Dell entschuldigt sich für Zertifikats-Panne, veröffentlicht Anleitung zum Entfernen
von caschy | 8 Kommentare
Gestern im Internet gewesen? Dann solltet ihr sicherlich das mitbekommen haben, was bei Dell passierte. Die haben nämlich nichts aus Superfish und Lenovo gelernt und haben fast Identisches verzapft. Root-Zertifikat, welches von Angreifern genutzt werden kann, um Daten auch auf verschlüsselten Seiten mitzulesen. Beispiel: Angegriffenes System surft mit dem Internet Explorer auf einer Banking-Seite, der Browser meldet „alles ok bei der verschlüsselten Seite“ – und dennoch landen die Daten beim Angreifer. Alternativ können Angreifer auch Seiten ausliefern, die wie „echte“ vertrauenswürdige HTTPS-Seiten aussehen – aber keine sind. Böses Ding, doch nun hat Dell reagiert.
Man teilt mit, dass man in Kenntnis gesetzt wurde, dass besagte Service-Software ein Zertifikat einschleppt, welches eine Sicherheitslücke beherbergt. Man bedaure zutiefst, dass dies passiert ist. Man lässt ferner verlauten, dass das Zertifikat keine Mal- oder Adware ist. Stattdessen ist es Teil des Support-Tools, wie wir in unserem gestrigen Beitrag auch beschrieben. Man hat nun eine Anleitung für betroffene Nutzer veröffentlicht, wie sie die klaffende Sicherheitslücke von ihrem System bekommen.
Per Push beginnt zudem ein Software-Update am heutigen Tag, welches das Problem aus der Welt schafft – wichtig für Kunden, die nichts mitbekommen haben. Durch das Dell-Update wird überprüft, ob das Zertifikat vorhanden ist – ist dies der Fall, so wird es entfernt. Zukünftig wird man auch auf dieses Zertifikat verzichten.
Interessant dass man so schnell reagierte, nachdem das Thema gestern hochkochte. In unserem gestrigen Bericht führten wir noch an, dass Dell – direkt auf das Problem angesprochen – zwei Wochen lang nicht reagierte. In diesem Sinne: checkt nach, ob Freunde und Verwandte, denen ihr gelegentlich den Admin macht, betroffen sind. Helft ihnen.
Wird geladen ...
Unfassbar das Dell aus dem Lenovo Desaster absolut nichts gelernt hat. Die haben den Schuss nicht gehört. Lenovo hat es immerhin nicht auf Business Geräten installiert, Dell anscheinend auf alle?
Interessant wäre, wie findet man raus ob man noch andere solche Zertifikate auf dem Rechner hat?
Kaspersky macht sowas ähnliches in allen neuen Versionen. Dazu schleusen die ja auch noch Javascript Code in ALLE Webseiten ein, auf denen man surft. In allen Browsern und auch auf Bankingseiten. Auch wenn man das NICHT will.
@sunworker: Laut Dell ist das Ganze nicht auf Bizznizz-Geräten drauf: „Commercial customers who reimaged their systems without Dell Foundation Services are not affected by this issue. Additionally, the certificate will be removed from all Dell systems moving forward. „
Wer veröffentlicht denn Word-Dokumente? Oh Mann…
Der Mehrwert da ein docx veröffentlichen erschließt sich mir da nicht.
Wäre doch per Website wesentlich einfacher gewesen.
Auf einem nicht „neuinstallierten“ DELL Precision waren weder der genannte Dienst noch das Root-Cert installiert.
@caschy
Danke für die Info. Trotzdem, die Arroganz gegenüber normalen Consumer Kunden ist schon erschreckend.
@jannowitz
Auf der Webseite sehen es dann vielleicht auch alle potentiellen neuen Kunden. Das wollen die natürlich nicht.
Ein docx File grenzt allerdings schon an Schwachinn, mindestens pdf sollte es schon sein.
Wenigstens schnell reagiert..
@Anon
Zumindest die Abteilung für DELL Public Relations ist auf Zack …
Dennoch ist das eine Frechheit sowas zu installieren.