Ifølge sikkerhetsbloggen Krebs on Security har HP varslet kunder om at selskapet den 21. oktober vil tilbakekalle et digitalt sertifikat som selskapet tidligere har brukt til å signere programvarekomponenter som leveres med og brukes av flere av selskapets eldre produkter. Årsaken er at det har blitt oppdaget at sertifikatet ved en feil har blitt brukt til å signere ondsinnet programvare. Dette skal ha skjedd i mai 2010.

Det er ikke tyveri av sertifikatet som har forårsaket dette. Ifølge Brian Krebs, mannen bak Krebs on Security-bloggen, forteller HPs globale sikkerhetssjef, Brett Wahlin, at selskapet tror at det har skjedd fordi skadevaren, en trojaner, har kommet inn på pc-en til en utvikler hos selskapet. Der har omdøpt seg selv til for å etterligne én av filene som selskapet ofte bruker i forbindelse med programvaretesting. Deretter har den i vanvare blitt inkludert i en programvarepakke som senere har blitt signert med det aktuelle sertifikatet.

Etter signeringen kan det se ut til at trojaneren har kopiert seg selv til en server utenfor HPs lokale nettverk. Der ble den først nylig oppdaget av Symantec, som varslet HP. Det er ingenting som tyder på at den sertifiserte trojaneren har blitt spredt videre. Så fra et sikkerhetssynspunkt har ikke skaden vært stor.

Signeres på nytt
Men fordi sertifikatet, som ikke har blitt brukt på flere år, nå tilbakekalles, må all programvare som er signert med dette bli signert på nytt. I utgangspunktet vil dette bare berøre kunder som forsøker å installere den aktuelle programvare på nytt. Blant annet skal en mengde maskin- og programvaredrivere for Windows være signert med det aktuelle sertifikatet. I utgangspunktet skal kundene bare få en advarsel under installasjonen.

Et ubesvart spørsmål er derimot hvordan dette påvirker HP-datamaskiner med innebygd partisjon for gjenopprettelse, som kan brukes til å gjenskape den opprinnelige programvarekonfigurasjonen til datamaskinen.

–Det interessante som melder seg her – og selv ikke Microsoft vet svaret på dette – er hva som skjer med systemer med restore-partisjon, dersom de blir gjenopprettet, sier Wahlin til Krebs.

– PC-gruppen vår forsøker å skape løsninger for å hjelpe kunder dersom dette blir et virkelig scenario, men til syvende og sist er dette ikke noe vi kan teste i et labmiljø før sertifikatet er offisielt tilbakekalt av Verisign den 21. oktober, sier Wahlin.