Dell-gebruikers melden aanwezigheid rootcertificaat met priv

[Eagle Creek]

Dat risico is dat malwareschrijvers kwaadaardige software met het certificaat kunnen ondertekenen, waarna bij Windows geen alarmbellen gaan rinkelen. Misbruik voor man-in-the-middle-aanvallen zou niet mogelijk zijn aangezien het certificaat niet door een officiële certificaatautoriteit is uitgegeven. De vergelijking met Superfish van Lenovo gaat daarom mank: dat ging om malware die met behulp van een certificaat ssl-verkeer van klanten kaapte maar daarvoor ook te misbruiken was dankzij de aanwezigheid van de privésleutel.

Dit is of onjuist of vereist wat meer inhoudelijke toelichting. Het certificaat is immers toegevoegd aan de lijst met basiscertificaten. Dat het certificaat niet door een officiële certificaatautoriteit is uitgegeven maar self signed is klopt: alle rootcertificaten zijn in principe self signed.

Als Dell inderdaad op de pc software heeft staan die verkeer onderscherpt (MitM) kan het diens private key gebruiken om het opnieuw te ondertekeken.

Superfish was immers ook self signed.

[Eagle Creek]

Inmiddels is de uitspraak "Misbruik voor man-in-the-middle-aanvallen zou niet mogelijk zijn aangezien het certificaat niet door een officiële certificaatautoriteit is uitgegeven." al door jullie zelf ontkracht in een volgend nieuwsbericht:

nieuws: Dell erkent veiligheidsblunder met certificaat op pc's

Het probleem maakt misbruik met malware en man-in-the-middle-aanvallen mogelijk.

M.i. des te meer redenen om het oorspronkelijke nieuwsbericht bij te werken .

[Olaf]

Je hebt helemaal gelijk en die mogelijkheid had ik gister ook nadrukkelijk moeten benoemen: update: nieuws: Dell-gebruikers melden aanwezigheid rootcertificaat met private sleut...

En dank voor de heads-up!

[Eagle Creek]

Np