Oggi, come annunciato in precedenza, abbiamo cominciato il processo di hardening di Windows Update. Abbiamo anche preparato un SRD blog post con maggiori informazioni sugli attacchi hash collision contro MD5 usati dal malware Flame. L'SRD blog dovrebbe rispondere a tutte le domande relative al collision attack.

Per attaccare i sistemi che utilizzano Windows Vista e versioni più recenti, un attacker avrebbe dovuto ottenere un certificato, ora invalido, del Terminal Server Licensing Service ed effettuare un sofisticato attacco MD5 hash collision. Su sistemi antecedenti a Vista, è possibile effettuare l'attacco senza hash collision. In entrambi i casi, ovviamente, un attacker deve far eseguire al sistema vittima il software firmato. Questo è possibile se la vittima riceve, tramite gli aggiornamenti automatici, il file firmato, dato che la firma utilizzata era considerata valida. Windows Update può essere impersonificato solo con un certificato non autorizzato in combinazione con un attacco Man in the Middle. Per risolvere questo problema, stiamo prendendo provvedimenti per rendere più sicuro Windows Update.

Quando accadono eventi come questo, per noi è importante prendere provvedimenti il più velocemente possibile, e proteggere gli utenti in maniera tempestiva. Questo è il motivo per il quale il nostro primo passo è stato quello di invalidare l'intera gerarchia di certificati appartenente al sistema di licenze di Terminal Server. Non ci siamo limitati a bloccare i certificati non autorizzati utilizzati da Flame, ma tutti quelli appartenenti a questa gerarchia. Abbiamo temporeggiato nel fornire maggiori informazioni sul  collision attack utilizzato per permettere agli utenti di installare l'aggiornamento pubblicato la scorsa domenica ed essere protetti.

Gerardo Di Giacomo
Security Program Manager - MSRC