Windows vertrouwt eMudhra-roots niet meer: KB5134133

Microsoft heeft op 26 oktober een out-of-band-update voor Windows uitgebracht die zeven certificaten uit de Windows-trust list verwijdert: zes eMudhra G3-roots en een cross-sign van AAA Certificate Services. Een dag later haalde het bedrijf dezelfde zeven uit de trust list van Edge. Het gaat om KB5134133 voor Windows 11 24H2, 25H2 en 26H2, en KB5134125 voor Windows 10 21H2 en 22H2.

Blokkeren is niet hetzelfde als wantrouwen

De aanleiding ligt eerder deze maand, toen bleek dat acht intermediate-privésleutels van certificaatautoriteit eMudhra te achterhalen waren: zes voor TLS en twee voor code signing. Met zo'n sleutel kan iemand certificaten maken of software ondertekenen die voor een browser of besturingssysteem legitiem lijken, terwijl eMudhra ze nooit heeft uitgegeven. Hoe die vertrouwensketen in elkaar zit, staat in Hoe je browser een certificaat vertrouwt.

Op 20 oktober zette Microsoft de betrokken certificaatautoriteiten al op de Disallowed Certificate Trust List en stuurde het een CRLSet-update naar Edge en WebView2. Die ging automatisch via het componentmechanisme, zonder nieuwe browserversie. Daarmee waren de acht bekende intermediates geblokkeerd. De update van 26 oktober gaat verder: die haalt de roots eruit waarmee al het andere uit die hiërarchieën wordt gecontroleerd.

Microsoft benadrukt in zijn MSRC-bericht dat dit twee verschillende dingen zijn. "Een root uit een trust list halen is niet hetzelfde als het intrekken van de bekende getroffen intermediate certificate authorities", schrijft het bedrijf. Het is een bredere vertrouwensbeslissing. Organisaties die een certificaat om compatibiliteitsredenen tóch lokaal willen vertrouwen, mogen dat, maar Microsoft waarschuwt dat juist software die revocatie of de disallowed-lijst niet betrouwbaar controleert daarmee certificaten van de gekraakte intermediates alsnog accepteert.

Voor wie geldt dit

De out-of-band-update is er expliciet voor machines die certificaatupdates niet automatisch binnenkrijgen: systemen zonder internetverbinding, apparaten die de certificate-update-service van Microsoft niet kunnen bereiken, en machines waar automatische CTL-updates zijn uitgezet. Haalt een systeem updates gewoon op, dan komt de wijziging daar van zichzelf langs.

Microsoft noemt vier acties:

• Laat automatische Windows-certificaatupdates en Edge-componentupdates door naar je apparaten.
• Zorg bij Windows-machines zonder automatische updates dat je uitrolproces de bijgewerkte Disallowed Certificate Trust List en deze trust-list-wijziging meeneemt. Microsoft verwijst daarvoor naar de Learn-pagina over het configureren van trusted roots en disallowed certificates.
• Loop losgekoppelde Azure-machines na op Virtual Machine Scale Sets en losse vm's. In de Azure Marketplace staan bijgewerkte images.
• Zoek uit of eigen certificaten aan een van de zeven verwijderde certificaten hangen. Zo ja, regel vervanging of een andere vertrouwde keten vóórdat de wijziging je apparaten bereikt.

De volledige lijst met verwijderde certificaten staat volgens Microsoft in de aankondiging van het Microsoft Trusted Root Program van 26 oktober.

Twee bekende problemen

In het KB-artikel staan twee aandachtspunten. Op sommige apparaten kan Smart App Control na installatie niet meer worden aangezet als het uit stond; de optie is dan grijs. Apparaten waar het al aan staat, hebben er geen last van.

Belangrijker voor beheerders: apparaten die hotpatch-updates gebruiken en deze update installeren, krijgen geen hotpatches meer tot ze de baseline-update van januari 2027 hebben binnengehaald. Zet je hotpatching in om reboots te beperken, dan is dat een afweging om vooraf te maken.

Microsoft zegt de overige eMudhra-roots nog te onderzoeken en mogelijk meer vertrouwenswijzigingen door te voeren.