Ряд экспертов по кибербезопасности обвинили китайскую компанию Lenovo в предустановке на свои Windows-устройства небезопасную программу Superfish, которая не только внедряет рекламные объявления в результаты интернет-поиска, но также может перехватывать трафик с защищенных веб-сайтов, создавая для этого подставной сертификат безопасности, сообщает ZDnet.
Представитель Lenovo Марк Хопкинс (Mark Hopkins) заявил, что Superfish устанавливается только на «потребительских» устройствах компании и лишь для того, чтобы «помочь пользователям визуально находить и оценивать продукты». Программа анализирует изображения, представленные в Сети, и предлагает пользователю такие же продукты, но по более выгодной цене. Таким образом, человеку не нужно даже знать точного названия интересующего продукта и искать его привычным способом, пояснил Хопкинс.
Он заверил, что Superfish не мониторит поведение пользователя, поскольку каждая сессия является автономной. К тому же, когда человек впервые использует эту программу, ему предлагают ознакомиться с пользовательским соглашением и условиями конфиденциальности — и если пользователь отказывается их принимать, Superfish деактивируется, сказал Хопкинс.
Однако бОльшую тревогу вызывает способность Superfish устанавливать на устройство сертификат безопасности, сгенерированный самой программой, что позволяет Superfish осуществлять атаки класса «человек посередине», получая доступ к любому зашифрованному соединению. (Man-in-the-Middle, MITM-атака — ситуация, когда атакующий способен читать и видоизменять по своей воле сообщения, которыми обмениваются корреспонденты, не догадывающиеся о его присутствии в канале.)
Специалист по безопасности Google Крис Палмер (Chris Palmer) подтвердил в своем Twitter, перехватила SSL/TLS-соединения и создала подложные сертификаты для всех сайтов, которые Палмер посещал со своего лэптопа Yoga 2, включая сайт Bank of America.
Самым опасным в поведении программы Палмер считает то, что эти фальшивые сертификаты используют один и тот же ключ, что делает устройства всех пострадавших уязвимыми для злоумышленников, способных этот ключ получить. При этом пользователи даже не узнают об атаке.
Единственный способ избавиться от Superfish — переустановить Windows, не используя дистрибутив от Lenovo, или перейти на другую операционную систему. Простая деинсталляция программы не поможет, поскольку сертификаты останутся в системе.
Фото (с) cnet