23 日戴爾被爆出部分筆電預(yù)裝了非正統(tǒng) SSL 憑證－－eDellRoot，而該憑證出現(xiàn)安全漏洞，駭客可透過根憑證（root certificate），來創(chuàng)建任何網(wǎng)站的合法憑證，駭客可透過這樣的途徑解鎖加密通信、進(jìn)行中間人攻擊，惡搞、偽裝成 Google、Yahoo 等熱門網(wǎng)站，或銀行、購物網(wǎng)站等任何網(wǎng)站蒙騙使用者，使用者無疑暴露于危機(jī)之中。且由于基于 TLS 安全協(xié)議，瀏覽器對于本端安裝的憑證可不需公鑰（key pinning）的保護(hù)，因此即便 HTTP 的 Public Key Pinning（HPKP）機(jī)制，也無法防止這類攻擊。
事件爆發(fā)的起因，是一名自述為軟件工程師的 Joe Nord，在 22 日發(fā)現(xiàn)自己新買的戴爾筆電，預(yù)裝了 eDellRoot 憑證，該憑證被允許用于所有目的，且效期直到 2039 年，進(jìn)一步查詢，該憑證竟有對應(yīng)的私鑰，Joe Nord 認(rèn)知在一般使用者的電腦，不該會(huì)有這樣的情形發(fā)生，而該私鑰雖標(biāo)記為不可導(dǎo)出，然任何人只要有辦法取得這組私鑰，即可以偽造憑證造訪任何網(wǎng)站，即便該網(wǎng)站為問題網(wǎng)站，使用者也會(huì)誤以為這是安全網(wǎng)站。
戴爾這項(xiàng)事件不免也讓人聯(lián)想到 2015 年 2 月聯(lián)想電腦才爆發(fā)的預(yù)裝惡意廣告軟件事件，聯(lián)想電腦當(dāng)時(shí)被爆出在筆電預(yù)載 Superfish/Visual Discovery 廣告軟件，該軟件除會(huì)持續(xù)彈出廣告，還會(huì)自行簽發(fā)安全憑證，可冒充合法網(wǎng)站憑證，致使使用者誤將問題網(wǎng)站視為安全網(wǎng)站，駭客可輕易透過憑證進(jìn)行中間人攻擊。
事件爆發(fā)后，戴爾坦承了這項(xiàng)安全漏洞，承認(rèn)在今年八月開始加載該憑證于消費(fèi)與商用設(shè)備，設(shè)置 eDellRoot 憑證的目的，是為加速線上支持協(xié)定體驗(yàn)，并強(qiáng)調(diào)沒有預(yù)裝任何廣告或惡意軟件。
戴爾發(fā)言體系指出，客戶的隱私與資訊安全是公司最關(guān)心的問題，并且將此問題擺在第一位，強(qiáng)調(diào)未來在戴爾系統(tǒng)中將卸載該項(xiàng)憑證，而目前有預(yù)載該項(xiàng)憑證的電腦，將以電子郵件直接向客戶說明，并協(xié)助其由自己的電腦系統(tǒng)永久刪除該憑證。
據(jù)國外網(wǎng)絡(luò)安全博客 threatpost 與科技網(wǎng)站 Ars Technica 消息，包含戴爾 XPS 15 筆電與 Inspiron 系列筆電與桌機(jī)皆預(yù)載了該憑證， Ars Technica 還指出，部分 Precision M4800 工作站與 Latitude 機(jī)型也同樣有這個(gè)漏洞。
事件爆發(fā)的起因，是一名自述為軟件工程師的 Joe Nord，在 22 日發(fā)現(xiàn)自己新買的戴爾筆電，預(yù)裝了 eDellRoot 憑證，該憑證被允許用于所有目的，且效期直到 2039 年，進(jìn)一步查詢，該憑證竟有對應(yīng)的私鑰，Joe Nord 認(rèn)知在一般使用者的電腦，不該會(huì)有這樣的情形發(fā)生，而該私鑰雖標(biāo)記為不可導(dǎo)出，然任何人只要有辦法取得這組私鑰，即可以偽造憑證造訪任何網(wǎng)站，即便該網(wǎng)站為問題網(wǎng)站，使用者也會(huì)誤以為這是安全網(wǎng)站。
戴爾這項(xiàng)事件不免也讓人聯(lián)想到 2015 年 2 月聯(lián)想電腦才爆發(fā)的預(yù)裝惡意廣告軟件事件，聯(lián)想電腦當(dāng)時(shí)被爆出在筆電預(yù)載 Superfish/Visual Discovery 廣告軟件，該軟件除會(huì)持續(xù)彈出廣告，還會(huì)自行簽發(fā)安全憑證，可冒充合法網(wǎng)站憑證，致使使用者誤將問題網(wǎng)站視為安全網(wǎng)站，駭客可輕易透過憑證進(jìn)行中間人攻擊。
事件爆發(fā)后，戴爾坦承了這項(xiàng)安全漏洞，承認(rèn)在今年八月開始加載該憑證于消費(fèi)與商用設(shè)備，設(shè)置 eDellRoot 憑證的目的，是為加速線上支持協(xié)定體驗(yàn)，并強(qiáng)調(diào)沒有預(yù)裝任何廣告或惡意軟件。
戴爾發(fā)言體系指出，客戶的隱私與資訊安全是公司最關(guān)心的問題，并且將此問題擺在第一位，強(qiáng)調(diào)未來在戴爾系統(tǒng)中將卸載該項(xiàng)憑證，而目前有預(yù)載該項(xiàng)憑證的電腦，將以電子郵件直接向客戶說明，并協(xié)助其由自己的電腦系統(tǒng)永久刪除該憑證。
據(jù)國外網(wǎng)絡(luò)安全博客 threatpost 與科技網(wǎng)站 Ars Technica 消息，包含戴爾 XPS 15 筆電與 Inspiron 系列筆電與桌機(jī)皆預(yù)載了該憑證， Ars Technica 還指出，部分 Precision M4800 工作站與 Latitude 機(jī)型也同樣有這個(gè)漏洞。
01月07日 18:14
