#9 cambia de amigos, que no que es broma, todos tenemos un amigo facha!

#6 Si todavia tienes tiempo solo tienes que suscribirte en el sub para poder enviarlas ahi.

Si te has quedado sin tiempo para hacerlo puedes pedirselo a un admin y para eso deberias citarlo poniendo @ delante de "admin"

#5 el principal problema es que en una máquina con ese certificado, cualquiera se puede interponer entre tu banco y tu (por poner un ejemplo) y no te saltaria ninguna alerta.

#7 Vaya. Gracias por la aclaración

#7 y ofrecer drivers "firmados por dell"

#7 cualquiera que conozca la clave privada de ese certificado root. Lo que no veo en ningún sitio es que esta clave privada esté disponible.

#5 Yo lo entendí bastante mejor con la noticia de Hispasec: http://unaaldia.hispasec.com/2015/11/portatiles-dell-con-certificado-raiz.html

Viene siendo como si tú escondes la llave de tu casa debajo de la alfombra de la puerta, no pasa nada hasta que alguien se entera y lo hace público, lo peor es que tú no tienes otro sitio dónde esconder la llave ni puedes quitarla de ahí.

#10 Ahí lo explica bien La llave más que escondida estaba a la vista pero había que fijarse, estaba en el almacén de certificados del sistema operativo, y constaba que la clave privada también estaba ahí.

Como dice el autor de uno de los post que hicieron que Dell tuviera que actuar, esto no tiene mucho sentido que sea con fines de espionaje gubernamental o de Dell, es una chapuza de Dell y muy gorda, porque incluir la clave privada para que todo el mundo pueda firmar con ella y hacer ataques MITM no tiene sentido:

#5 Las comunicaciones seguras no solo cifran los datos, se aseguran que las webs son quien dicen ser, eso se hace para evitar que nadie se haga pasar por otra web y por ejemplo se haga con tu contraseña.

Para ello se establecen unas autoridades que certifican las identidades, como internet es descentralizado, no existe una única autoridad, lo que hacen los navegadores es incluir los certificados raiz de una lista muy selecta de autoridades de confianza ya que cualquier autorización firmada por ellos se da por válida.

Lo que hace Dell es incluir su propio certificado como autoridad lo que le permite indicar que lugares son de confianza o no y suplantar identidades, por ejemplo podría dar por bueno una web que suplantara a google.

#5 Explicacion muy muy sencilla y no del todo exacta para los menos entendidos:

En el supermercado hay taquillas donde dejar los bolsos y mochilas antes de entrar. Las taquillas tienen unas llaves que metes 1€ y te la puedes llevar y dejas tus cosas dentro y las recoges mas tarde y recoges el euro.

Ahora bien, un ladron ha conseguido sin que el supermercado se de cuenta cambiar los candados de las taquillas por los suyos propios, con unas llaves que aparentemente son seguras, pero que son genericas de los chinos y que existen todas las copias de esas llaves que quieras, en vez de las del supermercado que eran diseñadas para cada taquilla.

Con esto el ladron, o cualquiera que tenga una llave de los chinos puede abrir las taquillas de tal forma que puede ver y robar todo lo que pasen por ellas.

Con bienes materiales es bastante dificil de explicar, pero con bienes virtuales alguien podría copiar informacion sin que te des cuenta y acceder a tus contraseñas y datos sensibles en paginas supuestamente seguras (con el icono del candadito) pero que en realidad son paginas web falsas con un candado aparentemente seguro que es falso, diseñadas como las webs originales, pero que te roban los datos.


Insisto, no es una explicacion muy real con lo que exactamente se cuece con un root certificate, pero espero que la gente no entendida pueda hacerse mas o menos una idea.

#5 Los certificados sirven para, entre otras cosas, validar que un sitio web es realmente quien dice ser. Si esta validación no se produce, el sitio web se considera "no seguro" o "no confiable" y por tanto no recomendable para operaciones delicadas. Por ejemplo, la web de tu banco, y todos los sitios de tipo https://...

Los certificados constan de dos "ficheros llave". El público que permite leer y verificar la validez de un sitio/documento/lo que sea. Y el privado, que permite añadir o acreditar (firmar) nuevos sitios que serán considerados como seguros.

La validación de estos certificados se realiza mediante entidades certificadoras (certificados root), que son sitios de refutada confianza a quienes se consulta si un certificado es o no válido, y por tanto seguro.

Dell incluye en sus equipos una entidad certificadora que no es tal, sino de su propia creación, de tal modo que tu equipo podrá dar por válidos aquellos sitios web que la entidad certificadora de Dell así lo confirme.

Pero hay más, porque Dell incluye no solo el certificado público, sino también el privado, con lo cual tu equipo Dell podrá añadir a la lista un sitio web como seguro cuando no lo es. Por ejemplo, podría hacer que una web falsa de tu banco fuese añadida como sitio seguro y confiable, y tú podrías acceder a ella pensando que es tu banco, cuando es una suplantación para conseguir tus datos de acceso (phising). Y este es el verdadero peligro y cagada por parte de Dell, al suponer un severo riesgo de seguridad en sus equipos.

#9 La Razón, con eso ya lo dices todo

#1 En la entradilla del enlace que comentas viene la fuente:

#1 Si, la sonrisita de todos parece que dice: por fin nos hemos librao de este inútil.