Пять критических уязвимостей Microsoft Certificate Authority, о которых вы не знали

Уход Microsoft три года назад стал поворотным моментом для обеспечения информационной безопасности в большинстве отраслей экономики. Отсутствие поддержки и обновлений программного обеспечения от вендора создало серьезные проблемы для устойчивости коммерческих и государственных ИТ-инфраструктур.

Центр сертификации Microsoft Certificate Authority (CA) — один из ключевых сервисов вендора, который применяется для обеспечения безопасности и стабильности работы информационных систем. С его помощью выпускают, приостанавливают и отзывают сертификаты, используемые внутри компании для различных технологических нужд.

Долгое время существовала уверенность, что Microsoft CA «просто есть», успешно решая текущие задачи. Несмотря на многочисленные вопросы по поводу ограниченного функционала, удобства использования и неактуальности интерфейсов, продукт, предоставляемый бесплатно и входящий в комплект серверной ОС, оставался вне зоны критики. Но длиться бесконечно долго это не могло.

Постепенно, с одной стороны, из-за внешнего давления, а с другой стороны, из-за роста требований к информационной безопасности в современной инфраструктуре, назрела необходимость создания отечественных продуктов в данной области. Да и в целом, тренд на цифровой суверенитет и импортозамещение, а также ужесточающиеся требования регуляторов значительно этому способствовали. Ведь для компаний, являющихся субъектами критической информационной инфраструктуры, использование российского решения с целью обеспечения такого важного технологического процесса, как управление сертификатами, становится не только вопросом надлежащей осмотрительности, но и соблюдения требований законодательства, которое установило четкие сроки перехода на отечественное ПО.

Поговорим об уязвимостях

Все вышеперечисленные риски использования Microsoft CA в текущих условиях вам, безусловно, хорошо известны. Но в этой статье мы хотели бы поднять гораздо более важную и не столь очевидную для многих проблему и рассказать о критичных уязвимостях центра сертификации от Microsoft, которые создают серьезные и реальные угрозы безопасности ИТ-инфраструктуры.

Накопленные годами уязвимости конфигурации сервисов AD CS (Active Directory Certificate Services), включая сервис Microsoft CA, легли в основу отчета, опубликованного компанией SpecterOps. В аналитическом документе собран внушительный набор выявленных в конфигурации сервисов AD CS уязвимостей, которые могут привести к критическим последствиям для компаний. Чтобы понять масштаб этих последствий для безопасности инфраструктуры, стоит чуть глубже разобраться с тем, что же такое сервисы AD CS и зачем они нужны.

Сервисы AD CS созданы для выдачи сертификатов инфраструктуры открытых ключей (PKI), используемых в протоколах безопасной связи и проверки подлинности. AD CS широко применяются в корпоративных сетях для управления сертификатами систем, пользователей, приложений и других компонентов. То есть некорректные настройки и уязвимости AD CS могут быть использованы для кражи учетных данных, повышения привилегий в домене и получения полного контроля над сетью компании, что, конечно, является недопустимым.

И что же с этим делать, спросите вы. Сегодня на российском рынке есть несколько отечественных центров сертификации, призванных решить накопившиеся проблемы вокруг безопасности сервисов AD CS и Microsoft CA. Одно из таких решений — SafeTech CA, разработанное SafeTech Group, технологическим лидером создания современных инструментов безопасности для обеспечения цифрового доверия в инфраструктуре и онлайн-сервисах на базе средств криптографической защиты информации.

SafeTech CA — не адаптация Open Source, а полностью российский продукт, выпущенный компанией, которая более 14 лет создает решения в области информационной безопасности. При этом сервис обладает гораздо более широким по сравнению с Microsoft СА функционалом и закрывает все уязвимости из перечня, представленного в отчете компании SpecterOps.

Уязвимости сервисов AD CS и Microsoft CA — как обезопасить себя от них

Рассмотрим некоторые из уязвимостей и разберем реализацию защиты от них на примере SafeTech CA.

Вместо выводов

Мы рассмотрели далеко не полный перечень уязвимостей, с которыми сталкиваются ИТ- и ИБ-специалисты, обслуживающие Microsoft-инфраструктуру и сервисы AD CS, включая Microsoft CA. Поэтому задача повышения уровня информационной безопасности при использовании данных сервисов весьма нетривиальна и достаточно трудоемка. Да и зачастую закрыть эти и другие подобные уязвимости могут только специалисты, обладающие соответствующими компетенциями, а на рынке труда нынче большой дефицит высококвалифицированных кадров. Именно поэтому в текущих реалиях существенно проще и дешевле решить данную задачу перейдя на отечественное решение, которое изначально проектировалось и разрабатывалось исходя из понимания существующих уязвимостей сервисов Microsoft.

Кроме того, российские разработчики учли все «боли» использования Microsoft CA, а также пожелания заказчиков в части функциональности и юзабилити сервиса и предлагают рынку по-настоящему удобные и надежные решения для управления технологическими сертификатами. А бесшовный переход позволяет быстро и без потерь заменить зарубежное решение на безопасный, надежный и соответствующий всем требованиям законодательства отечественный продукт.