Microsoft: Windows Update an toàn với các chứng chỉ SSL bị đánh cắp

Hôm 4/9/2011 Microsoft cho biết, chứng chỉ số bị đánh cắp từ một công ty Hà Lan không thể dùng để cài phần mềm độc hại (malware) thông qua dịch vụ Windows Update.

Khẳng định của Microsoft đưa ra sau khi xảy ra vụ trộm hơn 500 chứng chỉ SSL (Secure Socket Layer) - trong đó có một số có thể được sử dụng để mạo danh các dịch vụ cập nhật của Microsoft - đã được nhà chức trách Hà Lan và một số nhà phát triển bị ảnh hưởng khác tiết lộ.

"Những kẻ tấn công không thể tận dụng chứng chỉ Windows Update gian lận để cài đặt malware thông qua các máy chủ Windows Update", hôm Chủ nhật 4/9/2011 kỹ sư bảo mật Jonathan Ness của đội Microsoft Response Center (MSRC) cho biết trong một bài viết trên blog. "Trình Windows Update trên máy khách sẽ chỉ cài đặt các nội dung nhị phân có chữ ký của chứng chỉ gốc Microsoft, được Microsoft ban hành và bảo vệ".

7 trong số 531 chứng chỉ đã bị tin tặc chiếm đoạt từ hồi tháng 7/2011 là cho các tên miền (domain) update.microsoft.com và windowsupdate.com, 6 chứng chỉ khác là cho *. microsoft.com.

Theo Microsoft, các chứng chỉ được phát hành cho windowsupdate.com không thể bị những kẻ tấn công sử dụng bởi vì công ty không còn sử dụng tên miền đó nữa (Windows Update hiện đặt tại địa chỉ windowsupdate.microsoft.com) Tuy nhiên, những chứng chỉ cho update.microsoft.com (tên miền cho Microsoft Update) và cho *.microsoft.com thì có thể bị những kẻ tấn công sử dụng.

Như ông Ness cho biết, những bản cập nhật được phân phối thông qua các dịch vụ của Microsoft được ghi ký hiệu với một chứng chỉ được công ty giữ rất chặt chẽ. Nếu không có chứng chỉ này, mọi nỗ lực để cung cấp malware giả mạo như là một bản cập nhật cho máy tính Windows sẽ đều thất bại.