Um actualizador automática de certificados não fidedignos está disponível para Windows Vista, Windows Server 2008, Windows 7 e Windows Server 2008 R2

INTRODUÇÃO

Um actualizador automática de certificados não fidedignos está disponível para Windows Vista, Windows Server 2008, Windows 7 e Windows Server 2008 R2. Este updater expande-se na tecnologia de mecanismo de actualização de raízes automática existente que se encontram no Windows Vista e no Windows 7 para permitir que os certificados que são afectados ou não são fidedignos de alguma forma ser especificamente sinalizada como não fidedigno.

Uma lista fidedigna de certificados (CTL) é uma lista predefinida de itens que são assinados por uma entidade fidedigna. Todos os itens na lista são autenticados e aprovados por uma entidade de assinatura fidedigna. Esta actualização expande-se sobre esta funcionalidade existente adicionando os conhecidos certificados não fidedignos para o arquivo de certificados não fidedignos utilizando uma CTL que contém a respectiva chave pública ou respectivo hash de assinatura. Depois de instalada esta actualização, os clientes beneficiam das rápidos actualizações automáticas de certificados não fidedignos.

Os utilizadores que tiverem desligado sistemas não irão beneficiar este melhoramento de funcionalidade. Estes clientes terão, ainda instalar as actualizações de certificado de raiz quando ficam disponíveis. Consulte a secção "Mais informação".


Como parte desta actualização, os URLs que são utilizados para contactar o Windows Update para transferir as CTL não fidedignas e fidedignas foram alterados. Esta situação poderá causar problemas para as empresas que hardcode estes URL na suas firewalls como excepções.

Seguem-se os URL novos:

http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab

http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab

Mais informações

Os utilizadores que tiverem desligado sistemas podem instalar esta actualização. Mas os utilizadores não recebem uma vantagem da actualização. De facto, a instalação desta actualização pode causar falhas de arranque do serviço imediatamente depois do servidor for reiniciado. Serviços que executam tarefas de validação do certificado durante o arranque do serviço poderão detectar um atraso maior enquanto é tentada a obtenção da rede das CTL fidedignas e não fidedignas do Windows Update.

Para os sistemas que executem o Windows Vista, Windows 7, Windows Server 2008, ou Windows Server 2008 R2 e que está a utilizar o actualizador automática de certificados não fidedignos (ou seja, se já estiver instalada KB 2677070 ou 2813430 da KB), ver o resto da presente secção e também da Microsoft Knowledge Base artigo 2813430 para obter mais informações. Os clientes não é necessário efectuar qualquer acção, porque estes sistemas serão automaticamente protegidos.

Se o sistema não tem acesso ao Windows Update, porque o sistema não está ligado à Internet ou o Windows Update está bloqueado por regras de firewall, a obtenção de rede irá tempo limite antes do serviço pode continuar o procedimento de arranque. Em alguns casos, este limite de tempo de obtenção de rede pode exceder o limite de tempo do arranque do serviço de 30 segundos. Se um serviço não pode comunicar que o arranque foi concluída após 30 segundos, o Gestor de controlo de serviços (SCM) pára o serviço.

Se não é possível evitar a instalação desta actualização em sistemas desligados, pode desactivar a obtenção de rede das CTL fidedignas e não fidedignas. Para fazer isto, desactive as actualizações automáticas de raiz utilizando as definições de política de grupo. Para desactivar as actualizações automáticas de raiz utilizando as definições de política, siga estes passos:

1. Criar uma política de grupo ou alterar uma política de grupo existente no Editor de políticas de Grupo Local.

2. No grupo de Editor de políticas Local, faça duplo clique em políticas no nó Configuração do computador .

3. Faça duplo clique em Definições do Windows, faça duplo clique em Definições de segurançae, em seguida, faça duplo clique sobre ' Políticas de chaves públicas.

4. No painel de detalhes, faça duplo clique em Definições de validação de caminhos de certificados.

5. Clique no separador Obtenção da rede , seleccione Definir estas definições de políticae, em seguida, desmarque a caixa de verificação Actualizar automaticamente certificados no Microsoft Root Certificate Program (recomendado) .

6. Clique em OKe, em seguida, feche o Editor de política de Grupo Local.

Depois de efectuar esta alteração, actualizações automáticas de raiz são desactivadas nesses sistemas aos quais se aplica a política. Recomenda-se que a política ser aplicada apenas a esses sistemas que não têm acesso à Internet ou que são impedidos de aceder ao Windows Update devido a regras de firewall.

Se as actualizações automáticas de raiz estiverem desactivadas, os administradores manualmente devem gerir certificados de raiz que são considerados fidedignos pelo Windows. Podem ser distribuídos a certificados de raiz fidedignas para computadores que executem o Windows utilizando a política de grupo. Para mais informações sobre como gerir os certificados de raiz que são considerados fidedignos pelo Windows, visite o seguinte Web site da Microsoft:

http://technet.microsoft.com/en-us/library/cc754841.aspxPara mais informações sobre a verificação de fidedignidade de certificados do Windows, vá para as seguintes páginas de Web do Microsoft:

Verificação de fidedignidade do certificado

Descrição geral de lista de fidedignidade do certificadoPara mais informações sobre o programa de certificados de raiz do Windows, clique no número de artigo seguinte para visualizar o artigo na Microsoft Knowledge Base:

931125 Membros do programa de certificados de raiz do Windows

Informações de transferência

Os seguintes ficheiros estão disponíveis para transferência a partir do Centro de Transferências da Microsoft:

Informações de ficheiro

Para obter uma lista dos ficheiros que são fornecidos nesta actualização, transferir as informações de ficheiro para esta actualização 2677070.