Dell liefert Laptops mit einem selbstsignierten Root-Zertrifikat aus, dass es Angreifern ermöglicht HTTPS-Verbindungen mitzulesen.
In diesem Fall kommt noch erschwerend hinzu, dass das Zertifikat mit dem privaten Schlüssel kombiniert wurde, der mittlerweile im Internet zu haben ist. Damit kann jedermann Zertifikate für beliebige Websites generieren, die von den großen Browsern wie Internet Explorer oder Googles Chrome akzeptiert werden. Zum Beweis haben Sicherheitsexperten inzwischen solche Zertifikate als Proof-of-Concept unter anderem für die Bank of America ausgestellt. Mit dem Zertifikat sind außerdem Man-in-the-Middle-Angriffe möglich, bei denen der HTTPS-verschlüsselte Datenfluss mitgelesen werden kann. Mit einer ganz ähnlichen Schwachstelle hatte vor einigen Monaten Lenovo zu kämpfen.
Das Zertifikat wurde von Dell seit August auf Laptops aufgespielt und sollte die Authentifizierung des Kunden gegenüber dem Dell-Online-Support vereinfachen.
Update: Der Hersteller hat inzwischen auf die Sicherheitslücke reagiert und bietet ein Tool zum Entfernen an. Außerdem soll es demnächst ein Update geben, das prüft, ob das Zertfikat installiert ist und es gegebenenfalls entfernt, teilt Dell mit.
