Update für aktuelle Windows-Versionen gg. unsichere SSL-Zertifikate

Das Redmonder Unternehmen hat eine außerplanmäßige Sicherheitswarnung veröffentlicht, diese steht im Zusammenhang mit "unsachgemäß verteilten SSL-Zertifikaten." Ein entsprechendes Update gegen diese als "kritisch" eingestufte Schwachstelle betrifft alle aktuellen Betriebssysteme des Konzerns. Microsoft schreibt in der Security Advisory 2982792 (via ZDNet), dass die Zertifikate verwendet werden können, um (fremde) Inhalte vorzutäuschen sowie Phishing- oder "Man-in-the-middle"-Attacken durchzuführen. Verantwortlich für deren Veröffentlichung ist das National Informatics Centre (NIC), eine Zertifikatsvergabebehörde der indischen Regierung, die Gründe dafür sind aber unbekannt.

Das Redmonder Unternehmen schreibt, dass alle derzeit aktuellen Windows-Versionen davon betroffen sind, auch die mobilen Ausgaben, also Windows Phone. Die Gegenmaßnahmen hat Microsoft in die Wege geleitet, diese werden teils automatisch und ohne dass der Nutzer etwas merkt, durchgeführt.

Update auf aktuellen Systemen automatisch

Das trifft in erster Linie auf die aktuellsten Betriebssysteme zu: Wer Windows 8.x, Windows Server 2012.x und Windows Phone 8.x in Betrieb hat, muss nichts machen, da Windows in diesen Fällen einen automatischen Mechanismus integriert hat, mit dem Zertifikate automatisch widerrufen werden können.

Ältere OS-Versionen, also Windows Vista, Windows 7, Windows Server 2008 und Windows Server 2008 R2, müssen den automatischen Updater für Aktualisierung der Stammzertifikate installiert haben und nutzen. Details dazu findet man in Knowledge Base-Artikel KB2677070. Wer das nicht eingerichtet hat, der findet unter dem vorherigen Link die Zertifikatvertrauensliste (CTL), für getrennte Umgebungen in Windows steht diese unter KB2813430 bereit.

Microsoft schreibt auf TechNet, dass derzeit kein Update für Windows Server 2003 bereit steht, man arbeite aber daran und wird die Security Advisory dann auch aktualisieren. Für Windows XP, dessen Support bekanntlich Anfang des Jahres abgelaufen ist, wird es hingegen keinerlei Update geben.