戴爾筆電也成駭客遊樂場,驚爆資安漏洞極似聯想 Superfish 事件

作者 | 發布日期 2015 年 11 月 24 日 12:56 | 分類 資訊安全 , 電腦 follow us in feedly

還記得 2015 年 2 月聯想爆發部分筆電機型預載 Superfish 惡意廣告軟體事件,自行簽發安全憑證蒙騙瀏覽器,綁架合法連線,並使得駭客可輕易進行中間人攻擊。無獨有偶,戴爾新筆電也爆發類似的安全問題,戴爾部分筆電預裝的安全評證讓駭客可容易模仿 Google、銀行體系等任何以 HTTPS 保護的網站。



23 日戴爾被爆出部分筆電預裝了非正統 SSL 憑證--eDellRoot,而該憑證出現安全漏洞,駭客可透過根憑證(root certificate),來創建任何網站的合法憑證,駭客可透過這樣的途徑解鎖加密通信、進行中間人攻擊,惡搞、偽裝成 Google、Yahoo 等熱門網站,或銀行、購物網站等任何網站蒙騙使用者,使用者無疑暴露於危機之中。且由於基於 TLS 安全協議,瀏覽器對於本端安裝的憑證可不需公鑰(key pinning)的保護,因此即便 HTTP 的 Public Key Pinning(HPKP)機制,也無法防止這類攻擊。

事件爆發的起因,是一名自述為軟體工程師的 Joe Nord,在 22 日發現自己新買的戴爾筆電,預裝了 eDellRoot 憑證,該憑證被允許用於所有目的,且效期直到 2039 年,進一步查詢,該憑證竟有對應的私鑰,Joe Nord 認知在一般使用者的電腦,不該會有這樣的情形發生,而該私鑰雖標記為不可導出,然任何人只要有辦法取得這組私鑰,即可以偽造憑證造訪任何網站,即便該網站為問題網站,使用者也會誤以為這是安全網站。

dell112401

▲戴爾用戶 Joe Nord 於 Windows 檔案總管當中發現 eDellRoot 憑證。(Source:Joe Nord

dell112402

▲eDellRoot 憑證詳細內容。(Source:Joe Nord

戴爾這項事件不免也讓人聯想到 2015 年 2 月聯想電腦才爆發的預裝惡意廣告軟體事件,聯想電腦當時被爆出在筆電預載 Superfish/Visual Discovery 廣告軟體,該軟體除會持續彈出廣告,還會自行簽發安全憑證,可冒充合法網站憑證,致使使用者誤將問題網站視為安全網站,駭客可輕易透過憑證進行中間人攻擊。

事件爆發後,戴爾坦承了這項安全漏洞,承認在今年八月開始加載該憑證於消費與商用裝置,設置 eDellRoot 憑證的目的,是為加速線上支援協定體驗,並強調沒有預裝任何廣告或惡意軟體。

戴爾發言體系指出,客戶的隱私與資訊安全是公司最關心的問題,並且將此問題擺在第一位,強調未來在戴爾系統中將卸載該項憑證,而目前有預載該項憑證的電腦,將以電子郵件直接向客戶說明,並協助其由自己的電腦系統永久刪除該憑證。

據國外網路安全部落格 threatpost 與科技網站 Ars Technica 消息,包含戴爾  XPS 15 筆電與 Inspiron 系列筆電與桌機皆預載了該憑證, Ars Technica 還指出,部分  Precision M4800 工作站與  Latitude 機型也同樣有這個漏洞。

發表迴響