Dell werkt aan oplossing voor ernstige kwetsbaarheid in laptops
Dell brengt dinsdag een update uit voor computers die zijn voorzien van het ‘eDellRoot-certificaat’. Dit certificaat is door Dell standaard op machines geïnstalleerd, maar verkeerd geconfigureerd. Hierdoor kunnen cybercriminelen het certificaat misbruiken om versleutelde verbindingen af te luisteren.
Maandag verscheen op het forum Reddit een post waarin op gedetailleerde wijze wordt omschreven hoe het root-certificaat misbruikt kan worden. Het certificaat is oorspronkelijk bedoeld is om Dell medewerkers de mogelijkheid te geven machines te identificeren indien klanten om ondersteuning vragen. Dell heeft hiervoor een certificate authority (CA) geïnstalleerd om de identiteit van de machine te kunnen controleren. Deze CA kan echter door aanvallers worden misbruikt om een nieuw certificaat te creëren waarmee zij onveilige websites als veilig kunnen worden bestempeld. Gebruikers denken hierdoor gevoelige data via een versleutelde verbinding te versturen, terwijl aanvallers in werkelijkheid kunnen meekijken.
Superfish
Het probleem lijkt veel op het Superfish programma dat in 2014 op machines van Lenovo bleek te zijn geïnstalleerd. Deze software was bedoeld om advertenties te kunnen injecteren in webpagina’s, maar bleek ook SSL-certificaten te vervalsen om gebruikers op versleutelde websites te kunnen volgen. Gebruikers konden hierdoor niet langer controleren of websites die zij bezochten met SSL waren beveiligd. Tegenover de Wall Street Journal legt Kenneth White, een beveiligingsonderzoekers van het Open Crypto Audit Project, uit dat het kwetsbare certificaat kan worden misbruikt om software te installeren die data van de PC doorstuurt.
Tegenover de Wall Street Journal meldt een woordvoerder van Dell dat de fabrikant werkt aan een beveiligingsupdates voor getroffen PC’s. Deze wordt naar verwachting dinsdag 24 november nog gepubliceerd. Daarnaast heeft het bedrijf een handleiding vrijgegeven om het certificaat handmatig te verwijderen.
Lees ook
Let’s Encrypt verstrekt 1 miljoen gratis SSL-certificaten
Let’s Encrypt heeft ruim 1 miljoen gratis SSL-certificaten verstrekt. Het project stelt zichzelf als doel het volledige internet over te laten stappen op SSL. Dit meldt de Electronic Frontier Foundation (EFF), een organisatie die opkomt voor digitale burgerrechten. De EFF is één van de partijen die Let’s Encrypt steunt. De 1 miljoen verstrekte cer1
Autoriteit Persoonsgegevens waarschuwt dat gebruikt van SSLv2 mogelijk in strijd is met Wet bescherming persoonsgegevens
In het protocol SSLv2 is vorige week het “DROWN” (Decrypting RSA with Obsolete and Weakened eNcryption) lek aangetroffen, dat aanvallers de mogelijkheid geeft versleutelde verbindingen kunnen kraken. Bedrijven die ondanks dit lek gebruik blijven maken van SSLv2 overtreden hiermee mogelijk de Wet bescherming persoonsgegevens (Wbp). Dit stelt de Aut1
Teveel organisaties vertrouwen blindelings op SSL/TLS-certificaten en sleutels
Heartbleed, LogJam, FREAK, Superfish en nu ook DROWN laten zien dat teveel mensen en organisaties blindelings vertrouwen op SSL/TLS-certificaten en sleutels. Volgens security-experts zijn maar liefst 33% van alle webservers via de DROWN-kwetsbaarheid aan te vallen. Kevin Bocek, Vice President Security Strategy & Threat Intelligence van Venafi,1