Dell の自己証明書が、SuperFishと同じだった件
デル製PCに「意図せぬ脆弱性」--プリインストールされたルート証明書で - ZDNet Japan
| Bock氏は「あらゆる攻撃者は、このルート証明書を使用することで、任意のウェブページに対する有効な証明書を作成できるようになる。HTTP公開鍵ピ ンニング拡張（HPKP）といった手段でさえも、この種の攻撃の前には無力となる。というのもブラウザベンダーは、HPKPによる保護をオーバーライドす るために、ローカル環境への証明書のインストールを許しているためだ。これはTLSインターセプションプロキシと呼ばれる運用を可能にするための実装上の 妥協なのだ」と記している |
ZDNetの記事見て『なんで、秘密鍵がないのに攻撃できるんだよ。』って突っ込み入れようと思ったけど…
海外サイトみたらちゃんと書いてた
Dell ships laptops with rogue root CA, exactly like what happened with Lenovo and Superfish : technology
| 私はデル製の新品のXPS 15ノートパソコンを持っている。 ある問題を解決しようとしたとき、私はそれはのDELL名義の自己署名ルートCA（認証局）のeDellRootが事前にロードされてたことを発見した。 秘密鍵がないのエクスポート不可能としてマークされました。 しかし、それは（私はNCCグループの脱獄ツールを使用）いくつかのツールを使用して、秘密鍵の生のコピーを入手することも可能です。入手が簡単すぎてたので、これを発見した別の人とこれを議論した後、彼らがLenovoのSUPERFISHでやらかしたこと、非常に似た方法でルート証明書をすべてのラップトップに入れて出荷しているのだと判断しました。 これは最近のすべてのデルの顧客を危険にさらす重大なセキュリティの脆弱性です 。 |
| 同じ問題が発生し、一部のDellソフトウェアと一緒に設置された第2のルート証明書が存在することが分かりました。 DELLのソフトウェアに付属している証明書で、DSDTestProviderという名前で検出されます 。 Dellコンピュータを必要とせず、インストールされるデルの基盤サービスとは異なるため、その証明書と秘密鍵を抽出するのは簡単でした 。 私のオンラインテストは現在、両方の証明書をチェックします。 この新しい証明書はまだDellの除去プログラムでサポートされていません。 |
要するに秘密鍵のわかってる自己証明書が２つインストールされてやばいって話ですね。
どうしてこうなった・ω・；
【悲報】Superfish複数の重大な脆弱性のあるSSL接続も提供してたことが判明
【悲報】多くの大手セキュリティ会社が自己署名証明書で通信を傍受する技術を使ってる事が判明
イギリスでSuperfishとSSLというお店が隣同士なのが話題に
Translate
Gigazineの記事ですが、
2015年11月25日 12時22分00秒
Dellが脆弱性を指摘されたルート証明書「eDellRoot」の削除ツールを公開
とのことです
その削除ツールが不完全というネタです