Sept. 2012

Serviço de Notificação Antecipada de setembro e um heads-up importante sobre certificados

 

Enquanto nos preparamos para as duas atualizações de segurança de setembro, gostaríamos de lembrar sobre uma importante alteração nos requisitos de certificado do Windows inclusos no Comunicado de Segurança 2661254 (Atualização do comprimento mínimo de chave de certificado). Em junho, começamos a anunciar essa alteração, que ajudará a melhorar a segurança em toda a plataforma do Windows, reforçando o requisito de comprimento mínimo de 1024 bits para chaves RSA de certificados usados na PKI (Infraestrutura de chave pública). Com o aumento do nível dos requisitos de certificado, como parte do nosso constante trabalho de avaliar os esforços de segurança da Microsoft e fazer melhorias, pretendemos ajudar a criar uma Internet mais segurança e confiável para todos.

 

Como muitos de vocês já sabem, o Comunicado de Segurança 2661254 já está disponível desde agosto no Cento de Download e no Catálogo do Microsoft Update, com total distribuição no Windows Update planejada para outubro de 2012. Para garantir que todos os clientes estejam preparados para a atualização, estamos reiterando esses comunicados antes de liberar a alteração de requisito com os boletins mensais de outubro. 9. Embora muitos já tenham deixado de utilizar esses certificados, será uma boa oportunidade para os clientes avaliarem inventários de ativos, em particular, os sistemas e aplicativos inutilizados a fim de "tirar poeira e teias de aranha", visto que esses sistemas e aplicativos ainda funcionam e não houve nenhuma razão para examiná-los.

 

Para aqueles que ainda estão usando certificados com chaves RSA menores do que 1024 bits, será necessário reemitir esses certificados a fim de atender à nova exigência. (De qualquer forma, 1024 bits deve ser considerado como o tamanho mínimo; as práticas de segurança mais atualizadas recomendam 2048 bits ou mais.) Avalie seu ambiente levando em consideração as informações disponíveis no Comunicado de Segurança 2661254 e, quanto à empresa, esteja ciente e preparada para solucionar quaisquer problemas conhecidos antes de outubro.

 

Entre os problemas conhecidos que podem surgir depois de o cliente aplicar essa atualização estão:

  • ·         Mensagens de erro durante a navegação em sites que possuem certificados SSL com chaves menores do que 1024 bits
  • ·         Problemas de registro de certificado quando a solicitação tenta utilizar uma chave menor do que 1024 bits
  • ·         Dificuldades para criar ou ler mensagens de e-mail (S/MIME) que utilizam chaves menores do que 1024 bits em assinaturas ou criptografias
  • ·         Dificuldades para instalar controles Active X que foram atribuídos a assinaturas com chaves menores do que 1024 bits
  • ·         Dificuldades para instalar aplicativos que foram atribuídos a assinaturas com chaves menores do que 1024 bits (exceto se tiverem sido atribuídos antes do dia 1º de janeiro de 2010, porque eles não serão bloqueados por padrão)

 

Estamos constantemente procurando meios de melhorar a segurança da empresa, internamente e em toda a colaboração do setor, em um esforço contínuo a fim de manter a segurança e a proteção contra ameaças conhecidas e desconhecidas. Essa atualização nos requisitos de comprimento de chave de certificado é outra medida defensiva que ajudará a estreitar o ecossistema do Windows.

 

Aguarde nosso comunicado sobre o Serviço de Notificação Antecipada de setembro. Setembro tem sido historicamente o mês de luz para atualizações de segurança, e neste mês temos dois boletins importantes sobre dois problemas no Visual Studio Team Foundation Server e no System Center Configuration Manager. Como habitual, o lançamento do boletim está programado para a segunda terça-feira do mês, dia 11 de setembro de 2012, por volta das 10 horas no Horário de Verão do Pacífico (EUA).

 

Para obter as últimas informações, siga a equipe MSRC no Twitter: @MSFTSecResponse.

 

Obrigada,
Angela Gunn
Gerente de Comunicações de Resposta Sênior
Microsoft Trustworthy Computing