פרסומת
יצרנית המחשבים הסינית לנובו הודתה שלמחשבים ניידים שנשלחו לחנויות ולצרכנים בסוף 2014 הותקנו תוכנות זדוניות מראש.
אולי תרצה לקרוא את זה שוב.
יצרנית גדולה עם מכירות של 38.70 מיליארד דולר ב-2014 לבדה, מוכרת מחשבים שפולשים באופן אקטיבי לפרטיות המשתמש שלהם, מה שמאפשר איש באמצע תוקף מהי התקפה של איש-באמצע? הסבר זרגון אבטחהאם שמעתם על התקפות "אדם באמצע" אבל לא ממש בטוחים מה זה אומר, זה המאמר בשבילכם. קרא עוד ובעצם מערער את האמון.
הכירו את סופרפיש. למעשה, אל תעשה.
מרכזית בגילוי זה היא תוכנה - שנחשבה עד לא מזמן ל-crapware או bloatware - שנקראת Superfish Visual Discovery, תוסף דפדפן הנשלח מותקן מראש במחשבי לנובו, לכאורה כטכנולוגיה "למצוא ולגלות מוצרים מבחינה ויזואלית".
כי ברור שאי אפשר לגלות מוצרים עם האוזניים.
הרעיון הוא ש-Superfish, המצוי בתור הרחבה לדפדפן, מנתח תמונות שאתה צופה באינטרנט, בודק אם הם מוצרים, ואז מציע "הצעות מוצרים זהות ודומות שעשויות להיות נמוכות יותר מחירים".
איך זה עובד?
"מנוע ה- Superfish Visual Discovery מנתח תמונה ב-100% אלגוריתמי, ומספק תמונות דומות וכמעט זהות בזמן אמת ללא צורך בתגי טקסט או התערבות אנושית. כאשר משתמש מתעניין במוצר, Superfish יחפש באופן מיידי בין יותר מ-70,000 חנויות למצוא פריטים דומים ולהשוות מחירים כדי שהמשתמש יוכל לקבל את ההחלטה הטובה ביותר לגבי המוצר והמחיר."
הבעיה היא שלא רק ש-Superfish הוא חטיפת דפדפן - סורקים נגד תוכנות זדוניות מסירים באופן שגרתי כלים של תוכנות פרסום שעושים את אותו הדבר - אלא יש גם את הנושא של פגיעות MITM.
זוכרים את התקפות ה-Man in the Middle? לנובו כן
Superfish לא רק חוטף את הדפדפן שלך כדי להציג מודעות. הוא גם מתקין תעודת HTTPS שורש בחתימה עצמית, פעולה שבעצם הופכת את HTTPS חסר טעם, על ידי יירוט תנועה מוצפנת בכל אתר שבו אתה מבקר (HTTPS הוא הרוטב שהופך את האינטרנט לאבטח מה זה HTTPS וכיצד לאפשר חיבורים מאובטחים לפי ברירת מחדלדאגות הביטחון מתפשטות למרחקים והגיעו לראש הדעת של רוב כולם. מונחים כמו אנטי וירוס או חומת אש אינם עוד אוצר מילים מוזר והם לא רק מובנים, אלא גם בשימוש על ידי... קרא עוד , ומאפשרת בנקאות מקוונת, קניות מאובטחות וכו'). נמצאו הוכחות לכך שתעודות אתר HTTPS חתומות למעשה על ידי Superfish (ולא, למשל, הבנק שלך) וגרוע מכך (אם חשבתם שזה לא יכול להחמיר) מפתח ההצפנה הפרטי זהה בכל לנובו מחשבים!
המשמעות היא שלא ניתן לזהות אתרים מזויפים על ידי דפדפן האינטרנט במחשב של Lenovo.
כדי להחמיר את המצב, רוב גרהם מ-Errata Security פיצח את מפתח ההצפנה שאבטח את תעודת Superfish המאפשרת לכל אחד להפעיל התקפות MITM על מחשבים אישיים עם אישור זה מותקן.
לנובו והתוכנה הזדונית
פרסום החדשות הפתיע למדי...
לנובו מתקינה אישור MITM ופרוקסי בשם Superfish, במחשבים ניידים חדשים, כדי שהיא תוכל להזריק מודעות? שמישהו יגיד לי שזה לא העולם שאני נמצא בו.
- מייק שייבר (@shaver) 19 בפברואר 2015
היו חששות ושאלות בנוגע ל-Superfish במשך זמן מה, ו שאלות שונות בפורומי התמיכה של Lenovo.
השבוע הודיעה לנובו כי תוסף הדפדפן Superfish Visual Discovery מוסר באופן זמני עקב בעיות כגון "התנהגות קופצת דפדפן". לנובו המשיכה והסבירה מה Superfish עושה, תוך כדי מאמץ להדגיש את זה:
"זה לא עושה פרופיל ולא מפקח על התנהגות המשתמש. זה לא מתעד את פרטי המשתמש. זה לא יודע מי המשתמש. אין מעקב אחר משתמשים ואינם ממוקדים מחדש. כל מפגש הוא עצמאי. בעת השימוש ב-Superfish בפעם הראשונה, מוצגים למשתמש תנאי השימוש ומדיניות הפרטיות, ויש לו אפשרות שלא לקבל תנאים אלה, כלומר, Superfish מושבת לאחר מכן.
הדיוק של קביעה זו נתון לוויכוח.
Lenovo Ultrabook החדש שלי
באופן מצחיק למדי, רכשתי לאחרונה מחשב של לנובו לפני מספר שבועות. בצירוף מקרים מדהים, במקרה הסרתי את התוכנה הזדונית של Superfish.
אתה לא מצפה מיצרן מחשבים מודרני לטעון את המחשבים שלו עם יותר מאשר ניסיון של Microsoft Office וחבילת אבטחת אינטרנט. אז באופן טבעי כשהודיעו לי על Superfish, פשוט התעלמתי מזה.
עם זאת, אנו ב-MakeUseOf משתמשים ב- מערכת צ'אט רפה לשיתוף פעולה Slack הופך את התקשורת הקבוצתית למהירה וקלה יותראימיילים קבוצתיים יכולים באמת להרוג את הפרודוקטיביות. זה הזמן לנוח את לקוחות הדואר ולהשתמש בשירותי שיתוף פעולה כמו Slack שהושק לאחרונה. קרא עוד , ואחרי כמה ימים שימוש במחשב הנייד החדש שלי, נראה היה שהבעיה שנתקלתי בפרסום הודעות ב-Slack (יכולתי להיכנס ללא בעיה) נובעת מהמחשב החדש.
כשגייסתי כרטיס תמיכה עם Slack, התרשמתי מהתגובה המהירה, אם כי מעט מוטרדת מהתוכן שלה:
- האם מותקן אצלך Avast (אנטי וירוס)?
- מה עם מטפלת נטו?
- זה מחשב של לנובו?
כן, גם אני הייתי סקרן לגבי השאלה האחרונה, ובתשובה חיובית, קיבלתי את פניי ההצעה הזו:
"האם אתה יכול לבדוק ולראות אם מותקנת אצלך תוכנה בשם 'Visual Discovery', של Superfish? למדנו שהסרת תוכנה זו (שמגיעה מותקנת מראש במערכות מסוימות) אמורה לפתור את הבעיה עבורך. זה יכול להיות קצת מסובך למצוא, כנראה.
אם Visual Discovery לא מותקן, שמענו גם של 'Browser Guard' יש את אותה בעיה."
באופן טבעי, הסרתי את שניהם במהירות.
איך מתקנים את בעיית התעודה?
הסרת Superfish לא גורמת לפתע לאיום MITM להיעלם. אתה עדיין בסיכון, ו-HTTPS נשבר למעשה במחשב שלך עד שתוכל לתקן את בעיית האישור.
התחל בבדיקה אם המחשב שלך מושפע. פנה אל https://filippo.io/Badfish/ ולבדוק את התוצאות. אם זה נראה כמו התמונה למטה, יש צורך בפעולה נוספת.
פעל מהר. הקש WIN+R כדי לפתוח את לָרוּץ תיבת, והזן certmgr.msc. מנהל האישורים של Windows ייפתח, אז חפש רשויות אישור שורש מהימנות, הרחב אותו לתצוגה תעודות ולאחר מכן בחלונית הימנית חפש Superfish, Inc.
למחוק את זה.
לאחר מכן תוכל לחזור לדף Badfish (מקודד על ידי אחד החוקרים המעורבים בפיתוח דף כדי לבדוק את פגיעות לבדימום בשנת 2014 דימום לב - מה אתה יכול לעשות כדי להישאר בטוח? קרא עוד ) ובדוק את התוצאה, שם אמורה להופיע הודעה משביעת רצון.
סיים על ידי סגירת הדפדפן שלך ואתחול מחדש של Windows.
או פשוט השתמש ב-Windows Defender [עדכון]
מאז שפרסמנו את הפוסט הזה, מיקרוסופט פרסמה עדכון ל-Windows Defender שיתפוס ומטגנים את ה-Superfish, ומסירים את כל עקבות התוכנה הזדונית הלא-שקולה של לנובו והמעורפלת שלה תְעוּדָה.
הפעל את Windows Defender ממסך ההתחלה (הקלד "Windows Defender") וודא שהאפליקציה תתעדכן, ואז המתן עד שהיא תפעיל את הסריקה שלה, תזהה ותסיר את האיומים.
אם אינך משתמש ב-Windows Defender, בדוק את חבילת אבטחת האינטרנט שלך עבור עדכונים והפעל סריקה. ייתכן שזה עודכן, וככזה אמור להסיר את Superfish באופן אוטומטי. אם לא, השתמש בשלבים שלמעלה להסרה ידנית.
מה תעשה לנובו הלאה?
עבור ענקית מחשבים, התגובה של לנובו לכך הייתה חסרת כישרון. חברה זו מכרה מיליוני מחשבים ניידים שנשלחו לחנויות וללקוחות בין אוקטובר לדצמבר 2014, וכדי להמעיט ב-bloatware הזדוני בתור יתרון למשתמשים למצוא מציאות באינטרנט היא מְצַעֵר.
מאז שפרצו החדשות, לנובו אישרה כי:
- Superfish השביתה לחלוטין את האינטראקציות בצד השרת (מאז ינואר) בכל מוצרי Lenovo כך שהמוצר אינו פעיל יותר. זה משבית את Superfish עבור כל המוצרים בשוק.
- לנובו הפסיקה לטעון את התוכנה מראש בינואר.
- לא נטען מראש את התוכנה הזו בעתיד.
לנובו גם אומרת כי "הקשר עם Superfish אינו משמעותי מבחינה כלכלית; המטרה שלנו הייתה לשפר את החוויה עבור המשתמשים." אלטרואיסטי, או נאיבי?
הם גם הפיקו רשימה של מכשירים מושפעים.
האם הושפעת מ-Superfish? איך אתה מרגיש לגבי לנובו עכשיו? שתף את התגובה שלך בתגובות למטה.
כריסטיאן קאולי הוא סגן עורך לאבטחה, לינוקס, עשה זאת בעצמך, תכנות והסברים טכנולוגיים. הוא גם מפיק את הפודקאסט באמת שימושי ויש לו ניסיון רב בתמיכה בשולחן העבודה ובתוכנה. תורם למגזין Linux Format, כריסטיאן הוא מתעסק ב-Raspberry Pi, חובב לגו וחובב משחקי רטרו.