Cómo comprobar las autoridades de certificación raíz de confianza en busca de certificados sospechosos

Los usuarios de Windows deben prestar más atención a los certificados instalados en sus equipos. Incidentes recientes con los certificados Lenovo Superfish, Dell eDellRoot y Comodo PrivDog demuestran que los usuarios deben estar atentos cuando instalan nuevas aplicaciones y saber qué software y los certificados están preinstalados en el sistema por el fabricante. Los certificados falsos o generados especialmente ayudan a los piratas informáticos a realizar ataques MiTM (man-in-the-middle), capturar su tráfico (incluido HTTPS), permitir la ejecución de software o scripts maliciosos, etc.

Por regla general, estos certificados se instalan en el almacén de entidades emisoras de certificados raíz de confianza. Veamos cómo puede buscar en la tienda los certificados de terceros.

En general, el almacén de autoridades de certificación raíz de confianza debe contener solo certificados de confianza verificados y publicados por Microsoft bajo el programa de certificados raíz de confianza de Microsoft. Para comprobar el almacén de certificados en busca de certificados de terceros, utilice Sigcheck (una herramienta de Sysinternals).

1. Descargue Sigcheck del sitio web de Microsoft (https://technet.microsoft.com/en-us/sysinternals/bb897441.aspx)

2. Descomprima Sigcheck.zip en cualquier carpeta (p. ej., C:\install\sigcheck\)

3. Inicie el símbolo del sistema y vaya al directorio donde se encuentra la herramienta: cd C:\install\sigcheck\

4. Correr

   sigcheck.exe -tv

   o

   sigcheck64.exe -tv 

   (para versiones de Windows de 64 bits) en el símbolo del sistema

5. En la primera ejecución, sigcheck solicita aceptar los términos de la licencia

   

6. Luego, la herramienta descarga el archivo authrootstl.cab que contiene la lista de certificados raíz de MS en formato de lista de confianza de certificación del sitio web de Microsoft y lo guarda en su propio directorio.

   Consejo. Si no hay una conexión directa a Internet en su computadora, puede descargar authrootstl.cab usted mismo siguiendo este enlace http://download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab y colocarlo manualmente en el directorio que contiene SigCheck

7. La herramienta comparará la lista de certificados instalados en su computadora con la lista de certificados raíz de MSFT en authrootstl.cab. Si hay certificados de terceros en la lista de certificados raíz de su computadora, SigCheck los mostrará. En nuestro caso, hay un certificado con el nombre test1 (es un certificado autofirmado creado usando el cmdlet New-SelfSignedCertificate que he creado para firmar el código de un script de PowerShell)

   

8. Cada certificado de terceros encontrado debe analizarse para evaluar si debe estar en la lista de certificados de confianza. También se recomienda averiguar qué aplicación tiene instalada y la utiliza.

   Consejo. Si la computadora es parte de un dominio, es probable que la lista de certificados de "terceros" contenga los certificados raíz de la autoridad de certificación interna (CA) y otros certificados integrados en la imagen del sistema o distribuidos mediante GPO.

9. Para eliminar un certificado de la lista de certificados de confianza, inicie la consola de administración de certificados (msc), expanda Autoridades de certificación raíz de confianza -> Certificados y elimine los certificados encontrados por la utilidad SigCheck

   

Por lo tanto, se recomienda verificar la tienda de certificación usando SigCheck en todos los sistemas, especialmente en las computadoras OEM con el sistema operativo preinstalado y diferentes compilaciones de Windows distribuidas a través de algunos rastreadores de torrents populares.