戴尔的两款笔记本电脑附带了一个超级风格的证书破解程序

戴尔的许多笔记本电脑都预装了一个非正统的SSL证书，这可能会给戴尔用户带来严重的安全问题。这个证书被称为eDellRoot，首先是由一个叫Joe Nord的程序员发现的，由于戴尔的预安装权限，受影响的计算机被设置为信任它所签署的任何SSL证书。...

戴尔的许多笔记本电脑都预装了一个非正统的SSL证书，这可能会给戴尔用户带来严重的安全问题。这个证书被称为eDellRoot，首先是由一个叫Joe Nord的程序员发现的，由于戴尔的预安装权限，受影响的计算机被设置为信任它所签署的任何SSL证书。

问题是，由于密钥存储在本地，攻击者很可能会创建签名密钥的伪造版本，从而使用户遭受各种SSL攻击。用户在Inspiron 5000和XPS 15上都发现了该证书密钥，Verge在XPS 13上检测到了该密钥，这表明该密钥可能存在于目前市场上的大部分Dell笔记本电脑上。

联想的超级丑闻

这让人想起今年2月发生在联想身上的类似丑闻，当时联想被发现预装了一个名为Superfish的广告软件程序，上面有一个类似的自签名证书。戴尔的情况则不同，因为没有迹象表明该证书被用于在笔记本电脑上植入广告，但由此产生的安全问题是相同的。要解决此问题，用户需要手动吊销证书权限，这是一项复杂且技术要求很高的任务。

因为证书的私钥托管在每台计算机上，所以技术熟练的罪犯很容易对签名密钥进行反向工程，用它来证明不安全的流量，就好像它是合法的一样。这种能力可以被用来攻击登录到公共Wi-Fi热点的Dell用户，或者通过更复杂的攻击，获取信用卡号码、密码或其他敏感信息，从而攻击网络中较深的流量。

事实上，一些安全研究人员已经能够利用坏证书。DuoSecurity的研究员达伦•肯普（Darren Kemp）说，这个问题可能比诺德的第一篇文章所说的还要复杂看来，系统上肯定有不止一个eDellRoot指纹以及至少一个已失效的私有证书，我们能够在不费很大努力的情况下破解密码，”Kemp在一份声明中说。

与此同时，目前仍不清楚有多少戴尔电脑受到证书问题的影响，以及为什么会首先包含自签名证书。在一份即将发表的声明中，戴尔的一位代表表示，公司仍在调查该证书，但强调戴尔的政策是，出于安全原因，尽量减少预加载的软件。”客户安全和隐私是戴尔最关心的问题我们有一个小组正在调查目前的情况，一旦有更多信息，我们会尽快向您通报。”

东部时间下午3:00：更新了Duo Security的声明。

Verge视频：戴尔XPS 15实践

发表于 2021-05-02 13:08
阅读 ( 156 )
分类：互联网

你可能感兴趣的文章

戴尔xps 13(dell xps 13)和华硕t300变压器(asus transformer book chi t300)的区别

...传统超级本。但华硕Transformer Book Chi T300是一款既可用于笔记本电脑模式，也可用于平板电脑模式的设备。该设备最初是一台Ultrabook笔记本电脑，但当键盘基座被卸下时，它就是一台平板电脑。两款设备均配备Intel第5代处理器，RA...

发布于 2020-10-27 08:58
阅读 ( 307 )

戴尔修复了XPS13摄像头，推出了新的latitude 7400 2-in-1

在2019年消费电子展（CES）上发布的众多新款笔记本电脑中，有两款机型吸引了我们的注意力——完全重新设计的戴尔Latitude 7400 2合1和戴尔XPS 13。 ...

发布于 2021-03-22 05:54
阅读 ( 343 )

2018国际电子消费品展览会上的家庭计算：什么是新的，什么是热门？

...最大的一次宣布。与此同时，华硕、宏碁、戴尔和联想等笔记本电脑**商也在发布配备新处理器的新硬件。 ...

发布于 2021-03-23 19:55
阅读 ( 248 )

惊喜：Mac并不一定比windows PC贵

...Mac电脑比Windows PC更贵。如果你把一台售价250美元的Windows笔记本电脑和一台起价899美元的MacBook相比较，这是真的。但是，考虑到可比硬件，mac并不一定比pc贵。这和**很像，真的。当然，iPhone比廉价的Android和Windows**贵，但iPhone的...

发布于 2021-04-10 11:12
阅读 ( 179 )