Superfish טרם נתפס: חטיפת SSL הסבירה

פרסומת

תוכנות זדוניות Superfish של לנובו בעלי מחשב נייד של Lenovo היזהרו: ייתכן שההתקן שברשותך התקין מראש תוכנה זדוניתיצרנית המחשבים הסינית לנובו הודתה כי במחשבים ניידים שנשלחו לחנויות ולקוחות בסוף 2014 הותקנה תוכנה זדונית מראש. קרא עוד עורר די סער בשבוע האחרון. יצרן המחשבים הניידים לא רק שלח מחשבים עם התקנת תוכנות פרסום, אלא שהפך אותם מחשבים לפגיעים מאוד להתקפה. אתה יכול להיפטר מסופרפיש עכשיו, אבל הסיפור לא נגמר. יש הרבה יותר אפליקציות שם לדאוג.

לתפוס סופרפיש

לנובו פרסמה א כלי שנפטר מסופרפיש, ומיקרוסופט עדכנה את תוכנת האנטי-וירוס שלה בכדי לתפוס ולהסיר את המטרד. ספקי תוכנות אנטי-וירוס אחרים בטוחים לעקוב אחריהם במהירות. אם ברשותך מחשב נייד של Lenovo ולא נקטת צעדים להיפטר מ- Superfish, עליך לעשות זאת מייד!

אם לא תיפטרו ממנה, אתם יהיו רגישים הרבה יותר להתקפות אדם באמצע הגורמים לזה נראה כאילו אתה מתקשר עם אתר מאובטח כאשר אתה מתקשר למעשה עם תוקף. Superfish עושה זאת כדי שיוכל לקבל מידע נוסף על משתמשים ולהחדיר מודעות לדפים, אך התוקפים יכולים לנצל את החור הזה.

איך חטיפת SSL עובדת?

Superfish משתמשת בתהליך שנקרא חטיפת SSL כדי לקבל נתונים מוצפנים של משתמשים. התהליך הוא למעשה די פשוט. כשאתה מתחבר לאתר מאובטח, המחשב והשרת שלך עוברים מספר שלבים:

1. המחשב שלך מתחבר לאתר HTTP (לא בטוח).
2. שרת HTTP מפנה אותך לגירסת HTTPS (מאובטחת) של אותו אתר.
3. המחשב שלך מתחבר לאתר HTTPS.
4. שרת HTTPS מספק אישור, ומספק זיהוי חיובי של האתר.
5. החיבור הושלם.

במהלך התקפה של אדם באמצע, צעדים 2 ו -3 נפגעים. מחשב התוקף משמש כגשר בין המחשב שלך לשרת המאובטח, מיירט כל שהוא מידע שהועבר בין השניים, כולל פוטנציאל סיסמאות, פרטי כרטיס אשראי או כל מידע אחר מידע רגיש. הסבר מלא יותר ניתן למצוא בזה מאמר נהדר על התקפות של איש באמצע מהי התקפה של אדם באמצע? הוסבר שפה הביטחוןאם שמעתם על התקפות "איש-באמצע" אך אינך בטוח לגמרי מה זה אומר, זה המאמר בשבילך. קרא עוד .

הכריש מאחורי הדגים: קומודיה

Superfish היא חלק מתוכנת Lenovo, אך היא בנויה על מסגרת שכבר קיימת, שנוצרה על ידי חברה בשם Komodia. קומודיה מייצרת מספר כלים שונים, שרובם בנויים במטרה ליירט אינטרנט מוצפן SSL. תנועה, מפענח אותה במהירות, ומאפשר למשתמש לעשות דברים שונים, כגון נתוני סינון או צג מוצפן גלישה.

קומודיה קובעת כי ניתן להשתמש בתוכנה שלהם לדברים כמו בקרת הורים, תוך סינון שעלול לחשוף מידע מהודעות דוא"ל מוצפנות והזרמת מודעות לדפדפנים המגבילים את סוגי התוספים שהם נוסף. ברור, קיימים שימושים פוטנציאליים טובים וכמה רעים בתוכנה זו, אך העובדה שהיא לפענח את תעבורת ה- SSL שלך מבלי לתת לך שום רמז לכך שאתה כבר לא גולש בצורה מאובטחת מאוד מדאיג.

כדי לקצר סיפור ארוך, Superfish השתמשה בסיסמה יחידה תעודת אבטחה מהי תעודת אבטחת אתרים ומדוע צריך להיות אכפת לך? קרא עוד , כלומר לכל מי שיש לו את הסיסמה לתעודה זו תהיה גישה לכל תנועה שמופעלת על ידי Superfish. אז מה קרה לאחר שהתגלה סופרפיש? מישהו פיצח את הסיסמה ופרסם אותה, והותיר מספר עצום של בעלי מחשבים ניידים של לנובו פגיע.

חוקר אבטחה דיווח בפוסט בבלוג שהסיסמה הייתה "komodia." ברצינות.

אבל Superfish אינה התוכנה היחידה המשתמשת במסגרות קומודיה. חוקר אבטחה בפייסבוק גילה לאחרונה יותר מתריסר פיסות תוכנה אחרות שמשתמשות בטכנולוגיית קומודיה, כלומר, ניתן לפגוע במספר עצום של חיבורי SSL. כך דיווח ארס טכניקה שלמעלה ממאה לקוחות, כולל חברות Fortune 500, משתמשים גם ב- Komodia. ומספר אישורים אחרים ננעלו גם עם הסיסמה "komodia."

חוטפי SSL אחרים

בעוד שקומודיה היא דג גדול בשוק חטיפת SSL, ישנם אחרים. PrivDog, שירות קומודו שמחליף מודעות מאתרים במודעות מהימנות, נמצא כעל פגיעות שעלולה לאפשר גם התקפות של אנשי אמצע. החוקרים אומרים כי הפגיעות של PrivDog גרועה שבעתיים מ Superfish.

זה גם לא כל כך נדיר. הרבה תוכנות חינמיות מגיעות עם תוכנות פרסום אחרות ודברים אחרים שאינכם רוצים בפועל (How-To Geek פרסמה ניסוי נהדר בנושא) ורבים מהם משתמשים בחטיפת SSL כדי לבדוק את הנתונים שאתה שולח באמצעות חיבורים מוצפנים. למרבה המזל, לפחות חלקם קצת יותר חכמים לגבי נהלי תעודת האבטחה שלהם, כלומר, לא כל חוטף SSL גורם לחורי אבטחה גדולים כמו אלה שנוצרו על ידי Superfish או PrivDog.

לפעמים יש סיבות טובות לתת לאפליקציה גישה לחיבורים המוצפנים שלך. לדוגמה, אם תוכנת האנטי-וירוס שלך אינה יכולה לפענח את התקשורת שלך עם אתר HTTPS, היא לא תוכל למנוע תוכנות זדוניות להדביק את המחשב שלך דרך חיבור מאובטח. תוכנת בקרת הורים זקוקה גם לגישה לחיבורים מאובטחים, או שילדים יכולים פשוט להשתמש ב- HTTPS כדי לעקוף את סינון התוכן.

אך כאשר תוכנת פרסום מנטרת את החיבורים המוצפנים שלך, ופותחת אותם לתקיפה, עליך לדאוג.

מה לעשות?

לרוע המזל, יש צורך במניעת התקפות רבות מצד אמצע אמצעי בצד השרת, מה שאומר שאתה עשוי להיחשף לסוגי ההתקפות הללו מבלי לדעת זאת. עם זאת, אתה יכול לנקוט במספר צעדים כדי לשמור על עצמך. פיליפו וולסורדה יצר אפליקציית אינטרנט שמחפש Superfish, Komodia, PrivDog ותוכנות אחרות המבטלות SSL במחשב שלך. זה מקום טוב להתחיל.

עליך לשים לב גם לאזהרות אישורים, לבדוק שוב אם חיבורי HTTPS, היזהר ב- Wi-Fi ציבורי והפעל תוכנת אנטי-וירוס עדכנית. בדוק אילו תוספות דפדפן מותקנות בדפדפן שלך והיפטר מהן שאינך מזהה. היזהר בעת הורדת תוכנה חינמית, מכיוון שרבות תוכנות פרסום קשורות אליו.

מעבר לכך, הדבר הטוב ביותר שאנחנו יכולים לעשות זה להעביר את הכעס שלנו לחברות שמייצרות טכנולוגיה זו ומשתמשות בהן, כמו קומודיה. האתר שלהם הוסר לאחרונה, כביכול על ידי א הפיצו את התקפת הכחשת השירות מהי התקפת DDoS? [MakeUseOf מסביר]המונח DDoS שורק על פניו בכל פעם שהסייבר-אקטיביזם מעלה את הראש בהמוניו. פיגועים מסוג זה עולים לכותרות בינלאומיות בגלל סיבות מרובות. הנושאים שמפעילים את התקפות ה- DDoS הם לעתים קרובות שנוי במחלוקת או מאוד ... קרא עוד והציעו כי אנשים רבים מיהרו להביע את מורת רוחם. הגיע הזמן להבהיר שחטיפת SSL אינה מקובלת לחלוטין.

מה אתה חושב על חטיפת מודעות SSL? האם אתה חושב שעלינו לקרוא לחברות להפסיק את הנוהג הזה? האם זה אמור להיות חוקי? שתף את המחשבות שלך למטה!

נקודות זכות: קריקטורה של כריש דרך Shutterstock, כניסה לחיבור מאובטח באמצעות HTTPS דרך Shutterstock.