neprihlásený Piatok, 27. mája 2022, dnes má meniny Iveta
Pozor, Dell notebooky nie sú bezpečné pre návštevu zabezpečených stránok

Značky: DellbezpečnosťSSL / TLSInternet

DSL.sk, 24.11.2015


Jeden z najväčších výrobcov osobných počítačov Dell na svoje nové osobné počítače v poslednom období predinštalovával vlastný koreňový SSL certifikát, ktorý prakticky úplne eliminuje bezpečnosť protokolu SSL používaného pre prístup k zabezpečeným stránkam a tiež ďalším zabezpečeným službám.

Problém

Na každom PC je podľa dostupných informácií totiž ten istý koreňový SSL certifikát označený eDellRoot, pričom zahrnutý je aj jeho privátny kľúč a ten je tak verejne známy. Certifikát je zároveň možné použiť na podpisovanie iných certifikátov.

Útočník si tak môže vyrobiť falošný certifikát pre ľubovoľnú doménu podpísaný týmto certifikátom, ktorému budú prehliadače na postihnutých Dell počítačoch využívajúce certifikáty v systéme Windows veriť ako dôveryhodnému certifikátu.

Dopady

Útočník tak môže zrealizovať MITM, Man In The Middle, útok a napríklad pri pripojení užívateľa na verejnej WiFi sieti mu podstrčiť ľubovoľné falošné zabezpečené stránky. Prehliadače využívajúce certifikáty vo Windows užívateľa ale na podvrhnuté stránky neupozornia.

Prehliadačmi, ktoré používajú certifikáty vo Windows, sú napríklad Internet Explorer ale aj Chrome. Firefox používa vlastný zoznam certifikátov, pričom minimálne podľa inštrukcií Dellu daný koreňový certifikát medzi certifikáty Firefoxu nevkladá.

Otestovanie

Dell problém priznal v noci na dnes, presný zoznam postihnutých modelov neuvádza.

Podľa Krebs On Security sa problém vyskytuje u všetkých PC Dellu dodávaných od augusta tohto roka, na čom je založená táto informácia nie je jasné.

Či je daný Dell počítač zraniteľný si užívatelia môžu otestovať na stránke https://zmap.io/dell, použiť je samozrejme potrebné Internet Explorer alebo Chrome.

Ďalšie okolnosti

Na problém upozornil v pondelok Kevin Hicks.

Rovnakým problémom trpeli na prelome minulého a tohto roka aj počítače Lenova. V prípade Lenova bol certifikát do systému zanesený navyše predinštalovaným adwarom Superfish.

Podľa Dellu je v jeho prípade certifikát prítomný za účelom zlepšenia online podpory, pričom by mal umožniť "rýchlo identifikovať model počítača". Na čo presne technicky certifikát treba a prečo si neuvedomila bezpečnostné dopady ale spoločnosť Dell nevysvetlila.

Riešenie

Dell vo svojom oznámení ponúka odkaz na návod, ako certifikát odstrániť.

Dosiahnuť je to možné tromi základnými krokmi, zastavením Windows služby Dell Foundation Services, vymazaním súboru Dell.Foundation.Agent.Plugins.eDell.dll z priečinka "C:\Program Files\Dell\Dell Foundation Services" a následne odstránením certifikátu eDellRoot z koreňových certifikátov pomocou certmgr.msc.

Na dnes avizuje Dell aj sprístupnenie nástroja, ktorý certifikát odstráni sám.


      Zdieľaj na Twitteri



Najnovšie články:

Hokej opäť vytvoril rýchlostný rekord slovenského Internetu
Úradné rozhodnutia budú môcť byť v bežných formátoch ako PDF a nielen formulároch
Trailer a termín štvrtého hraného Star Wars seriálu
VMware bude mať nového vlastníka, kupuje ju Broadcom
NASA má problémy so sondou k asteroidu, posunula jej štart
Google údajne opäť odložil uvedenie skladateľného smartfónu
Prvé SSD pre PCI Express 5.0 by mohli dosahovať 13.5 GB/s
O2 ide v Česku na diaľku vymeniť OS v 350 tisíc set-top-boxoch
NASA stále neinformovala, či zachránila helikoptéru na Marse
WD začal vyplácať kompenzáciu za SMR v diskoch pre NAS-y


Diskusia:
                               
 

hm, plati to aj na starsie modely? do firmy som niekolkym servisakom kupoval pred rokom XT2-ky...
Odpovedať Známka: -3.8 Hodnotiť:
 

aby ste ma hned nezaminuskovali - na tych pocitacoch je novoinstalovany win10, kedze je tam lepsia podpora pre dotyk na displeji, v porovnani s win7 - predpokladam teda, ze nova instalacka tiez mohla potahat hentu softwareovu koninu od nich...
Odpovedať Známka: -2.9 Hodnotiť:
 

Skus tutp linku z clanku:
"Či je daný Dell počítač zraniteľný si užívatelia môžu otestovať na stránke https://zmap.io/dell, použiť je samozrejme potrebné Internet Explorer alebo Chrome."
Odpovedať Známka: 10.0 Hodnotiť:
 

Užívatelia môžu otestovať?! Dokluše osobne zodpovedný s tým najlepším čo existuje na výmenu a pred sepukou sa každému zákazníkovy osobne ospravedlní.
Odpovedať Známka: 0.0 Hodnotiť:
 

Spájaním slov do viet a viet do textov sa zaoberá SYNTAX(errorX). Ešte tak gramatika, že? Skúste pohľadať.
Odpovedať Známka: 10.0 Hodnotiť:
 

Vynechávaním interpunkcie môže dávať básnik používaním umeleckých prostriedkov najavo, že kto má kkt, nepotrebuje mať čiarku(-y).
Odpovedať Známka: -4.3 Hodnotiť:
 

Sudca bacharovi o vaznovi:
"Obesit nie prepustit"
Odpovedať Známka: 10.0 Hodnotiť:
 

Hoax alebo priame svedectvo účastníka, ktoré je možné overiť?
Odpovedať Hodnotiť:
 

neviem o com ty rozpravas, ale mna zaujima ci na zaklade vyssie spomenuteho prikazu od sudcu bachar dotycneho obesi, alebo prepusti.
Odpovedať Hodnotiť:
 

V popisovanom prípade určite prichádza vhod ústavne garantované právo na vzdelanie, informácie aj slobodnú voľbu povolania a vzhľadom k nevyhnutnému monitorovaniu tejto komunikácie už proces poskytovania odpovede nepochybne zabezpečujú, bez ohľadu na možnosti štátneho rozpočtu, kompetentné orgány SR za čo si zaslúžia neutíchajúcu vďačnosť, tryskajúcu priamo z podstaty samotnej možnosti bytia súčasťou niečoho tak malebného.
Odpovedať Známka: 2.0 Hodnotiť:
 

Uzasna vetna skladba, ktora obsahovo aj formou hladka moju dusu a som stotozneny aj nazorovo subezne s jej nosnou myslienkou, pricom jemne prvky ironie a sarkazmu sa nevtieravo prelinaju s ostrou pravdou autora, z ktorej je citit realny podton jej zakladu.
Odpovedať Známka: 10.0 Hodnotiť:
 

Presne tak by to malo byt, a myslim ze by to urcite prispelo k skvalitneniu produktov a sluzieb a tiez k pozitivnej fluktuacii zamestnancov a moznosti usetrenia financnych prostriedkov na daneho nezodpovedneho zamestnanca po vykone sepuku.
Odpovedať Hodnotiť:
 

Bez úplného zoznamu vyhodených menežérov, zodpovedných za situáciu, je akékoľvek aktivita Dellu výsmech zákazníkom a problém nerieši.
Odpovedať Známka: 8.8 Hodnotiť:
 

Vyhodit prave ludi, o ktorych viem, ze tuto chybu uz nikdy nezopakuju?
Odpovedať Známka: 1.4 Hodnotiť:
 

Nezopakujú, pretože už neúmyselne zopakovali princíp Superfish?
Odpovedať Známka: 10.0 Hodnotiť:
 

Ked sa pozrem ako vyzera android ekosystem, tak tento predpoklad asi velmi neplati. Tam sa uz niekolko rokov opakuju tie iste zlyhania u rovnakych vyrobcov.
Odpovedať Hodnotiť:
 

Vedeniu zrejme niečo nedochádza...
A second dangerous Dell root certificate discovered.
http://dopice.sk/fxN
Odpovedať Hodnotiť:
 

A keď si tam nainštalujete Avast, tak máte v prehliadači ďalší falošný certifikát.
Odpovedať Známka: 10.0 Hodnotiť:
 

A to uz sa oplati!
Odpovedať Známka: 10.0 Hodnotiť:
 

Hele Horste,to nemyslis vazne?!
Odpovedať Známka: 3.3 Hodnotiť:
 

Neprekvapujuce kedze dell su murican laptopy. <3 murica.
Odpovedať Známka: 2.0 Hodnotiť:
 

Ako riešenie ste zabudli napísať ešte jednú možnosť:
- install arch
Odpovedať Známka: 7.9 Hodnotiť:
 

vsetko je to na nic aj tka nic sa nezlepsi vsetk ide k horsiemu je to na hovno kamarati moji
Odpovedať Hodnotiť:
 

eDellRoot certifikát sice smazat můžete, ale při příštím restartu systému se znovu v systému objeví. Může za to knihovna (Dell.Foundation.Agent.Plu­gins.eDell.dll)

a) modelů vyrobených před rokem 2012 se to netýká
b) DELL Foundation services (napadená služba).. není podporována na VSECH systémech DELL, ale jen některých.

Odpovedať Hodnotiť:
 

Mgr. Čert to odstráni.
Odpovedať Hodnotiť:
 

hlavne ako si dell vystrelil z lenova pri ich faile so superfish, a teraz urobi to iste...
Odpovedať Hodnotiť:

Pridať komentár