Microsoft: Windows Update ikke ramt af SSL-tyveri

Pyha. Stjålne SSL-certifikater kan ikke bruges til at installere malware via Windows Update. mener Microsoft.

Computerworld News Service: Microsoft fastslår, at de digitale certifikater, der er blevet stjålet fra den hollandske certifikatleverandør DigiNotar ikke kan anvendes til at tvangsfodre selskabets kunder med malware via Windows Update.

Det fremhæver selskabet efter et massivt tyveri af over 500 SSL-certifikater (secure socket layer), inklusiv adskillige der kan misbruges til at efterligne Microsofts services til opdatering. Du kan læse mere om tyveriet her.

"Det er ikke muligt for angribere at udnytte et falsk Windows Update-certifikat til at installere malware via Windows Update-serverne," fastslår Jonathan Ness, der er softwareingeniør hos Microsoft Security Response Center (MSRC), i et blogindlæg søndag.

"Windows Update-klienten vil kun installere binære data, der er underskrevet af et faktisk rodcertifikat fra Microsoft, hvilket udstedes og sikres af Microsoft.

Mange certifikater til Microsoft-domæner
Syv af de i alt 531 certifikater, der nu vides at være blevet udstedt i juli under falske forudsætninger til hackere, var til domænerne update.microsoft.com og windowsupdate.com, mens yderligere seks var til *.microsoft.com.

Certifikaterne til windowsupdate.com vil ifølge Microsoft ikke kunne misbruges af angribere, da selskabet ikke længere anvender dette domæne. (Windows Update ligger nu på windowsupdate.microsoft.com.)

Der er dog risiko for udnyttelse af update.microsoft.com - hvilket er domænet brugt af Microsoft Update - og af jokeren *.microsoft.com.

Som Ness påpeger, er opdateringerne, der leveres via Microsofts services, underskrevet med et separat certifikat, som Microsoft holder tæt ind til kroppen.

Uden dette code signing-certifikat vil forsøg på at levere malware forklædt som en opdatering til Windows altid slå fejl.

Andre leverandører heriblandt Apple underskriver også deres softwareopdateringer med et særskilt certifikat.

Læs også:

CIA og MI6 mister vigtige certifikater til hackere


Oversat af Thomas Bøndergaard


Ytringer på debatten er afsenders eget ansvar - læs debatreglerne
Indlæser debat...


Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
Computerworld A/S
Salg af telemarketing og research for it-branchen, it-kurser og konferencer

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
Få mere fart på og kvalitet i udviklingsafdelingen med DevOps

Få indsigt i den populære DevOps-tankegang, der kendetegner den moderne it-organisation, hvor samarbejde og integration er nogle af nøgleordene. Kom og hør konkrete cases fra virksomheder, der arbejder efter DevOps og mød de førende leverandører, der fortæller, hvordan du kommer derhen, hvor udviklingsafdelingen kan understøtte den digitale innovation med de ideer og i det tempo, som der forventes.

30. maj 2017 | Læs mere


Dropbox partnerdag 2017

Det er en fornøjelse at præsentere en ny stor forretningsmulighed med Dropbox Business. På partnerdag får I indsigt i både kommercielle og tekniske aspekter ved at sælge Dropbox Business. Arrangementet henvender sig til både eksisterende Dropbox-forhandlere i Danmark og til jer, der leder efter nye forretningsmuligheder, og som overvejer at blive Dropbox-forhandler.

31. maj 2017 | Læs mere


Business intelligence - den nye bølge: Få styr på de nye løsninger og alle mulighederne

En ny bølge af af moderne BI-løsninger og -produkter skaber helt nye muligheder. Vi sætter fokus på den nye BI-bølge.

07. juni 2017 | Læs mere






CIO
Bliv klar til EU-persondataforordningen: Ministerium klar med længe ventet dansk vejledning til den nye EU-lov
Justitsministeriet er efter en måneds forsinkelse klar med den store vejledning til EU's kommende persondataforordning, der kommer til at få konsekvenser for alle danske virksomheder. Se vejledningen her.
Comon
Ups - kontroversiel funktion kan afsløre utro Tinder-brugere
En funktion i den populære dating-app Tinder kan betyde, at du uforvarende kommer til at afsløre din dating-profil.
Job & Karriere
Dansk it-firma masseansætter: Skal bruge 90 nye medarbejdere med disse it-profiler
It-virksomheden BEC skal bruge 90 nye it-medarbejdere. Her kan du se de konkrete it-profiler, BEC er på udkig efter.
White paper
Stor undersøgelse: Det forventer danske it-folk på jobbet
I samarbejde med it-jobbank har Computerworld undersøgt, hvad it-folk lægger vægt på i et job. Flere end 2.000 it-folk deltog blandt Computerworlds og it-jobbanks brugere i juli og august måned 2016.