مایکروسافت با انتشار آپدیت‌های خارج از برنامه (Out-of-Band) برای ویندوز، اعتماد به هفت گواهی مرتبط با مرجع گواهی (Certificate Authority) به‌خطرافتاده eMudhra را حذف کرده است. این اقدام بر اساس مطلب منتشرشده در وبلاگ مرکز پاسخگویی امنیتی مایکروسافت (Microsoft Security Response Center) انجام شده و هدف آن جلوگیری از سوءاستفاده احتمالی از گواهی‌های ناامن است.
جزئیات آپدیت‌های KB5134133 و KB5134125
بر اساس این گزارش، بسته KB5134133 برای ویندوز ۱۱ نسخه‌های 24H2، 25H2 و 26H2 و بسته KB5134125 برای ویندوز ۱۰ نسخه‌های 21H2 و 22H2 منتشر شده است. هر دو به‌روزرسانی در تاریخ ۲۶ اکتبر عرضه شده‌اند.
این آپدیت‌ها گروه مشخصی از دستگاه‌ها را هدف می‌گیرند: سیستم‌هایی که به اینترنت دسترسی ندارند، دستگاه‌هایی که نمی‌توانند به سرویس به‌روزرسانی گواهی مایکروسافت متصل شوند و ماشین‌هایی که به‌روزرسانی خودکار فهرست اعتماد گواهی (Certificate Trust List یا CTL) در آن‌ها غیرفعال شده است. دستگاه‌های ویندوزی که به‌طور معمول به‌روزرسانی‌های CTL را دریافت می‌کنند، تغییرات اعتماد را از همان مسیر دریافت می‌کنند.
چرا اعتماد به ریشه‌های eMudhra حذف می‌شود؟
این انتشار پس از کشف هشت کلید خصوصی مرجع گواهی میانی (Intermediate Certificate Authority) متعلق به eMudhra انجام شده که به‌اندازه کافی ضعیف بودند و تقریباً بلافاصله قابل بازیابی بودند. هر هشت کلید در آوریل ۲۰۲۵ تولید شده و مقادیر آن‌ها کمتر از ۲۵۶ بود؛ این موضوع به این معناست که هر فردی می‌توانست با آزمایش تنها ۲۵۶ عدد ممکن، آن‌ها را بازیابی کند. با در اختیار داشتن این کلیدها، مهاجمان می‌توانستند برای وب‌سایت‌های معتبر گواهی جعل کنند و ترافیک رمزنگاری‌شده را رهگیری کنند.
eMudhra پس از افشای این موضوع، هشت گواهی میانی را باطل کرد. موزیلا، گوگل و اپل نیز باطل‌سازی آن‌ها را در محصولات خود آغاز کردند.
واکنش نخست مایکروسافت، به‌روزرسانی فهرست عدم اعتماد گواهی ویندوز (Windows Disallowed Certificate Trust List) بود که هشت مرجع میانی را مسدود کرد؛ شش مورد از آن‌ها برای TLS و دو مورد برای امضای کد (Code Signing) استفاده می‌شدند. همچنین به‌روزرسانی CRLSet برای مایکروسافت اج و WebView2، گواهی‌های TLS آسیب‌دیده را بدون نیاز به به‌روزرسانی مرورگر مسدود کرد.
انتشار خارج از برنامه جدید یک گام فراتر می‌رود. مایکروسافت اعلام کرده است که هفت گواهی مرتبط با سلسله‌مراتب‌های آسیب‌دیده را از فهرست اعتماد ویندوز حذف می‌کند: شش ریشه eMudhra G3 و یک گواهی متقاطع (Cross-Sign) از AAA Certificate Services. مایکروسافت همچنین اعلام کرده است که همین هفت گواهی در تاریخ ۲۷ اکتبر از فهرست اعتماد مایکروسافت اج نیز حذف می‌شوند.
این شرکت تأکید کرده است که حذف یک ریشه (Root) تصمیم گسترده‌تری نسبت به باطل‌سازی مراجع میانی شناخته‌شده و به‌خطرافتاده است. سازمان‌هایی که نیاز خاصی به سازگاری دارند می‌توانند بر اساس ارزیابی امنیتی و سیاست‌های خود، یک گواهی را به‌صورت محلی مورد اعتماد قرار دهند.
مدیران سیستم اکنون چه اقداماتی باید انجام دهند؟
مایکروسافت به مدیران سیستم توصیه کرده است که این به‌روزرسانی را روی سیستم‌های ویندوزی غیرمتصل نصب کنند و گواهی‌هایی را که به ریشه‌های حذف‌شده زنجیره می‌شوند بررسی کنند، زیرا ممکن است نیاز به جایگزینی داشته باشند.
- شناسایی دستگاه‌های ویندوز ۱۱ نسخه‌های 24H2، 25H2 یا 26H2 و دستگاه‌های ویندوز ۱۰ نسخه‌های 21H2 یا 22H2 که آفلاین هستند، به سرویس به‌روزرسانی گواهی مایکروسافت دسترسی ندارند یا به‌روزرسانی خودکار CTL در آن‌ها غیرفعال است.
- نصب KB5134133 روی سیستم‌های ویندوز ۱۱ و KB5134125 روی سیستم‌های ویندوز ۱۰.
- بررسی سرویس‌های داخلی، برنامه‌ها و کدهای امضاشده از نظر گواهی‌های صادرشده تحت شش ریشه eMudhra G3 یا گواهی متقاطع AAA Certificate Services.
- جایگزینی گواهی‌های آسیب‌دیده یا مستندسازی یک استثنای اعتماد محلی تنها در صورتی که نیاز به سازگاری، بررسی امنیتی داخلی را پشت سر گذاشته باشد.
دستگاه‌هایی که از قبل به‌روزرسانی‌های خودکار CTL را دریافت می‌کنند، برای این تغییر به بسته خارج از برنامه نیاز ندارند. مایکروسافت همچنان در حال بررسی سایر ریشه‌های eMudhra است و اعلام کرده که ممکن است در صورت نیاز تغییرات اعتماد بیشتری اعمال کند.