תאריך פרסום מקורי: 21 בנובמבר 2025
מזהה KB: 5073121
מבוא
עדכוני Windows שפורסמו ב- 14 באוקטובר 2025, שנוהלים ב- CVE-2024-30098 גילו בעיות באפליקציות שבהן הקוד אינו מזהה כראוי איזה ספק מנהל את המפתח עבור אישורים המופצים מכרטיס חכם לחנות האישורים. זיהוי שגוי זה עלול לגרום לפעולות הצפנה להיכשל בתרחישים מסוימים. מסמך זה מספק הדרכה למפתחי אפליקציות לגבי האופן שבו ניתן לזהות את המטפל הנכון ולפתור בעיות אלה.
סיכום
כאשר אישורים מופצים מכרטיס חכם אל מאגר האישורים של Windows, תהליך ההפצה יכול להשתמש בכל אחד מהספקים הבאים:
-
ספק שירותי הצפנה (CSP) מדור קודם, שיסתמך על ממשק תיכנות היישומים של הצפנה מדור קודם (CAPI)
-
ספק אחסון מפתח (KSP), אשר מסתמך על API של הצפנה: הדור הבא (CNG). זו היתה ההחלפה המודרנית שהוצגה ב- Windows Vista.
לפני התיקון עבור CVE-2024-30098, אלגוריתם ההפצה השתמש ב- CSP עבור אישורים מבוססי RSA ו- KSP עבור כל האחרים. גישה זו היתה לא מאובטחת מכיוון ש- CAPI אינו תומך באלגוריתמים הצפנה מודרניים, המגביל את יכולות האבטחה.
עדכוני האבטחה של 14 באוקטובר 2025 הסירו טיפול מיוחד זה וכעת KSP משמש עבור כל האישורים.
קביעת ערכת ה- API לשימוש
אפליקציות שמקורן במפתחות RSA המנוהלות על-ידי ספק פתרונות ענן (CSP) עלולות להיכשל כאשר המפתח מנוהל על-ידי KSP. כדי לפתור בעיה זו, אפליקציות חייבות לזהות איזה ספק מנהל את המפתח ולהשתמש בערכת ה- API המתאימה (CAPI או CNG).
חשוב: אל תשתמש בפונקציות CryptAcquireContextW או CryptAcquireContextA כאשר ה- API אינו בשימוש. במקום זאת, השתמש בפונקציה CryptAcquireCertificatePrivateKey .
CryptAcquireCertificatePrivateKey (הפונקציה CryptAcquireCertificatePrivateKey)
קריאה ל- CryptAcquireCertificatePrivateKey מחזירה נקודת אחיזה (phCryptProvOrNCryptKey) מסוג HCRYPTPROV_OR_NCRYPT_KEY_HANDLE. נקודת אחיזה זו יכולה להיות:
-
נקודת אחיזה של CSP (HCRYPTPROV): השתמש בפונקציות CryptoAPI כגון CryptSignHash.
-
נקודת אחיזה של CNG (NCRYPT_KEY_HANDLE): השתמש בפונקציות CNG כגון NCryptSignHash.
הערה: בעת קריאה ל- CryptAcquireCertificatePrivateKey, הקפד לכלול את CRYPT_ACQUIRE_PREFER_NCRYPT_KEY_FLAG הפרמטר dwFlags.
כדי לקבוע את סוג נקודת האחיזה, בדוק את ערך pdwKeySpec :
|
ערך pdwKeySpec |
API של הצפנה לשימוש |
|
AT_KEYEXCHANGE או AT_SIGNATURE |
CAPI |
|
CERT_NCRYPT_KEY_SPEC |
CNG (NG) |
פתרון
עבודה זמנית זמינה עבור לקוחות המושפעים מהכיפת שינוי זה. מפתח רישום זמני זמין כדי להעביר את אופן הפעולה מ'אכיפה'למצב ביקורת .
חשוב: התמיכה במפתח רישום זה תוסר בעדכוני אפריל 2026.
|
נתיב רישום |
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography\Calais |
|
Type |
REG_DWORD |
|
שם ערך |
DisableCapiOverrideForRSA |
|
נתוני ערך |
|
חומרי עזר
הפונקציה CryptAcquireCertificatePrivateKey (wincrypt.h)
CVE-2024-30098 | פגיעות של עקיפת תכונת האבטחה של שירותי ההקפאה של Windows
.
