安全公告2718704： 碰撞攻击详细信息，推出WU更新

我们今天已经对Windows Update采取了特别的加固措施，这是我们近期讨论的分阶段缓解策略的一部分。  我们将继续推荐所有尚未自动安装更新的用户立即安装更新。

要攻击Windows Vista以及更新的系统，潜在的攻击者必须具备目前已失效的终端服务器授权服务证书，并且能够成功进行复杂的MD5哈希碰撞。 在Vista之前的系统上，不利用MD5哈希碰撞也可以发起攻击。 当然，在上述任一情况下，攻击者都必须设法将其已签名的代码投放到目标系统上。 如果客户端的自动更新程序收到攻击者签名的上述数据包（由于只要数据包是经过微软证书签名的，这些数据包就会被视为可信），攻击者就可以实现这一目标。 只有通过结合使用未授权证书和中间人攻击才能仿冒Windows Update。 为了解决这个问题，我们还采取措施加固Windows Update基础架构，以及一些额外的的保护措施。

当有类似当前情况的事件发生时，快速做出响应并把保护客户放在首位对我们来说非常重要。 这就是为什么我们最初的响应是使所有与终端服务器授权相关的整个证书颁发机构层次结构失效的原因。 这同时适用于现在和过去的证书，而不是仅适用于“火焰”恶意软件所使用的已知特定证书。 这是一次广泛的行动，而且是保护最大范围数量用户的最快方式。 这也是我们持续进行调研，加固Windows Update渠道以进一步增强保护的原因。 这就是为什么我们等到今天，在大多数客户都得到保护、免除这些证书带来的风险后，才提供有关在这些攻击中是如何使用加密碰撞的更多细节。

我们将持续不断地进行分析调研，包括继续评估更多加固Windows Update渠道和代码签名证书控制措施。

有关火焰病毒恶意软件所用的MD5哈希碰撞攻击的更多详细信息, 请阅读博客： “火焰”恶意软件碰撞攻击详解

 

微软可信赖计算部

微软安全响应中心

Mike Reavey

 

推荐关注微软安全官方微博， 以及时获取最新微软安全信息：

腾讯微博 - https://t.qq.com/MicrosoftTwC

新浪微博 - https://www.weibo.com/microsofttwc