Ambienti Windows.

Sfondo

I server Windows con connettività Internet raggiungono i server CA e aggiornano automaticamente i certificati Autorità radice affidabile, CTL, STL e certificati revocati. Ciò si verifica in background e richiede zero input o interazione dall'utente.

Perché controllarlo?

Molti ambienti governativi amano chiudere questa impostazione perché si tratta di controllo. Ad esempio, quando il certificato della CA eDellRoot di Dell è stato mostrato per la prima volta come una vulnerabilità - Microsoft non l'ha revocata immediatamente. Ci sono voluti alcuni giorni prima che finisse su un elenco non attendibile o revocato. Così tanti nel campo della sicurezza si sentono come se potessero reagire più velocemente controllando le liste stesse. Molti riducono la minaccia non appena scoprono attraverso vari canali anziché aspettare che i team Microsoft ritengano qualcosa di non sicuro.

Come controllarlo?

Per disattivare l'aggiornamento dei certificati di root automatico tramite l'Editor dei Criteri di gruppo locali:

• Fai clic su Start, quindi su Esegui.

• Digitare gpedit.msc, quindi fare clic su OK.

• Se viene visualizzata la finestra di dialogo Controllo dell'account utente, verifica che l'azione visualizzata sia quella che desideri, quindi fai clic su Continua.
• Nella configurazione del computer, fai doppio clic su Modelli amministrativi, fai doppio clic su Sistema, fai doppio clic su Gestione comunicazioni Internet, quindi fai clic su Impostazioni comunicazione Internet.
• Fare doppio clic su Disattiva aggiornamento certificati root automatici, fare clic su Abilitato, quindi su OK.
• Chiudi l'Editor criteri di gruppo locale.

Nota che farlo in questo modo è più sicuro che disattivare Aggiornamenti automatici. Perché vuoi ancora che vengano applicate altre patch di sicurezza. (Supponendo che tu abbia una connessione Internet.)

Se si conosce la directory in cui sono installate le CA radice, è possibile modificare le autorizzazioni per scrivere in quella directory. Se si imposta tale directory in modo che sia leggibile e non modificabile, si impedisce l'installazione di nuovi certificati.

Inoltre, puoi configurare un sistema di allerta che ti avviserà quando qualcosa in quella directory cambia. In questo modo, potresti consentire l'installazione di nuove CA e potrai verificare le modifiche per verificarle.

Tutto questo può essere fatto nei sistemi operativi Linux / Unix / BSD / Mac.