Abo
  • Services:
Anzeige
Ein weiteres gefährliches Root-Zertifikat ist auf Dell-Laptops zu finden.
Ein weiteres gefährliches Root-Zertifikat ist auf Dell-Laptops zu finden. (Bild: Dell Inc./ Wikimedia Commons/CC-BY 2.0)

HTTPS-Verschlüsselung: Noch ein gefährliches Dell-Zertifikat

Ein weiteres gefährliches Root-Zertifikat ist auf Dell-Laptops zu finden.
Ein weiteres gefährliches Root-Zertifikat ist auf Dell-Laptops zu finden. (Bild: Dell Inc./ Wikimedia Commons/CC-BY 2.0)

Offenbar gibt es eine weitere von Dell bereitgestellte Software, die ein Root-Zertifikat samt privatem Schlüssel installiert. Das Tool namens Dell System Detect ist schon früher als Sicherheitsrisiko aufgefallen.

Anzeige

Das Ausmaß der Probleme mit gefährlichen Zertifikaten auf Dell-Laptops ist offenbar noch größer als gedacht. Eine zweite Software mit Namen Dell System Detect liefert ebenfalls ein gefährliches Root-Zertifikat mit, das für Man-in-the-Middle-Angriffe gegen verschlüsselte HTTPS-Verbindungen genutzt werden kann.

Gestern war bekannt geworden, dass auf aktuellen Dell-Laptops unter dem Namen "eDellRoot" ein Root-Zertifikat samt privatem Schlüssel abgelegt ist. Jeder kann dieses Zertifikat extrahieren und anschließend damit nach Belieben Webseitenzertifikate signieren und für Angriffe nutzen.

Dell System Detect mit Root-Zertifikat

Zwischenzeitlich hat Dell auf seinem Firmenblog eine Stellungnahme veröffentlicht und dort eine Anleitung sowie ein Tool zum Entfernen des Zertifikats bereitgestellt. In einem Kommentar unter dem Blogeintrag weist ein Nutzer darauf hin, dass auf seinem XPS-Laptop ein weiteres Zertifikat mit dem Namen DSDTestProvider installiert worden sei.

DSD steht für "Dell System Detect", dieses Tool lässt sich auf der Dell-Webseite herunterladen. Nach einer Testinstallation konnten wir das Zertifikat und den zugehörigen privaten Schlüssel extrahieren. Die Sicherheitsprobleme sind dieselben wie beim ersten Mal: Jeder Angreifer kann damit nach Belieben Zertifikate ausstellen, die vom Browser des Nutzers akzeptiert werden.

Der von uns bereitgestellte Onlinetest ist bereits aktualisiert und prüft nun beide problematische Dell-Zertifikate. Die Anleitung von Dell ist bislang unvollständig und berücksichtigt dieses weitere Zertifikat nicht.

Offenbar ist das nicht das erste Mal, dass Dell System Detect für eine gravierende Sicherheitslücke verantwortlich ist. In einem Blogeintrag berichteten die Entwickler des Antivirenprogramms Malwarebytes im April, dass ältere Versionen von Dell System Detect eine Remote-Code-Execution-Lücke enthielten.

Atheros-Zertifikat und weitere Funde

Von weiteren Funden im Zusammenhang mit dem Dell-Zertifikat berichtet die Firma Duo Security. Auf einigen Dell-Laptops sei ein Zertifikat zum Signieren von Treibern von Atheros gefunden worden. Allerdings sei das Zertifikat schon lange abgelaufen gewesen und dürfte somit aktuell keine Gefahr mehr darstellen. Weiterhin untersuchte Duo Security, ob Zertifikate, die mit dem eDellRoot-Zertifikat signiert wurden, im Internet zu finden seien. Die Forscher fanden zwar keine derartigen Hosts, dafür aber ein weiteres Zertifikat mit demselben Namen, das von 24 Hosts im Internet genutzt werde, darunter ein Scada-System einer Wasserversorgungsanlage. Der Grund hierfür ist bislang unklar.


eye home zur Startseite
Gol D. Ace 24. Nov 2015

Wenn du das Public-Key-Verschlüsselungsverfahren verstehst sollte einiges klarer...



Anzeige

Stellenmarkt
  1. Autobahndirektion Südbayern, München
  2. ZIEHL-ABEGG SE, Künzelsau
  3. Landeshauptstadt München, München
  4. VEMA Versicherungs-Makler-Genossenschaft e.G., Karlsruhe


Anzeige
Spiele-Angebote
  1. 22,99€
  2. 6,99€
  3. (-58%) 24,99€

Folgen Sie uns
       


  1. Niederlande

    Deutsche Telekom übernimmt Tele2

  2. Drive Me

    Volvo macht Rückzieher bei autonomen Autos

  3. Astronomie

    Die acht Planeten von Kepler-90

  4. Fuso eCanter

    Daimler liefert erste Elektro-Lkw aus

  5. Edge

    Eine Karte soll Daten mehrerer Kreditkarten speichern

  6. Netzneutralität abgeschafft

    Die doppelte Selbstentmachtung der US-Internetaufsicht

  7. Private Division

    Rockstar-Games-Firma gründet Ableger für AAA-Indiegames

  8. Klage erfolgreich

    BND darf deutsche Metadaten nicht beliebig sammeln

  9. Neuer Bericht

    US-Behörden sollen kommerzielle Cloud-Dienste nutzen

  10. Übernahme

    Walt Disney kauft Teile von 21st Century Fox



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
4K UHD HDR: Das ZDF hat das Internet nicht verstanden
4K UHD HDR
Das ZDF hat das Internet nicht verstanden
  1. Cisco und Lancom Wenn Spionagepanik auf Industriepolitik trifft
  2. Encrypted Media Extensions Web-DRM ist ein Standard für Nutzer

King's Field 1 (1994): Die Saat für Dark Souls
King's Field 1 (1994)
Die Saat für Dark Souls
  1. Blade Runner (1997) Die unsterbliche, künstliche Erinnerung
  2. SNES Classic Mini im Vergleichstest Putzige Retro-Konsole mit suboptimaler Emulation

Bundesregierung: Mit verdrehten Zahlen gegen die ePrivacy-Verordnung
Bundesregierung
Mit verdrehten Zahlen gegen die ePrivacy-Verordnung
  1. Druck der Filmwirtschaft EU-Parlament verteidigt Geoblocking bei Fernsehsendern
  2. Rechtsunsicherheit bei Cookies EU warnt vor Verzögerung von ePrivacy-Verordnung
  3. Datenschutz EU-Parlament stimmt ePrivacy-Verordnung zu

  1. AT&T will 108 Milliarden US-Dollar für das...

    taudorinon | 09:12

  2. Re: Respekt

    |=H | 09:10

  3. Re: Infos fehlen

    lester | 09:10

  4. Re: Lobbyarbeit

    emuuu | 09:06

  5. Re: Die 1000 Karte

    Telaran | 09:05


  1. 09:01

  2. 08:58

  3. 08:31

  4. 08:16

  5. 07:53

  6. 07:17

  7. 16:10

  8. 15:30


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel