Problémy s deravým softvérom, ktorý do svojich notebookov inštaloval samotný výrobca, muselo verejnosti pred pár mesiacmi vysvetľovať čínske Lenovo. V týchto dňoch sa k nemu pridal aj americký Dell, ktorý priznal, že softvér, ktorým boli jeho notebooky vybavené, obsahoval vážnu bezpečnostnú chybu. Útočníci mohli vďaka nej získať citlivé údaje, vrátane prístupových hesiel do internetového bankovníctva. Firma sprístupnila návod, ktorý má majiteľom vybraných modelov notebookov, pomôcť odstrániť problémový softvér.
Chybu mohli zneužiť útočníci a užívateľa nalákať na nezabezpečný web
Chyba, na ktorú upozornili viacerí bezpečnostní experti, sa týkala bezpečnostného SSL certifikátu, ktorý na overovanie používal vlastnú certifikačnú autoritu eDellRoot. S certifikátom je priamo prepojený aj súkromný kľúč, ktorý sa nachádza lokálne v systéme. Bezpečnostné certifikáty sú používané na identifikáciu internetových stránok, ktoré môže internetový prehliadač následne vďaka nim označiť za bezpečné. Týka sa to napríklad stránok internetového bankovníctva či akýchkoľvek iných serverov, ktoré uchovávajú osobné údaje a vyžadujú k nim zabezpečený prístup.
Komunikáciu medzi počítačom a serverom mohla zachytiť tretia strana
Ako píše server BBC, softvér inštalovaný Dellom mal podľa odborníkov dva hlavné problémy. V prvom rade umožňoval aby bola komunikácia medzi počítačom a serverom zachytená treťou stranou, a tým pádom by mohlo dôjsť k odhaleniu citlivých údajov. Zároveň, ak útočník získa prístup k lokálne uloženému súkromnému kľúču, môže vďaka nemu vygenerovať certifikát, ktorý akúkoľvek internetovú stránku označí za bezpečnú. “Uvedomujeme si, že certifikát inštalovaný v rámci nášho softvérového balíka, mohol predstavovať bezpečnostnú hrozbu. Certifikát bol implementovaný ako súčasť podporného nástroja a jeho cieľom bolo zjednodušiť a zrýchliť našim zákazníkom správu systému,” priznáva svoju chybu Dell v oficiálnom stanovisku.
Dell sa ospravedlnil a sprístupnil aktualizáciu, ktorá problém opravuje
Od 24. novembra spoločnosť sprístupnila aktualizáciu, ktorá má za cieľ problémový certifikát identifikovať a zo systému odstrániť. V pozore by mali byť najmä majitelia modelov XPS 13, XPS 15 a modelového radu Inspiron, ktorých sa chyba priamo týka. Aktualizáciu ale Dell sprístupní pravdepodobne celoplošne, nainštalovať by si ju preto mali aj majitelia ostatných modelov.