi e applicazioni e di cifrare le comunicazioni. Quando le chiavi di una certification authority vengono compromesse, chi ne è in possesso può potenzialmente emettere certificati falsi a nome di qualunque soggetto, aprendo la strada ad attacchi di tipo man-in-the-middle e alla falsificazione dell’identità.
La decisione di Microsoft di non attendere il rilascio mensile riflette la gravità della situazione: distruttare la fiducia verso una CA è un’operazione che va fatta appena possibile, accettando il rischio di qualche disagio operativo nel breve periodo.
Che cosa comporta l’aggiornamento
Una volta applicato l’aggiornamento, Windows non considererà più affidabili i certificati emessi dalla CA coinvolta. Questo può tradursi in errori di connessione o avvisi di sicurezza per quei servizi che ancora presentano certificati revocati, e richiede una verifica da parte di chi amministra i sistemi per individuare e sostituire eventuali certificati interessati.
È un effetto atteso e voluto: il disagio è il prezzo da pagare per chiudere una falla che, se lasciata aperta, potrebbe essere sfruttata per compromettere comunicazioni eccessive.
Le azioni consigliate
Chi gestisce ambienti Windows dovrebbe applicare l’aggiornamento con priorità elevata e, parallelamente, ricercare nei propri sistemi i certificati emessi dalla CA eMudhra per capire quali servizi ne fanno uso. La sostituzione tempestiva dei certificati coinvolti evita che la revoca della fiducia provochi blocchi o malfunzionamenti nei servizi aziendali.
L’episodio è un buon promemoria dell’importanza di tenere inventari aggiornati dei certificati in uso e di rinnovarli per tempo: in un contesto in cui la fiducia è un bene essenziale, sapere da chi sono emessi e quando scadono i propri certificati è un elemento di igiene informatica imprescindibile.
Il rilascio out-of-band riguarda diverse versioni di Windows ancora supportate e va installato anche sui sistemi che non risultano esposti direttamente, per evitare che una configurazione non aggiornata diventi il punto di ingresso di un attacco successivo.
Per le amministrazioni e le aziende che gestiscono un numero elevato di endpoint, è consigliabile procedere con una distribuzione controllata, verificando gli esiti dell’aggiornamento e monitorando i servizi che dipendono da certificati, così da intervenire rapidamente su eventuali interruzioni.
La gestione dei certificati è uno di quegli aspetti che tende a passare in secondo piano fino a quando non emerge un problema; episodi come questo dimostrano quanto convenga invece mantenerla tra le attività ordinarie di presidio della sicurezza.
Fonte: BleepingComputer — https://www.bleepingcomputer.com/news/microsoft/microsoft-releases-windows-oob-updates-to-distrust-emudhra-certificates/