MS02-050: Fout bij certificaatverificatie kan vervalsing van identiteit toestaan

De eerste versie van het Microsoft-beveiligingsbulletin MS02-050 werd uitgebracht op 5 september 2002. Op 9 september 2002 is het bulletin bijgewerkt om klanten erop te wijzen dat een digitaal certificaat van Microsoft voor het ondertekenen van apparaatstuurprogramma's niet meer voldeed aan de strengere verificatiestandaard in deze patch. Klanten die de patch installeren, krijgen daarom wellicht onverwachte foutberichten wanneer ze nieuwe hardware installeren of kunnen in sommige gevallen geen nieuwe hardware installeren. Er is een bijgewerkte patch uitgebracht op 20 november 2002. Deze nieuwe patch lost niet alleen dit probleem op, maar biedt tevens bescherming tegen een onlangs ontdekte variant van het oorspronkelijke beveiligingslek.

In het IETF-profiel van de X.509-certificaatstandaard worden een aantal optionele velden gedefinieerd die kunnen worden opgenomen in een digitaal certificaat. Een van deze velden is het veld Essentiële beperkingen, dat de maximaal toegestane lengte van de certificaatketen aangeeft en of het certificaat een certificeringsinstantie of een eindentiteitcertificaat is. De functies in CryptoAPI die de certificaatketens maken en verifiëren (de functies CertGetCertificateChain, CertVerifyCertificateChainPolicy en WinVerifyTrust), controleren het veld Essentiële beperkingen echter niet. Dezelfde fout treedt ook in enkele Microsoft-producten voor Macintosh op. In dat geval wordt de fout niet veroorzaakt door CryptoAPI.

Het beveiligingslek dat in de oorspronkelijke versie van het bulletin is herkend, kan een aanvaller, of kwaadwillende gebruiker, met een geldig eindentiteitcertificaat toestaan een ondergeschikt certificaat te verlenen dat wordt gevalideerd, hoewel het niet geldig is. Omdat CryptoAPI door veel toepassingen wordt gebruikt, kan de kwaadwillende gebruiker zich op verschillende manieren voordoen als iemand anders. Dit kan onder andere door:

• Het bouwen van een website die zich voordoet als een andere website door een SSL-sessie tot stand te brengen als de originele website.
• Het verzenden van e-mailberichten die worden ondertekend met een digitaal certificaat dat ogenschijnlijk van een andere gebruiker is.
• Het vervalsen van verificatiesystemen die zijn gebaseerd op certificaatcontrole om toegang te krijgen als een gebruiker met veel machtigingen.
• Schadelijke software digitaal ondertekenen met een Authenticode-certificaat dat lijkt te zijn uitgegeven door een bedrijf dat gebruikers wellicht vertrouwen.

Het onlangs vastgestelde beveiligingslek dat is aangekondigd op 20 november 2002, komt sterk overeen met het beveiligingslek dat wordt beschreven in de oorspronkelijke versie van het bulletin. Net als dat beveiligingslek bestaat het nieuwe lek uit een fout in de manier waarop certificaatverificatie wordt uitgevoerd. Dit beveiligingslek stelt een aanvaller echter in staat volledig beheer over de computer van een gebruiker te krijgen. Omdat de oplossing voor dit beveiligingslek niet was opgenomen in de aanvankelijke versie van de patch, wordt klanten aangeraden de nieuwe patch te installeren, zelfs wanneer deze de aanvankelijke versie van de patch al hebben geïnstalleerd.

Alleen Microsoft Windows 98, Microsoft Windows 98 Tweede editie, Microsoft Windows NT 4.0 en Microsoft Windows NT 4.0, Terminal Server-editie worden beïnvloed door deze variant van het beveiligingslek.

Klik op een van de volgende koppelingen voor meer informatie over het corrigeren van dit beveiligingslek:

• Windows XP (alle versies)
• Windows 2000 (alle versies)
• Windows NT 4.0 (alle versies)
• Windows ME, Windows 98 Tweede editie, Windows 98
• Office v. X, Office 2001, Office 98 voor Mac; Outlook Express voor Mac; Internet Explorer voor Mac

Windows XP (alle versies)

Downloadgegevens

U kunt het volgende bestand downloaden van het Microsoft Downloadcentrum:

Releasedatum: 20.11.02

Voor meer informatie over het downloaden van Microsoft-ondersteuningsbestanden klikt u op het volgende artikelnummer in de Microsoft Knowledge Base: Microsoft heeft dit bestand op virussen gecontroleerd. Hiervoor is de meest actuele software voor virusdetectie gebruikt die beschikbaar was op de datum dat het bestand beschikbaar werd gesteld. Het bestand is ondergebracht op beveiligde servers die onbevoegde wijzigingen aan het bestand helpen verhinderen.

Installatiegegevens

Nadat u deze update hebt toegepast, moet u de computer opnieuw opstarten. Deze update kan worden geïnstalleerd met de volgende Setup-schakelopties:

• /?: De lijst met schakelopties voor de installatie weergeven.
• /u: Modus zonder toezicht gebruiken.
• /f: Andere programma's geforceerd afsluiten wanneer de computer wordt afgesloten.
• /n: Geen reservekopie maken van bestanden die worden verwijderd.
• /o: OEM-bestanden zonder waarschuwing overschrijven.
• /z: De computer niet opnieuw opstarten wanneer de installatie is voltooid.
• /q: Stille modus gebruiken (geen interactie met de gebruiker).
• /l: Geïnstalleerde hotfixes weergeven.
• /x De bestanden uitpakken zonder Setup uit te voeren.

Als u de update bijvoorbeeld zonder tussenkomst van de gebruiker wilt installeren en wilt aangeven dat de computer niet opnieuw moet worden opgestart, gebruikt u de volgende opdrachtregel: Waarschuwing De computer is kwetsbaar totdat u de computer opnieuw hebt opgestart.

Bestandsgegevens

De Engelse versie van deze correctie heeft de bestandskenmerken die in de volgende tabel worden weergegeven (of recentere kenmerken). De datums en tijden voor deze bestanden worden weergegeven in UTC-notatie (Coordinated Universal Time). Wanneer u de bestandsinformatie weergeeft, wordt deze naar lokale tijd geconverteerd. Als u het verschil tussen UTC en lokale tijd wilt bepalen, gebruikt u het tabblad Tijdzone van de optie Datum en tijd in het Configuratiescherm.

De volgende bestanden worden gekopieerd naar de map %WINDIR%\System32:

Windows XP Home Edition en ProfessionalWindows XP 64-bits editie

Informatie over het Windows 2000 (alle versies) Service Pack

U lost dit probleem op door het meest recente service pack voor Microsoft Windows 2000 op te halen. In het volgende Microsoft Knowledge Base-artikel vindt u meer informatie: Belangrijk Er kan een regressie optreden wanneer u Internet Explorer 6 Service Pack 1 (SP1) installeert op computers met Windows 2000 Service Pack (SP4). Deze regressie heeft tot gevolg dat de in dit bulletin beschreven update wordt verwijderd. Deze update maakt deel uit van Windows 2000 SP4. Pas de bijgewerkte beveiligingspatch voor Windows 2000 SP4 toe (zie verderop in dit artikel) om uw computer te beschermen tegen dit beveiligingslek.

Informatie over de beveiligingspatch voor Windows 2000 (alle versies)

Downloadgegevens

Windows 2000 SP4

U kunt het volgende bestand downloaden van het Microsoft Downloadcentrum:
Releasedatum: 11.11.03

Voor meer informatie over het downloaden van Microsoft-ondersteuningsbestanden klikt u op het volgende artikelnummer in de Microsoft Knowledge Base: Microsoft heeft dit bestand op virussen gecontroleerd. Hiervoor is de meest actuele software voor virusdetectie gebruikt die beschikbaar was op de datum dat het bestand beschikbaar werd gesteld. Het bestand is ondergebracht op beveiligde servers die onbevoegde wijzigingen aan het bestand helpen verhinderen.

Windows 2000 SP2 en SP3

U kunt het volgende bestand downloaden van het Microsoft Downloadcentrum:
Releasedatum: 20.11.02

Voor meer informatie over het downloaden van Microsoft-ondersteuningsbestanden klikt u op het volgende artikelnummer in de Microsoft Knowledge Base: Microsoft heeft dit bestand op virussen gecontroleerd. Hiervoor is de meest actuele software voor virusdetectie gebruikt die beschikbaar was op de datum dat het bestand beschikbaar werd gesteld. Het bestand is ondergebracht op beveiligde servers die onbevoegde wijzigingen aan het bestand helpen verhinderen.

Opmerking Als u deze oplossing toepast op een RIS-lidserver, moet u de oplossing ook toepassen op alle domeincontrollers in het domein. Als u dit niet doet, kunnen RIS-clients zich niet verifiëren met de UPN-indeling (User Principal Name). Als u de UPN-indeling gebruikt, wordt het volgende foutbericht weergegeven:

Installatiegegevens

Nadat u deze update hebt toegepast, moet u de computer opnieuw opstarten. Deze update kan worden geïnstalleerd met de volgende Setup-schakelopties:

• /?: De lijst met schakelopties voor de installatie weergeven.
• /u: Modus zonder toezicht gebruiken.
• /f: Andere programma's geforceerd afsluiten wanneer de computer wordt afgesloten.
• /n: Geen reservekopie maken van bestanden die worden verwijderd.
• /o: OEM-bestanden zonder waarschuwing overschrijven.
• /z: De computer niet opnieuw opstarten wanneer de installatie is voltooid.
• /q: Stille modus gebruiken (geen interactie met de gebruiker).
• /l: Geïnstalleerde hotfixes weergeven.
• /x: De bestanden uitpakken zonder Setup uit te voeren.

Als u de update bijvoorbeeld zonder tussenkomst van de gebruiker wilt installeren, en wilt aangeven dat de computer niet opnieuw moet worden opgestart, gebruikt u de volgende opdrachtregel:

Windows 2000 SP4

Windows 2000 SP2 en SP3

Waarschuwing De computer heeft een verminderde beveiliging totdat u deze opnieuw opstart.

Bestandsgegevens

De Engelse versie van deze correctie heeft de bestandskenmerken die in de volgende tabel worden weergegeven (of recentere kenmerken). De datums en tijden voor deze bestanden worden weergegeven in UTC-notatie (Coordinated Universal Time). Wanneer u de bestandsinformatie weergeeft, wordt deze naar lokale tijd geconverteerd. Als u het verschil tussen UTC en lokale tijd wilt bepalen, gebruikt u het tabblad Tijdzone van de optie Datum en tijd in het Configuratiescherm.

De volgende bestanden worden gekopieerd naar de map %WINDIR%\System32:

Windows 2000 SP4

Windows 2000 SP2 en SP3

Opmerking Als gevolg van bestandsafhankelijkheden kan deze update uit meerdere bestanden bestaan. Deze update vereist Windows 2000 Service Pack 2 (SP2) of Service Pack 3 (SP3). Als u meer informatie wilt over het ophalen van het laatste service pack, klikt u op het volgende artikelnummer in de Microsoft Knowledge Base:

Windows NT 4.0 (alle versies)

Downloadgegevens

U kunt de volgende bestanden downloaden van het Microsoft Downloadcentrum:

Windows NT 4.0Windows NT Server 4.0, Terminal Server Edition Releasedatum: 20.11.02

Voor meer informatie over het downloaden van Microsoft-ondersteuningsbestanden klikt u op het volgende artikelnummer in de Microsoft Knowledge Base: Microsoft heeft dit bestand op virussen gecontroleerd. Hiervoor is de meest actuele software voor virusdetectie gebruikt die beschikbaar was op de datum dat het bestand beschikbaar werd gesteld. Het bestand is ondergebracht op beveiligde servers die onbevoegde wijzigingen aan het bestand helpen verhinderen.

Installatiegegevens

Nadat u deze update hebt toegepast, moet u de computer opnieuw opstarten. Deze update kan worden geïnstalleerd met de volgende Setup-schakelopties:

• /y: Verwijderen (alleen met /m of /q).
• /f: Programma's geforceerd afsluiten tijdens het uitschakelen van de computer.
• /n: Geen map Uninstall maken.
• /z: Niet opnieuw opstarten nadat update is voltooid.
• /q: De stille modus of modus zonder toezicht gebruiken zonder gebruikersinterface (deze schakeloptie is een superset van /m).
• /m: De modus zonder toezicht gebruiken met gebruikersinterface.
• /l: Geïnstalleerde hotfixes weergeven.
• /x: De bestanden uitpakken zonder Setup uit te voeren.

Als u de update bijvoorbeeld zonder tussenkomst van de gebruiker wilt installeren, en wilt aangeven dat de computer niet opnieuw moet worden opgestart, gebruikt u de volgende opdrachtregel: Waarschuwing De computer is kwetsbaar totdat u de computer opnieuw hebt opgestart.

Bestandsgegevens

De Engelse versie van deze correctie heeft de bestandskenmerken die in de volgende tabel worden weergegeven (of recentere kenmerken). De datums en tijden voor deze bestanden worden weergegeven in UTC-notatie (Coordinated Universal Time). Wanneer u de bestandsinformatie weergeeft, wordt deze naar lokale tijd geconverteerd. Als u het verschil tussen UTC en lokale tijd wilt bepalen, gebruikt u het tabblad Tijdzone van de optie Datum en tijd in het Configuratiescherm.

De volgende bestanden worden gekopieerd naar de map %WINDIR%\System32:

Windows NT 4.0Windows NT Server 4.0, Terminal Server-editieOpmerking Vanwege bestandsafhankelijkheden is voor deze update Windows NT 4.0 Service Pack 6a (SP6a) of Windows NT Server 4.0, Terminal Server-editie Service Pack 6 (SP6) vereist. Voor meer informatie klikt u op het volgende artikelnummer in de Microsoft Knowledge Base:

Windows ME, Windows 98 Tweede editie en Windows 98

Downloadgegevens

U kunt de volgende bestanden downloaden van het Microsoft Downloadcentrum:

Windows Millennium Edition (ME)Windows 98 en Windows 98 Tweede editie Releasedatum: 20.11.02

Voor meer informatie over het downloaden van Microsoft-ondersteuningsbestanden klikt u op het volgende artikelnummer in de Microsoft Knowledge Base: Microsoft heeft dit bestand op virussen gecontroleerd. Hiervoor is de meest actuele software voor virusdetectie gebruikt die beschikbaar was op de datum dat het bestand beschikbaar werd gesteld. Het bestand is ondergebracht op beveiligde servers die onbevoegde wijzigingen aan het bestand helpen verhinderen.

Bestandsgegevens

De Engelse versie van deze correctie heeft de bestandskenmerken die in de volgende tabel worden weergegeven (of recentere kenmerken). De datums en tijden voor deze bestanden worden weergegeven in UTC-notatie (Coordinated Universal Time). Wanneer u de bestandsinformatie weergeeft, wordt deze naar lokale tijd geconverteerd. Als u het verschil tussen UTC en lokale tijd wilt bepalen, gebruikt u het tabblad Tijdzone van de optie Datum en tijd in het Configuratiescherm.

Windows Millennium Edition:
Windows 98 en Windows 98 Tweede editie

Office v. X, Office 2001, Office 98 voor Mac; Outlook Express voor Mac; Internet Explorer voor Mac

Voor meer informatie over het verkrijgen van patches voor deze producten gaat u naar de volgende Microsoft-website:

Microsoft heeft bevestigd dat dit probleem een beveiligingslek kan veroorzaken in de Microsoft-producten die aan het begin van dit artikel worden vermeld. In Windows 2000 Service Pack 4 werd voor het eerst een correctie aangeboden voor dit probleem.

Als u meer informatie wilt over dit beveiligingslek, gaat u naar de volgende Microsoft-website: Voor meer informatie over het oplossen van het probleem dat optreedt als het juiste bestand niet is geïnstalleerd als u QChain.exe gebruikt, klikt u op het volgende artikelnummer in de Microsoft Knowledge Base: