セキュリティ アドバイザリ 3046310「不適切に発行されたデジタル証明書により、なりすましが行われる」を公開

2015 年 3 月 17 日、セキュリティ アドバイザリ 3046310「不適切に発行されたデジタル証明書により、なりすましが行われる」を公開しました。

(2015/03/17 16:15: 日本語サイトを公開しました。)

概要

証明機関から発行されるデジタル証明書は、Web サイトが正規のサイトであることを確認するために利用されます。不適切に発行されたデジタル証明書は、なりすまし、フィッシング、または中間者攻撃に悪用される可能性があります。マイクロソフトでは、証明機関と提携し、信頼される証明書および信頼できない不正な証明書の更新を行っています。今回、デジタル証明書の悪用からお客様を保護するために、マイクロソフトは証明書信頼リスト (CTL) を更新し不正な証明書の信頼を排除する更新を行いました。

今回、排除を行った証明書は、live.fi ドメイン用に不正に発行された証明書です。

なお、マイクロソフトは現在、この問題に関連した攻撃を確認していません。

影響を受ける製品および回避策の展開方法など、詳細についてはセキュリティ アドバイザリ 3046310を参照してください。

推奨するアクション

• Windows 8、Windows 8.1、Windows RT、Windows RT 8.1、Windows Server 2012、Windows Server 2012 R2 をご利用のお客様

  • 証明書の自動更新ツールが既定で実装されており、自動的に保護が行われるので、措置を講じる必要はありません。

• Windows Vista、Windows 7、Windows Server 2008、Windows Server 2008 R2 をご利用のお客様

  • 証明書の自動更新ツール (サポート技術情報 2677070) を利用している場合、自動的に保護が行われるので、措置を講じる必要はありません。非インターネット環境など、自動更新ツールを利用できない環境を利用している場合は、非接続環境用の構成 (サポート技術情報 2813430) を行ってください。

• Windows Server 2003 をご利用のお客様

  • Windows Server 2003 用の更新プログラムは、3 月 19 日 (米国時間) に公開予定です。 (3 月 20 日更新) 予定通り、Windows Server 2003 環境で利用できる更新プログラムが公開されました。詳細は、サポート技術情報 3046310をご参照ください。

関連リンク

ルート証明書プログラムおよび自動更新ツールについては以下のブログも合わせて参照してください。

• 証明書更新機能の進化と Windows XP サポート終了後のリスク

• マイクロソフトが提供する信頼できる証明書利用基盤 ～ルート証明書更新プログラムと更新ツール ～

• セキュリティ アドバイザリ 2854544 (KB2813430) ～ ルート証明書更新プログラムの管理強化