ALERT: Falsi certificati Microsoft [ID: A-01004C]

-----BEGIN PGP SIGNED MESSAGE-----



			   GARR-CERT Security Alert
 ----------------------------------------------------------------------------

 Alert ID: A-01004C
 Data di creazione: Mon Mar 26 15:34:09 2001

 Titolo: Falsi certificati Microsoft

 Gravita': alta

 ----------------------------------------------------------------------------


 1) Descrizione del problema

 Sono stati emessi da parte della Certification Authority "VeriSign, Inc." due
 certificati per la Microsoft che pero' non risultano richiesti dalla Microsoft
 stessa.


 2) Piattaforme interessate

 Qualsiasi piattaforma sulla quale e' possibile eseguire codice firmato dalla
 Microsoft.


 3) Impatto

 Attraverso questi certificati, il possessore puo' firmare digitalmente il
 contenuto di qualsiasi file eseguibile, controlli ActiveX, applet Java,
 inducendo l'utente a credere che il codice sia stato effettivamente emesso
 dalla Microsoft. In questo modo l'utente, ponendo fiducia nella Microsoft,
 potrebbe eseguire sulla propria macchina del codice potenzialmente malizioso.


 4) Soluzioni

 All'atto della ricezione di qualsiasi applicazione firmata con un certificato,
 viene sempre chiesto all'utente di concedere l'autorizzazione ad eseguirla
 basandosi sulle informazioni contenute nel certificato. I due falsi
 certificati sono riconoscibili da queste informazioni:

           Issued to: Microsoft Corporation
           Issued by: VeriSign Commercial Software Publishers CA
           Valid from 1/29/2001 to 1/30/2002
           Serial number is 1B51 90F7 3724 399C 9254 CD42 4637 996A

           Issued to: Microsoft Corporation
           Issued by: VeriSign Commercial Software Publishers CA
           Valid from 1/30/2001 to 1/31/2002
           Serial number is 750E 40FF 97F0 47ED F556 C708 4EB1 ABFD

 Al momento della ricezione di codice firmato con uno di questi due
 certificati, basta negare l'autorizzazione all'esecuzione.

 In alternativa e' possibile utilizzare le cosiddette "Certificate Revocation
 List", cioe' liste di certificati considerati non validi. Per utilizzare
 questa soluzione e' pero' necessario attendere delle patch da parte della
 Microsoft.


 5) Regole per sistemi di Network Intrusion Detection

 Non applicabile.


 6) Riferimenti

 Alert originale della Microsoft:
	http://www.microsoft.com/technet/security/bulletin/MS01-017.asp

 Avviso della Verisign, Inc.:
	http://www.verisign.com/developer/notice/authenticode/index.html

 Alert del CERT/CC:
	http://www.cert.org/advisories/CA-2001-04.html



 Appendice


 GARR-CERT Home Page

 http://www.cert.garr.it

 ----------------------------------------------------------------------------


 ----------------------------------------------------------------------------

 Paolo Amendola                              Phone. +39 80 5443194
 GARR-CERT / I.N.F.N.    	             Fax.   +39 80 5442470
 Bari, Italy                                 email. Questo indirizzo email è protetto dagli spambots. È necessario abilitare JavaScript per vederlo.

                   http://security.fi.infn.it/cgi-bin/spgpk.pl?KeyId=12DA1A6D
 ----------------------------------------------------------------------------



-----BEGIN PGP SIGNATURE-----
Version: 2.6.3ia
Charset: noconv

iQCVAwUBOr9FZSkc7/YS2hptAQH/sAP8DtxM6mAXAUJpSPefdl9AvsGQt+ACN12j
aq7sx+jJ6VwHifHcvclIZAmfO50SbK0tUMc5uslpaEl7D7RX6e3E0bVXOQc38Bef
UHqHNUEB/KvK+zMDk3Valm9PKJVouxk3rXjvdMUOfNMzyp/xQ5RzDxlQhn3KD90f
lwiU4ElJikU=
=h6Wf
-----END PGP SIGNATURE-----