O passado recente mostrou que as marcas de hardware procuram solucionar os seus problemas com artifícios rápidos e que nem sempre são dos mais seguros.
A mais recente marca a ser envolvida num problema de segurança grave com os seus computadores é a Dell, que tem presente um certificado suspeito.
Depois de termos visto a Lenovo e o seu Superfish surgirem como uma grave falha de segurança, é agora a vez da Dell surgir com uma situação similar que está a afectar os seus novos portáteis.
Um utilizador que adquiriu recentemente um portátil Dell descobriu, durante um processo de despiste de problemas, um certificado estranho, de nome eDellRoot, emitido pela própria Dell.
Depois deste utilizador ter feito esta descoberta outros surgiram com o mesmo nas suas máquinas, revelando que esta é uma prática comum desta marca.
Este certificado, que é auto-assinado, é idêntico em todas as máquinas onde foi descoberto e permite várias situações que podem colocar os utilizadores em situações de falta de segurança.
A Dell foi informada do problema assim que o mesmo foi descoberto, mas a marca apressou-se a retirar qualquer importância a este problema.
@DellCares This is a MAJOR security concern, especially because your customers all have the exact same CA on their machines. (1)
— Kevin Hicks (@rotorcowboy) 22 novembro 2015
A presença deste certificado por levantar problemas graves de segurança caso a chave privada seja obtida, o que não é nada de muito difícil de conseguir.
Facilmente qualquer um pode criar uma ferramenta com um certificado que será usado para dar alguma (falsa) garantia de segurança aos utilizadores, podendo depois ser usado para roubar dados destes.
Por ser um certificado reconhecido no sistema este é imediatamente aceite e caem por terra todas as garantias de segurança que poderiam estar presentes.
Depois deste problema vir a público e tomar dimensões avultadas, a Dell resolveu remover esse certificado de todas as suas máquinas futuras, deixando de o enviar, e irá em breve dar instruções precisas aos utilizadores para explicar como devem remover esse certificado das suas máquinas.
Este é mais um grave problema de segurança que está a afectar a industria e que não se sabe quais as dimensões que poderá ter. Mesmo que indiquem a forma de remover o certificado de Raiz o mais provável é que este se mantenha presente em muitos milhares de máquinas.
Os exemplos recentes deveriam ter servido de exemplo para os restantes, mas aparentemente as marcas preferem usar os seus mecanismos para resolverem os seus problemas, mesmo sabendo que isso deixa os utilizadores vulneráveis.