Microsoft 미인증 디지털 인증서로 인한 스푸핑 주의

 

□ 개요
o 마이크로소프트(이하 MS) 일부 인증기관(CA)이 MS에서 권장하는 안전 저장지침에서 벗어나
관련된 인증서에 대해 조치가 필요 [1]
o 실제 인증 기관 오용 사례는 아직 보고된 바 없으나, 공격자는 이 문제점을 악용하여
콘텐츠 스푸핑, 피싱 공격, MITM(Man-in-the-Middle) 공격을 할 수 있음

□ 신뢰할 수 없는 인증서 저장소에 배치해야할 중간 CA 인증서
o 이번 업데이트를 통해 다음의 인증서는 신뢰할 수 없는 인증서 저장소에 배치됨
- Microsoft 정품 Windows Phone Public Preview CA01
- Microsoft IPTVe CA
- Microsoft Online CA001
- Microsoft Online Svcs BPOS APAC CA1
- Microsoft Online Svcs BPOS APAC CA2
- Microsoft Online Svcs BPOS APAC CA3
- Microsoft Online Svcs BPOS APAC CA4
- Microsoft Online Svcs BPOS APAC CA5
- Microsoft Online Svcs BPOS APAC CA6
- Microsoft Online Svcs BPOS CA1
- Microsoft Online Svcs BPOS CA2
- Microsoft Online Svcs BPOS CA2(인증서 2개)
- Microsoft Online Svcs BPOS EMEA CA1
- Microsoft Online Svcs BPOS EMEA CA2
- Microsoft Online Svcs BPOS EMEA CA3
- Microsoft Online Svcs BPOS EMEA CA4
- Microsoft Online Svcs BPOS EMEA CA5
- Microsoft Online Svcs BPOS EMEA CA6
- Microsoft Online Svcs CA1(인증서 2개)
- Microsoft Online Svcs CA3(인증서 2개)
- Microsoft Online Svcs CA4(인증서 2개)
- Microsoft Online Svcs CA5(인증서 2개)
- Microsoft Online Svcs CA6

□ 영향을 받는 소프트웨어 및 장치
o 영향을 받는 소프트웨어 - WindowsXP 서비스 팩 3
- WindowsXP Professional x64 Edition 서비스 팩 2
- WindowsServer 2003 서비스 팩 2
- WindowsServer 2003 x64 Edition 서비스 팩 2
- WindowsServer 2003 SP2(Itanium 기반 시스템용)
- WindowsVista 서비스 팩 2
- WindowsVista x64 Edition 서비스 팩 2
- WindowsServer 2008(32비트 시스템용) 서비스 팩 2
- WindowsServer 2008(x64 기반 시스템용) 서비스 팩 2
- WindowsServer 2008(Itanium 기반 시스템용) 서비스 팩 2
- Windows7(32비트 시스템용)
- Windows7(32비트 시스템용) 서비스 팩 1
- Windows7(x64 기반 시스템용)
- Windows7(x64 기반 시스템용) 서비스 팩 1
- WindowsServer 2008 R2(x64 기반 시스템용)
- WindowsServer 2008 R2(x64 기반 시스템용) 서비스 팩 1
- WindowsServer 2008 R2(Itanium 기반 시스템용)
- WindowsServer 2008 R2(Itanium 기반 시스템용) 서비스 팩 1
- WindowsServer 2008(32비트 시스템용) 서비스 팩 2(Server Core 설치)
- WindowsServer 2008(x64 기반 시스템용) 서비스 팩 2(Server Core 설치)
- WindowsServer 2008 R2(x64 기반 시스템용)(Server Core 설치)
- WindowsServer 2008 R2(x64 기반 시스템용) 서비스 팩 1(Server Core 설치)

o 영향을 받지 않는 장치
- Windows Mobile 6.x
- Windows Phone 7
- Windows Phone 7.5
□ 해결방안
o 자동 업데이트를 사용하는 사용자는 KB2728973 업데이트가 자동으로 다운로드 및 설치되어
따로 조치를 취할 필요가 없음
o 다만 관리자 및 기업 설치의 경우나 KB2728973 업데이트를 수동으로 설치하려는
최종 사용자의 경우 업데이트를 즉시 적용할 필요가 있음 [2]

□ 용어 정리
o M.I.T.M(Man-In-The-Middle) : 통신하고 있는 두 당사자 사이에 끼어들어 교환하는 정보를
자기 것과 바꾸어버림으로써 들키지 않고 도청을 하거나 통신내용을 바꾸는 해킹 기법

□ 기타 문의사항
o 한국인터넷진흥원 인터넷침해대응센터: 국번없이 118

[참고사이트]
[1] http://technet.microsoft.com/ko-kr/security/advisory/2728973
[2] http://support.microsoft.com/kb/2728973

 

출처 : KISA