Une mise à jour automatique de certificats non approuvés est disponible pour Windows Vista, Windows Server 2008, Windows 7 et Windows Server 2008 R2

INTRODUCTION

Une mise à jour automatique de certificats non approuvés est disponible pour Windows Vista, Windows Server 2008, Windows 7 et Windows Server 2008 R2. Cette mise à jour s'appuie sur la technologie existante du mécanisme de mise à jour automatique de la racine disponible sous Windows Vista et Windows 7, qui permet de signaler spécifiquement les certificats compromis ou non approuvés comme non fiables.

Une liste de certificats de confiance est une liste prédéfinie d'éléments signés par une entité approuvée. Tous les éléments de la liste sont authentifiés et approuvés par une entité de signature approuvée. Cette mise à jour s'appuie sur cette fonctionnalité existante en ajoutant des certificats non approuvés connus au magasin de certificats non approuvés à l'aide d'une liste de certificats de confiance qui contient soit leur clé publique, soit leur hachage de signature. Une fois cette mise à jour installée, les clients bénéficient de rapides mises à jour automatiques de certificats non approuvés.

Les utilisateurs dont les systèmes sont déconnectés ne pourront pas bénéficier de cette amélioration de fonctionnalité. Ces clients devront toujours installer les mises à jour de certificats racine lorsqu'ils sont disponibles. Reportez-vous à la section « Informations supplémentaires ».


Dans le cadre de cette mise à jour, les URL utilisées afin de contacter Windows Update pour télécharger les listes de certificats de confiance approuvées et non approuvées ont été modifiées. Cela pourrait entraîner des problèmes pour les entreprises qui codent en dur ces URL dans leurs pare-feu en tant qu'exceptions.

Les nouvelles URL sont les suivantes :

http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab

http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab

Plus d'informations

Les utilisateurs dont les systèmes sont déconnectés peuvent installer cette mise à jour. Mais ceux-ci ne bénéficient d'aucun avantage de la mise à jour. En fait, l'installation de cette mise à jour peut générer des échecs de démarrage de service immédiatement après le redémarrage du serveur. Les services qui exécutent les tâches de validation de certificat pendant le démarrage du service peuvent être retardés lors de la tentative de récupération du réseau des listes de certificats de confiance approuvées et non approuvées de Windows Update.

Pour les systèmes exécutant Windows Vista, Windows 7, Windows Server 2008 ou Windows Server 2008 R2 et qui utilisent le programme de mise à jour automatique des certificats non approuvés (si la mise à jour KB 2677070 ou 2813430 est déjà installée), reportez-vous au reste de cette section, ainsi qu'à l'article 2813430 de la Base de connaissances Microsoft pour obtenir plus d'informations. Les clients ne doivent exécuter aucune action, car ces systèmes sont automatiquement protégés.

Si le système n'a pas accès à Windows Update, parce qu'il n'est pas connecté à Internet ou parce que Windows Update est bloqué par les règles du pare-feu, le délai de récupération du réseau expirera avant que le service puisse poursuivre sa procédure de démarrage. Dans certains cas, ce délai de récupération du réseau peut dépasser le délai de démarrage du service de 30 secondes. Si un service n'est pas en mesure de signaler que le démarrage s'est effectué après 30 secondes, le gestionnaire de contrôle des services interrompt ce service.

Si vous ne pouvez pas éviter l'installation de cette mise à jour sur des systèmes déconnectés, vous pouvez désactiver la récupération du réseau des listes de certificats de confiance approuvées et non approuvées. Pour ce faire, désactivez les mises à jour automatiques de la racine à l'aide des paramètres de stratégie de groupe. Pour cela, procédez comme suit :

1. Créez une stratégie de groupe ou modifiez une stratégie de groupe existante dans l'Éditeur d'objets de stratégie de groupe.

2. Dans l'Éditeur d'objets de stratégie de groupe, double-cliquez sur Stratégies sous le nœud Configuration de l'ordinateur.

3. Double-cliquez sur Paramètres Windows, sur Paramètres de sécurité, puis sur Stratégies de clé publique.

4. Dans le volet des détails, double-cliquez sur Paramètres de validation du chemin d’accès du certificat.

5. Cliquez sur l'onglet Récupération du réseau, sélectionnez Définir ces paramètres de stratégie, puis désactivez la case à cocher Mettre automatiquement à jour les certificats dans le programme de certificat racine Microsoft (recommandé).

6. Cliquez sur OK, puis fermez l'Éditeur d'objets de stratégie de groupe.

Après avoir apporté cette modification, les mises à jour automatiques de la racine sont désactivées sur les systèmes auxquels la stratégie est appliquée. Nous recommandons de n'appliquer la stratégie qu'aux systèmes qui n'ont pas accès à Internet ou à Windows Update en raison des règles du pare-feu.

Si les mises à jour automatiques de la racine sont désactivées, les administrateurs doivent gérer manuellement les certificats racines approuvés par Windows. Les certificats racines approuvés peuvent être distribués aux ordinateurs qui exécutent Windows à l'aide de la stratégie de groupe. Pour plus d'informations sur la procédure de gestion des certificats racines approuvés par Windows, reportez-vous au site Web de Microsoft suivant :

http://technet.microsoft.com/fr-fr/library/cc754841.aspxPour plus d’informations sur la vérification des certificats de confiance Windows, reportez-vous aux pages web suivantes de Microsoft :

Vérification des certificats de confiance Windows

Présentation de la liste des certificats de confiancePour plus d'informations sur le programme de certificat racine Windows, cliquez sur le numéro ci-dessous pour afficher l'article correspondant dans la Base de connaissances Microsoft.

931125Membres du programme de certificat racine Windows

Informations sur le téléchargement

Vous pouvez télécharger les fichiers suivants à partir du Centre de téléchargement Microsoft.

Informations sur les fichiers

Pour obtenir la liste des fichiers fournis dans cette mise à jour, téléchargez les informations sur les fichiers pour la mise à jour 2677070.