Nouvelles
Microsoft publie les dates limites Windows pour la mise à niveau vers SHA-2
Microsoft a décrit vendredi son calendrier 2019 pour le début de la méfiance de l'algorithme SHA-1 (Secure Hash Algorithm-1) dans les systèmes Windows pris en charge, ainsi que dans le produit de gestion Windows Server Update Services 3.0 Service Pack 2.
Vous trouverez des informations détaillées sur les systèmes de correctifs prenant en charge SHA-2, ainsi qu'un tableau avec des dates limites pour les professionnels de l'informatique, dans cet article de support. L'article de support indiquait quand Microsoft prévoyait de fournir des mises à jour dites "autonomes" qui provoqueraient la méfiance de SHA-1 pour ses anciens systèmes Windows, tels que Windows 7 et Windows Server 2008. Il indiquait également les dates auxquelles Microsoft exigerait que ces mises à jour soient en place. Si ces mises à jour ne sont pas en place en juillet de cette année, les futures mises à jour Windows ne seront pas livrées pour ces systèmes d'exploitation Windows.
"Aucun périphérique ne recevant la prise en charge de SHA-2 ne se verra pas proposer de mises à jour Windows après juillet 2019", a averti l'article de support.
Bien que les versions de Windows 10 soient répertoriées dans l'article de support technique de Microsoft, ce sont les anciens systèmes Windows qui peuvent nécessiter l'intervention de professionnels de l'informatique. Par exemple, Microsoft publiera des mises à jour de sécurité autonomes qui "introduiront la prise en charge de la signalisation SHA-2" pour Windows 7 SP1 et Windows Server 2008 R2 SP1 avec une date de sortie cible fixée au 12 mars 2019.
Quatre mois plus tard, à une date cible du 16 juillet 2019, Microsoft exigera que ces mises à jour soient installées pour Windows 7 SP1 et Windows Server 2008 R2 SP1. S'ils ne sont pas installés, les mises à jour Windows n'arriveront pas.
L'arrivée du correctif SHA-2 pour Windows Server 2008 SP2 est un peu différente. Il devrait arriver le 9 avril 2019, avec une date d'installation requise du 16 juillet 2019.
Bien que ces délais de mise à jour puissent sembler très brefs, les produits sous-jacents n’ont de toute façon plus aucune vie utile. Windows Server 2008 SP2 ne sera plus compatible avec le "support étendu" le 14 janvier 2020. C'est la même date de fin pour Windows 7. Les organisations qui utilisent ces produits disposent de moins d'un an avant que les correctifs arrivent complètement. Les alternatives à la mise à niveau de Windows consistent à payer un contrat de «support personnalisé» avec Microsoft, à s'abonner à son plan de mises à jour de sécurité étendue pour Windows Server ou à migrer des charges de travail vers des machines virtuelles Azure.
L'article de support technique de Microsoft n'a pas défini ce qu'est une mise à jour "autonome". Un porte-parole de Microsoft, cependant, a précisé par courrier électronique que ces mises à jour n'arriveraient pas automatiquement et que les professionnels de l'informatique les ajouteraient à l'aide du programme d'installation autonome des mises à jour de Windows.
Les mises à jour autonomes signifient qu'elles ne seront pas disponibles en tant que mise à jour automatique dans Windows Update ou dans Windows Update. Vous le faites via le programme d'installation de mises à jour autonome de Windows, ici pour plus d'informations: https://support.microsoft.com/en-us/help/934307/description-of-the-windows-update-standalone-installer-in-windows
En ce qui concerne la détection de l’utilisation de SHA-1, le porte-parole a fait référence à l’utilitaire de ligne de contrôle de fichier File Checksum Integrity Verifier. Toutefois, il semble s'agir d'un outil Microsoft non pris en charge, généralement utilisé pour vérifier si des fichiers ont été modifiés après une compromission présumée, selon la description de cet article de support.
L'algorithme cryptographique SHA-1, vieux de 20 ans, a longtemps été considéré comme impropre à l'emploi. L'année dernière, des chercheurs néerlandais et Google ont démontré qu'il était possible de casser SHA-1 avec une attaque ressemblant à une force brute. SHA-2 est censé être immunisé contre ces attaques.
Microsoft a commencé l'année dernière à bloquer SHA-1 dans Windows 10 "Creators Update" et à configurer des avertissements de "certificat non valide" pour les utilisateurs des navigateurs Microsoft Edge et Internet Explorer 11 lorsqu'ils rencontraient des sites utilisant SHA-1, comme décrit dans cette annonce.
Commentaires
Laisser un commentaire