Fix KB2661254: Avviso di sicurezza Microsoft: Aggiornamento riguardo la lunghezza minima di chiave del certificato

Avrei voluto scrivere questo articolo prima ma sfortunatamente non ho trovato il tempo di farlo. Spero di poter aiutare ancora chi oggi si trova in difficoltà con un rilascio di patch di Microsoft (per l’appunto, martedì scorso era il “patch day” del mese, ndr) che ha messo in seria difficoltà chi utilizza certificati di sicurezza la quale chiave è inferiore ai 1024 bit, come spiegato nell’articolo di supporto ufficiale: support.microsoft.com/kb/2661254.

Per ridurre i rischi derivanti dall’esposizione non autorizzata di informazioni sensibili, Microsoft ha rilasciato un aggiornamento non correlato alla sicurezza (KB 2661254) per tutte le versioni supportate di Microsoft Windows. Questo aggiornamento bloccherà le chiavi di crittografia di lunghezza inferiore a 1024 bit. L’aggiornamento non si applica alle versioni Windows 8 Release Preview o Windows Server 2012 Release Candidate perché tali sistemi operativi già includono la funzionalità che blocca l’utilizzo delle chiavi RSA deboli di lunghezza inferiore a 1024 bit.

WiFi autenticate con certificato, VPN, collegamenti ad ambienti virtuali, qualsiasi cosa basata sul certificato aziendale distribuito bloccata, senza possibilità di appello. La stessa Microsoft rilascia però una soluzione che può permettervi di aggirare l’ostacolo (prendendovi una responsabilità per possibile buco di sicurezza), al paragrafo “Consentire le lunghezze di chiave inferiori a 1024 bit di utilizzare le impostazioni del Registro di sistema“.

In parole estremamente povere, una chiave di registro vi metterà al riparo da telefoni roventi in helpdesk o software di gestione ticket che potrebbero non sopportare il carico di lavoro! I sistemi interessati vanno da Windows Xp Sp 3 a Windows 7 Sp 1. In ogni caso dopo aver applicato la correzione al registro non sarà necessario il riavvio della macchina e le attività torneranno al loro normale corso quotidiano.

Potete distribuire il file di registro tramite policy (come nel caso della mia azienda) e intervenire tempestivamente attraverso un piccolo batch per le prime macchine colpite che non possono aspettare la propagazione e applicazione della policy. Due i valori fondamentali (per Windows 7 ne basterebbe uno, per Windows Xp ne servono necessariamente due, minimo sindacale):

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography\OID\EncodingType 0\CertDllCreateCertificateChainEngine\Config]
"MinRsaPubKeyBitLength"=dword:00000200
"EnableWeakSignatureFlags"=dword:00000002

Così facendo permetterete a Windows di accettare chiavi di certificato inferiore ai 1024 bit, come suggerito dalla stessa documentazione. Dovendo però applicare il fix come amministratori della macchina (dato che andate a ritoccare valori nella HKLM) un batch potrebbe fare al caso vostro:

@echo off
:RIPRISTINOREGISTRO
echo Aggiorno valori chiavi di registro ...
REG ADD "HKLM\SOFTWARE\Microsoft\Cryptography\OID\EncodingType 0\CertDllCreateCertificateChainEngine\Config" /v MinRsaPubKeyBitLength /t REG_DWORD /d 512
REG ADD "HKLM\SOFTWARE\Microsoft\Cryptography\OID\EncodingType 0\CertDllCreateCertificateChainEngine\Config" /v EnableWeakSignatureFlags /t REG_DWORD /d 2

Che come sempre non manco nel fornirvi già pronto come eseguibile sullo spazio pubblico di gfsolone.Com, all’indirizzo:

gfsolone.com/fix/KB2661254-FixKeyLenght.exe

Andrà -come già detto- lanciato come amministratore locale della macchina (o di dominio) e non necessita di riavvio alcuno al termine dell’esecuzione, tutto dovrebbe tornare alla normalità appena applicato.

Buon lavoro!