biznesinternet

Lenovo przyznaje, że instalowało adware, które podsłuchuje połączenia HTTPS

Wygląda na to, że Lenovo zaliczyło dziś spory cios marketingowy. Okazuje się bowiem, że największy na świecie producent komputerów osobistych fabrycznie instalował na swoich laptopach oprogramowanie, które wstrzykuje niechciane reklamy i umożliwia przechwytywanie danych użytkowników. A wszystko to dla ich dobra.

Pierwsze doniesienia o dziwnym zachowaniu nowego sprzętu Lenovo pojawiły się w połowie ubiegłego roku, ale firma w żaden sposób się do nich nie odniosła. Dopiero jednak niedawno firma przyznała się, że instalowała na nowych laptopach oprogramowanie Superfish, które służy do „prezentowania wizualnych reklam z ofertą produktową”.

Po co to wszystko? Oczywiście dla dobra użytkowników. Firma stoi bowiem na stanowisku, że Superfish pomaga im znaleźć produkty, których szukają, a użytkownicy nie są zmuszani do korzystania z niego, ponieważ podczas pierwszego uruchomienia nowej maszyny mogą przecież nie akceptować wszystkich warunków umowy, dzięki czemu oprogramowanie do wstrzykiwania reklam na stronach internetowych nie będzie działało.

Według Lenovo bonusowe oprogramowanie właściwie jest niegroźne, ponieważ nie analizuje zachowania użytkowników, nie śledzi ich, ani nie wykrada danych. Pomijając jednak już sam fakt tego, że w pakiecie z komputerem użytkownikom wciskane jest oprogramowanie, którego użytkownik raczej nie chce, co samo w sobie jest naganną praktyką, znacznie gorszy jest sposób, w jaki reklamy te są wstrzykiwane.

Okazuje się bowiem, że Superfish działa na zasadzie ataku Man in the Middle – żeby wstrzyknąć reklamę w połączenie HTTPS, Superfish instaluje na systemie użytkownika własny certyfikat SSL i przekierowuje ruch z jego przeglądarki na serwer proxy. W efekcie klient łączy się fałszywym serwerem, który dopiero później przekierowuje dane do prawdziwego serwera, czyli strony, którą chciał zobaczyć użytkownik. Oznacza to jednocześnie, że fałszywy serwer widzi wszystkie dane klienta. Co gorsza certyfikat SSL Superfish jest taki sam dla każdego laptopa Lenovo, wystarczy więc zdobyć klucz prywatny i można generować akceptowane przez to oprogramowanie certyfikaty, a tym samym podsłuchiwać użytkowników.

O szkodliwości Superfish, czyli adware’u znanego też jako VisualDiscovery, najlepiej świadczy jednak fakt, że wiele programów antywirusowych wykrywa je jako zagrożenie. Na szczęście deinstalacja oprogramowania, połączona z ręcznym usunięciem certyfikatu Superfish, powinna rozwiązać problem. Użytkownikom pozostaje mieć nadzieję, że podobne sytuacje nie będą miały miejsca w przyszłości.

Zdjęcie: Flickr/karlaredor


podobne treści