Microsoft выкатила патч к уязвимости, компрометирующей инфраструктуру открытых ключей Windows

Microsoft сегодня выкатила обновление, которое закрывает несколько уязвимостей. Одна из них настолько серьёзна, что даже NSA выпустила публичное заявление:

В закладки

Список подверженных этой уязвимости версий ОС Windows:

В понедельник стало известно, что Microsoft собирается в кратчайшие сроки выпустить патч для фикса очень серьёзной уязвимости в интерфейсе CryptoAPI (Crypt32.dll) криптодрайвера Windows. Также во вторник появилась информация, что Microsoft заранее выкатила этот патч для критической инфраструктуры и органов власти.

Уязвимость получила название CVE-2020-0601, она даёт дополнительные возможности по проведению MITM атак на ваш компьютер и усложняет процедуру проверки обновлений: ошибка заключается в некорректной проверке ECC-сертификата (Eliptic Curve Cryptography) интерфейсом CryptoAPI и в результате позволяет злоумышленнику создать X.509 сертификат, который будет приниматься системой за доверенный. Это, в том числе, позволяет производить перехват и модификацию TLS трафика, подписывать исполняемые файлы доверенным сертификатом. Также это первый случай, когда NSA публично заявило о том, что обнаружило уязвимость в ПО.

Материал опубликован пользователем.
Нажмите кнопку «Написать», чтобы поделиться мнением или рассказать о своём проекте.

Написать
{ "author_name": "Николай Смирнов", "author_type": "self", "tags": ["\u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c","windows","microsoft"], "comments": 59, "likes": 18, "favorites": 12, "is_advertisement": false, "subsite_label": "flood", "id": 93295, "is_wide": false, "is_ugc": true, "date": "Wed, 15 Jan 2020 13:16:02 +0300", "is_special": false }
(function(d, ver) { var s = d.createElement('script'); s.src = ((location.host === 'dtf.ru') ? 'https://dtf-static-bf19cf1.gcdn.co/static/build/dtf.ru/specials/RocketBankSummary/js/all.dtf.min.js?' : 'https://dtf.k8s.osnova.io/static/build/dtf.k8s.osnova.io/specials/RocketBankSummary/js/all.dtf.min.js?') + ver; s.async = true; var container = d.getElementById('rocket-bank-summary'); if (container) { s.onload = function() { new RocketBankSummary.Special({ container: container, location: 'article', share: { url: '', title: '', } }); }; } d.body.appendChild(s); })(document, 46);
0
{ "id": 93295, "author_id": 93640, "diff_limit": 1000, "urls": {"diff":"\/comments\/93295\/get","add":"\/comments\/93295\/add","edit":"\/comments\/edit","remove":"\/admin\/comments\/remove","pin":"\/admin\/comments\/pin","get4edit":"\/comments\/get4edit","complain":"\/comments\/complain","load_more":"\/comments\/loading\/93295"}, "attach_limit": 2, "max_comment_text_length": 5000, "subsite_id": 64955, "last_count_and_date": null }
59 комментариев
Популярные
По порядку
Написать комментарий...
21

Сначала подумал что новость с аккета или мморпг, такая агрессия в заголовке!

Ответить
23

МАЙКРОСОФТ ВЫПУСТИЛА УБИЙЦУ ВИНДОВС В ВИДЕ НОВОГО ПАТЧА СМОТРЕТЬ В ПРОДОЛЖЕНИИ ПЕРЕШЛИ ДЕСЯТИ ЛЮДЯМ

Ответить
7

ХАЙКЕРЫ УЖЕ ВЗЛОМАЛИ ТВОЙ КОМПУТЕР И УКРАЛИ ВСЕ ТВОИ 5 ДОШИРАКОВ! 

Ответить
7

И СОХРАНЕНКИ С ЛОЛЯМИ!!!!

Ответить
6

ВЫ НЕ ПОВЕРИТЕ КАКОЙ ПАТЧ ПОСТАВИЛ ИЗВЕСТНАЯ РОССИЙСКАЯ ПРИМАДОННА

Ответить
1

Про "примадонна поставил" - святая истина. 

Ответить
0

2020-й год (как же я люблю это писать), а люди всё ещё падки на повелительные приказы. Психология, ваш лучший уничтожитель иллюзий о прогрессе. 

Ответить
7

Сначала подумал что прочитал текст из пилларсов, столько графомании!

Ответить
3

По-моему, даже там её столько нет, вчера играл :D

Ответить
1

Уязвимость, как мне показалось, довольно серьёзная. Но заголовок пофиксил, спасибо.

Ответить
5

И говорить об этом стали ровно через пару дней после закрытия поддержки у семерки. Ну-ну.

Ответить
1

какоооое совпадение ! невероятно !

Ответить
2

Хорошая попытка, Майкрософт. Но нет.

Ответить
2

Так а что именно сказала NSA?

Ответить
0

Да! И еще, как создать создать X.509 сертификат?

Ответить
1

openssl req -newkey rsa:2048 -nodes -keyout key.pem -x509 -days 365 -out certificate.pem

Ответить
1

Как время летит. Сейчас худо-бедно пользуюсь лицензией, а когда то приходилось выпрашивать разрешения сесть за компьютер знакомой на работе, чтобы глянуть в яндексе как убирать баг с пиратской XP после очередной хитрой обновы для винды.

Ответить
0

Лицензией сейчас пользуются все.

Ответить
0

Хотел купить лицензию перед обвалом рубля, потом желание как-то пропало. В итоге винда это едва ли не последнее что осталось из "альтернативной лицензии", но цена в 200 баксов без скидок уж больно кусачая.

Ответить
2

Надо было инсайдером в своё время быть, отхватил так две прошки.

Ответить
1

Прошляпил к сожалению)
Тут ситуацию несколько спасает то, что самим МС ни горячо ни холодно от потребительского сектора, никакой борьбы с пиратами нет и поэтому вопрос лицензии долгое время остается лишь вопросом личного удовлетворения что пользуешься не пираткой. Для кого-то возможно вопрос паранойи что у них чистая винда без троянов.

Ответить
0

Можно вообще не активировать, есть проги водяную марку убмрают, а можно забить, намного лояльнее они правда.

Ответить
1

Был инсайдером с самого старта программы (около года до релиза) и ничего не получил, правда я и фидбеки не писал. Зато когда-то Windows 7 до 10 бесплатно обновил

Ответить
0

Ну значит своё получил, халявку.

Ответить
–1

Купил ключ на плати за 20уе.
Прошло без проблем. Пользуюсь года 4 уже.

Ответить
4

Эти ключи продаются на ебее по 5 баксов и им грош цена. Точно такую же ОС ты можешь получить банальным активатором или вообще регистрацией по телефону у самих МС если не лень заморочиться.

Суть лицензии в том что она навеки лично твоя, не слетает, и ее покупка подтверждается юридически наличием голограммы или документов о покупке у МС. Причем последнее тут определяющий фактор.

А эти ключи ерунда.

Ответить
0

Вот! Почему-то часто идет подмена чисто юридических вопросов техническими.

Ответить
0

Потому что вероятно раньше винда распространялась как попало на помоечных дисках и лицензия означала одновременно и настоящий рабочий образ от самих МС, без попутной фигни или наоборот вырезанного функционала.

Но времена все же поменялись, MSDN версии лежат на каждом углу и большинство способов взлома на работе системы совершенно никак не отражаются. Остался лишь вопрос юридический.

Ответить
0

Активаторы в основном используют активацию KMS или MAK. Если KMS, то придётся периодически выполнять перерегистрацию с помощью локального или удалённого KMS сервера. На ebay в основном продают OEM и MAK, реже можно встретить б/у ключи.

MAK иногда банят и лицензия слетает.
OEM был где-то тред на реддите, что у кого-то забанили. Но там была какая-то мутная история.
Б/у ключи не слышал, чтобы банили. На территории Евросоюза б/у ключи легальны благодаря решению суда (подробнее http://lexdigital.ru/2012/057/)

Ответить
0

Я почти попался.

Ответить
0

Э, нет

Ответить
0

Ну как нет? Вот же у меня файл win10_license_keys_by_KpoJIuk.exe

Ответить
0

Сейчас, возможно. В те времена, когда у меня был старый комп, то даже сами провайдеры рекламировали возможность что-то выложить или скачать.

Ответить
0

Не, ну так майки давали возможность обновить 7-ку до 10-ку бесплатно и емнип даже не имело значения лицензия у тебя или нет.

Ответить
0

Это само собой. Я хотел сказать, что было время, когда лицензионной культуры настолько не было, что сами провайдеры рекламировали возможность "качай @ выкладывай" как одну из главных выггод интернета.

Ответить
0

То есть у тебя ХР обновлялся без инета, да, раз ты не мог со своего посмотреть? Похоже на какой-то пиздеж, если честно.

Ответить
0

Я где-то сказал, что мой комп обновлялся без нета? Где?

Ответить
0

приходилось выпрашивать разрешения сесть за компьютер знакомой на работе, чтобы глянуть в яндексе

А со своего ПК религия не позволяла?

Ответить
1

А вы не подумали, что вызванный обновой баг клал систему и не то что интернетом воспользоваться, нормально работать за компьютером нельзя было?

Ответить
0

Нет, не подумал, потому что нелицушные хрюши по инету сами не обновлялись, там отключалась эта служба.

Ответить
0

Я вот именно после такой дичи и начал отключать обновление в старой винде. 

Ответить
1

Кряк слетал при включенной службе. Может я, конечно, на пустом месте доебался, но по-моему ты пиздишь. Впрочем, дело твое.

Ответить
0

Во первых, зачем мне об этом пиздеть? Во вторых, мы говорим об обновлении, которое валило пиратскую винду, разве нет?

Ответить
1

Потому что в обоих твоих сообщениях прочитывается какой-то непонятный пафос.

Обновления бы не было при выключенной службе апдейта. И сама пиратская винда бы с этой включенной службой уходила в постоянные уведомления о "необходимости активации".

Я же говорю, дело твое. Спорить не собираюсь. Как выглядит, так и сказал.

Ответить
1

Ещё и пафос нашли какой то, что дальше? Сколько пользовался пиратской виндой в нулевых и недолго её обновлял, ни разу вопросов об активации не возникало.

Ответить
0

Вот доебался

Ответить
0

Да. А ты чо доебался?

Ответить
0

Да потому что ты доебался

Ответить
0

Это можно продолжать вечно. Не доёбывай!

Ответить
0

Сначала ты!

Ответить
1

Если NSA доложила об этом - значит это реально серьезное дерьмо. АНБ эт контора покруче ЦРУ будет.

Ответить
0

нет уж, лучше подождать немного. а то эти обновления вин10 чаще херят систему чем лечат

Ответить
0

Это проблема только в том случае, если система запускает всякую хрень, что ей подсовывают, самостоятельно, без участия пользователя, только ориентируясь на сертификат.

Ответить
1

Внезапно, именно так делают большинство компов в корпоративных доменах =)

Ответить
0

Каждый второй вторник месяца Microsoft вот уже много лет выкатывает патчи для Windows.

На DTF это только сейчас заметили.

Ответить
0

Что-то от таких призывов еще больше захотелось его не запускать

Ответить
0

Мне уже как-то пофиг на срачи по поводу Windows 7 и 10. Всё равно новые игры выпускаются эксклюзивно для Windows 10.

Ответить

Прямой эфир

[ { "id": 1, "label": "100%×150_Branding_desktop", "provider": "adfox", "adaptive": [ "desktop" ], "adfox_method": "createAdaptive", "auto_reload": true, "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "clmf", "p2": "ezfl" } } }, { "id": 2, "label": "1200х400", "provider": "adfox", "adaptive": [ "phone" ], "auto_reload": true, "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "clmf", "p2": "ezfn" } } }, { "id": 3, "label": "240х200 _ТГБ_desktop", "provider": "adfox", "adaptive": [ "desktop" ], "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "clmf", "p2": "fizc" } } }, { "id": 4, "label": "Article Branding", "provider": "adfox", "adaptive": [ "desktop" ], "adfox": { "ownerId": 228129, "params": { "p1": "cfovz", "p2": "glug" } } }, { "id": 5, "label": "300x500_desktop", "provider": "adfox", "adaptive": [ "desktop" ], "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "clmf", "p2": "ezfk" } } }, { "id": 6, "label": "1180х250_Interpool_баннер над комментариями_Desktop", "provider": "adfox", "adaptive": [ "desktop" ], "adfox": { "ownerId": 228129, "params": { "pp": "h", "ps": "clmf", "p2": "ffyh" } } }, { "id": 7, "label": "Article Footer 100%_desktop_mobile", "provider": "adfox", "adaptive": [ "desktop", "tablet", "phone" ], "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "clmf", "p2": "fjxb" } } }, { "id": 8, "label": "Fullscreen Desktop", "provider": "adfox", "adaptive": [ "desktop", "tablet" ], "auto_reload": true, "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "clmf", "p2": "fjoh" } } }, { "id": 9, "label": "Fullscreen Mobile", "provider": "adfox", "adaptive": [ "phone" ], "auto_reload": true, "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "clmf", "p2": "fjog" } } }, { "id": 10, "disable": true, "label": "Native Partner Desktop", "provider": "adfox", "adaptive": [ "desktop", "tablet" ], "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "clmf", "p2": "fmyb" } } }, { "id": 11, "disable": true, "label": "Native Partner Mobile", "provider": "adfox", "adaptive": [ "phone" ], "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "clmf", "p2": "fmyc" } } }, { "id": 12, "label": "Кнопка в шапке", "provider": "adfox", "adaptive": [ "desktop", "tablet" ], "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "clmf", "p2": "fdhx" } } }, { "id": 13, "label": "DM InPage Video PartnerCode", "provider": "adfox", "adaptive": [ "desktop", "tablet", "phone" ], "adfox_method": "createAdaptive", "adfox": { "ownerId": 228129, "params": { "pp": "h", "ps": "clmf", "p2": "flvn" } } }, { "id": 14, "label": "Yandex context video banner", "provider": "yandex", "yandex": { "block_id": "VI-250597-0", "render_to": "inpage_VI-250597-0-1134314964", "adfox_url": "//ads.adfox.ru/228129/getCode?pp=h&ps=clmf&p2=fpjw&puid1=&puid2=&puid3=&puid4=&puid8=&puid9=&puid10=&puid21=&puid22=&puid31=&puid32=&puid33=&fmt=1&dl={REFERER}&pr=" } }, { "id": 15, "label": "Баннер в ленте на главной", "provider": "adfox", "adaptive": [ "desktop", "tablet", "phone" ], "adfox": { "ownerId": 228129, "params": { "p1": "byudo", "p2": "ftjf" } } }, { "id": 16, "label": "Кнопка в шапке мобайл", "provider": "adfox", "adaptive": [ "tablet", "phone" ], "adfox": { "ownerId": 228129, "params": { "p1": "chvjx", "p2": "ftwx" } } }, { "id": 17, "label": "Stratum Desktop", "provider": "adfox", "adaptive": [ "desktop" ], "auto_reload": true, "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "clmf", "p2": "fzvb" } } }, { "id": 18, "label": "Stratum Mobile", "provider": "adfox", "adaptive": [ "tablet", "phone" ], "auto_reload": true, "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "clmf", "p2": "fzvc" } } }, { "id": 20, "label": "Кнопка в сайдбаре", "provider": "adfox", "adaptive": [ "desktop" ], "adfox": { "ownerId": 228129, "params": { "p1": "chfbl", "p2": "gnwc" } } } ]