Sicherheitslücke: D-Link vergisst private Code-Signing-Schlüssel im Quellcode

Dem Hardwarehersteller D-Link ist ein peinlicher Fehler unterlaufen. Im Quellcode der Firmware für eine Überwachungskamera vergaßen die Entwickler private Code-Signing-Schlüssel. Der Hersteller hat bereits reagiert.

Artikel veröffentlicht am ,
Hinweis auf die Schlüssel im Quellcode
Hinweis auf die Schlüssel im Quellcode (Bild: Screenshot Golem.de)

Der Hersteller D-Link hat im Quellcode einer Firmware-Version für seine Sicherheitskamera DCS-5020L private Code-Signing-Schlüssel vergessen. Diese könnten von Angreifern missbraucht werden. Mittlerweile gibt es eine neue Version der Firmware - ohne die privaten Schlüssel.

Stellenmarkt
  1. Managing Director Produktentwicklung (m/w/d)
    über Dr. Maier & Partner GmbH Executive Search, Frankfurt am Main
  2. IT-Systemadministrator*in für Windows Server, SharePoint, SQL und RDS
    Fraunhofer-Institut für Produktionstechnik und Automatisierung IPA, Stuttgart
Detailsuche

Der norwegische Sicherheitsforscher Bartvbl hatte den Firmware-Quellcode seiner neuen Sicherheitskamera untersucht und dabei vier Code-Signing-Schlüssel gefunden, von denen jedoch nur einer funktionierte. Mit diesen Schlüsseln gelang es ihm, ein Windows-Programm zu erstellen und es mit einem der Schlüssel zu signieren. Die Software sah nach der Prozedur nach einer legitimen Anwendung von D-Link aus - bösartige Angreifer könnten dies ausnutzen und Nutzern gefälschte Programme und Malware unterschieben.

Forscher der holländischen Sicherheitsfirma Fox-IT bestätigten den Fund auf dem niederländischen Tech-Protal Tweakers. Es handele sich tatsächlich um ein Code-Signing-Zertifikat in der Firmware-Version 1.00.b03. Die Software wurde am 27. Februar 2015 veröffentlicht.

Mittlerweile hat D-Link die Zertifikate zurückgezogen und eine neue Version der Firmware veröffentlicht. Die Entdeckung war möglich, weil D-Link seine Software seit vielen Jahren unter der GPL veröffentlicht.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Streaming
Squid Game soll Netflix 900 Millionen US-Dollar bringen

Die südkoreanische Serie Squid Game ist dabei, sich zu Netflix' größtem Erfolg zu entwickeln: Die Survival-Serie bricht mehrere Rekorde.

Streaming: Squid Game soll Netflix 900 Millionen US-Dollar bringen
Artikel
  1. Drucker: Ohne Tinte kein Scan - Klage gegen Canon
    Drucker
    Ohne Tinte kein Scan - Klage gegen Canon

    In den USA wurde eine Sammelklage gegen Canon eingereicht: Klagegrund ist, dass einige 3-in-1-Geräte nur scannen, wenn Tinte vorhanden ist.

  2. Videoschalte: VW-Chef spricht mit Elon Musk auf eigenem Managertreffen
    Videoschalte
    VW-Chef spricht mit Elon Musk auf eigenem Managertreffen

    Tesla-Chef Elon Musk hat auf Einladung von VW-Chef Herbert Diess an einem Treffen von Führungskräften teilgenommen und gab ihnen viele Tipps.

  3. Ökostrom: Tesla will in Deutschland Stromtarif anbieten
    Ökostrom
    Tesla will in Deutschland Stromtarif anbieten

    Tesla will einem Bericht zufolge einen eigenen Ökostrom-Tarif in Deutschland anbieten - allerdings nur den eigenen Kunden.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Cyber Week: Bis zu 37% Rabatt auf Corsair-Produkte • Mehrwertsteuer-Aktion bei MediaMarkt • Crucial BX500 1 TB 69€ • Aerocool Aero One White 41,98€ • Creative Sound BlasterX G5 89,99€ • Alternate (u. a. AKRacing Core SX 248,99€) • Gamesplanet Anniv. Sale Classic & Retro [Werbung]
    •  /