Dell hebelt Zertifikate unter Windows aus

Hier werden aktuelle Meldungen diskutiert
[this is the place to discus news topics]
Antworten
Benutzeravatar
doelf
Moderator
Moderator
Beiträge: 34729
Registriert: 12 Feb 2004, 23:29
Wohnort: Alsdorf
Kontaktdaten:

Dell hebelt Zertifikate unter Windows aus

Beitrag von doelf » 24 Nov 2015, 13:33

Dumm, dümmer, Dell. Der PC-Hersteller Dell hat sich ein grandioses Eigentor geleistet, welches die Sicherheit von unzähligen Kunden gefährdet: Auf Rechnern mit vorinstalliertem Windows hat Dell ein selbst signiertes Root-CA-Zertifikat nebst dazugehörigem Schlüssel hinterlegt, mit dem sich die gesamte Verschlüsselung aushebeln lässt.

Wie der Benutzer rotorcowboy auf reddit berichtet, entdeckte er auf seinem nagelneuen Laptop des Typs Dell XPS 15 ein Root-CA-Zertifikat namens eDellRoot, welches vom PC-Hersteller selbst signiert ist. Mit Hilfe dieser CA (Certificate Authority) kann sich jeder, der sich im Besitz des dazugehörigen Schlüssels befindet, gültige Zertifikate ausstellen und die Sicherheitsmechanismen des Betriebssystems umgehen. Auf diese Weise kann man sowohl die Verschlüsselung brechen als auch Schadsoftware installieren.

Der private Schlüssel zum Root-CA-Zertifikat liegt im Zertifikatsspeicher unter "Vertrauenswürdige Stammzertifizierungsstellen" und ist als nicht exportierbar gekennzeichnet. Dennoch ist es mit der entsprechenden Software leicht möglich, den Schlüssel zu extrahieren. Schlimmer noch: Wie rotorcowboy nach Rücksprache mit einem anderen Nutzer feststellen musste, installiert Dell auf jedem Rechner das gleiche Root-CA-Zertifikat mit dem immer gleichen Schlüssel. Was Hacker freut, sollte die Besitzer von Dell-PCs hochgradig beunruhigen!

Zumindest ist Dell schnell: Noch am selben Tag reagierte der Hersteller mit einer Stellungnahme und einer Anleitung zum Entfernen des gefährlichen Root-CA-Zertifikats - dass es sich hierbei um ein DOCX-Dokument handelt, sorgt allerdings für Abzüge in der B-Note! Im Laufe des Tages soll zudem ein Software-Update folgen, welches das Zertifikat beseitigt. Laut Dell wird eDellRoot von der Kundendienst-Applikation "Dell Foundation Services" eingerichtet und sollte Support-Aufgaben erleichtern. Der Hersteller bestätigt zugleich die geäußerten Sicherheitsbedenken und drückt sein Bedauern aus.
. Tails . Linux . USB . CD . Secure Desktop . IRC . Truecrypt . Tor .

Benutzeravatar
doelf
Moderator
Moderator
Beiträge: 34729
Registriert: 12 Feb 2004, 23:29
Wohnort: Alsdorf
Kontaktdaten:

Dell: Noch ein selbst signiertes Root-CA-Zertifikat

Beitrag von doelf » 26 Nov 2015, 12:27

Der Computerhersteller Dell hat nach eDellRoot ein weiteres selbst signiertes Root-CA-Zertifikat nebst dazugehörigem Schlüssel in seiner Software entdeckt. Es heißt DSDTestProvider und ermöglicht Angreifern ebenfalls das Ausstellen gültiger Zertifikate, um die Sicherheitsmechanismen des Betriebssystems zu umgehen.

Dell wurde von Hanno Böck über das zweite Zertifikat informiert und hat dessen Existenz inzwischen bestätigt. DSDTestProvider wird von der Applikation "Dell System Detect" angelegt, welche im Gegensatz zu den "Dell Foundation Services" nicht zum Auslieferungszustand neuer Rechner gehört. Betroffen sind daher nur Kunden, die zwischen dem 20. Oktober und dem 24. November 2015 auf der Kundendienstseite von Dell die Option "detect product" genutzt hatten. Dell hat die fehlerhafte Anwendung bereits entfernt und durch eine neue ersetzt, welche keine Root-CA-Zertifikate anlegt.

Während das Ausliefern von Rechnern mit selbst signierten Root-CA-Zertifikaten samt abgreifbarer Schüssel schon ein dicker Bock ist, muss man Dell ein schnelles und effizientes Krisenmanagement zugutehalten: Der PC-Hersteller hat umgehend eine Informationsseite in mehreren Sprachen eingerichtet und bietet bereits ein Tool zum Entfernen beider Root-CA-Zertifikate an. Hieran dürfen sich andere Hersteller gerne ein Beispiel nehmen, denn viel zu oft werden gravierende Fehler und Sicherheitslücken schlicht und einfach ignoriert.

Quelle:
http://en.community.dell.com/dell-blogs ... ertificate
. Tails . Linux . USB . CD . Secure Desktop . IRC . Truecrypt . Tor .

Antworten