Forskare knäcker Lenovos annonsprogram Superfish – öppnar för MITM-attack

Forskare knäcker Lenovos annonsprogram Superfish – öppnar för MITM-attack

Historien om det kontroversiella annonsprogrammet Superfish tar en ny vändning när forskare bevisar att mjukvaran utgör en högst påtaglig säkerhetsrisk.

För några dagar sedan uppmärksammades att världens största datortillverkare levererar åtskilliga datormodeller med ett minst sagt kontroversiellt annonsprogram. Mjukvaran heter Superfish och installerar ett eget SSL-certifikat, vilket gör det möjligt att hitta in i krypterade anslutningar. Det inbegriper allt från vanliga webbsidor till e-posttjänster och internetbanker.

super-03.png

Armed with this password, I continued where I left off with the openssl command-line tool and successfully decoded the certificate. I can now use this to Man-in-the-Middle people with Lenovo desktops (in theory, I haven't tried it yet).

Nu påvisar bland annat säkerhetsforskaren Robert Graham att det inte handlar om en teoretisk säkerhetsbrist utan om en högst påtaglig fara för användarna. Med några snabba handgrepp lyckas han lista ut lösenordet till certifikatet och öppna för en fullskalig man in the middle-attack.

Det betyder att det är fritt fram för angripare att utnyttja annonsprogrammets beteende för att snappa upp och manipulera data som passerar annars krypterade anslutningar, exempelvis genom att avlyssna trafiken i trådlösa nätverk.

step4.png

Lenovo betonar dock att annonsprogrammet sedan januari 2015 inte längre används och tillhandahåller nu även instruktioner för att ta bort Superfish och dess certifikat. Bland berörda modeller syns en uppsjö konsumentklassade datorer, dock inte Thinkpad-serien eller Lenovos plattor och telefoner.

Klicka här för att läsa hela Lenovos uttalande

LENOVO STATEMENT ON SUPERFISH

At Lenovo, we make every effort to provide a great user experience for our customers. We know that millions of people rely on our devices every day, and it is our responsibility to deliver quality, reliability, innovation and security to each and every customer. In our effort to enhance our user experience, we pre-installed a piece of third-party software, Superfish (based in Palo Alto, CA), on some of our consumer notebooks.

We thought the product would enhance the shopping experience, as intended by Superfish. It did not meet our expectations or those of our customers. In reality, we had customer complaints about the software. We acted swiftly and decisively once these concerns began to be raised. We apologize for causing any concern to any users for any reason – and we are always trying to learn from experience and improve what we do and how we do it.

We stopped the preloads beginning in January. We shut down the server connections that enable the software (also in January, and we are providing online resources to help users remove this software. Finally, we are working directly with Superfish and with other industry partners to ensure we address any possible security issues now and in the future. Detailed information on these activities and tools for software removal are available here:

http://support.lenovo.com/us/en/product_security/superfish
http://support.lenovo.com/us/en/product_security/superfish_uninstall

To be clear: Lenovo never installed this software on any ThinkPad notebooks, nor any Lenovo desktops or smartphones. This software has never been installed on any enterprise product -- servers or storage -- and these products are in no way impacted. And, Superfish is no longer being installed on any Lenovo device. In addition, we are going to spend the next few weeks digging in on this issue, learning what we can do better. We will talk with partners, industry experts and our users. We will get their feedback. By the end of this month, we will announce a plan to help lead Lenovo and our industry forward with deeper knowledge, more understanding and even greater focus on issues surrounding adware, pre-installs and security. We are eager to be held accountable for our products, your experience and the results of this new effort.

Superfish may have appeared on these models:

  • G Series: G410, G510, G710, G40-70, G50-70, G40-30, G50-30, G40-45, G50-45

  • U Series: U330P, U430P, U330Touch, U430Touch, U530Touch

  • Y Series: Y430P, Y40-70, Y50-70

  • Z Series: Z40-75, Z50-75, Z40-70, Z50-70

  • S Series: S310, S410, S40-70, S415, S415Touch, S20-30, S20-30Touch

  • Flex Series: Flex2 14D, Flex2 15D, Flex2 14, Flex2 15, Flex2 14(BTM), Flex2 15(BTM), Flex 10

  • MIIX Series: MIIX2-8, MIIX2-10, MIIX2-11

  • YOGA Series: YOGA2Pro-13, YOGA2-13, YOGA2-11BTM, YOGA2-11HSW

  • E Series: E10-30

Visa mer
Kommentarer till artikeln

35 debattinlägg

Skicka en rättelse
36

Nintendo väntas sälja 20 miljoner Switch-enheter under första året

Nintendo uppskattar att de totalt kommer sälja 20 miljoner Switch-enheter under konsolens första år, en siffra som dock kan komma att påverkas av nya lanseringar från Microsoft och Sony. Läs mer

42

Battle.net får nytt namn – döps om till Blizzard

Ett halvår efter tillkännagivandet att tjänsten Battle.net skulle döpas om har nu Blizzard gjort just detta. Namnbytet görs bland annat för att få in tjänsten under företagets eget varumärke. Läs mer

73

AMD Ryzen 5 prislistas hos svenska återförsäljare

Om mindre än en månad lanserar AMD Ryzen 5, vilket innebär fyra nya processorer med fyra och sex kärnor. Inför detta läggs de nu upp för förbokning hos två svenska återförsäljare. Läs mer

35

Moderkortsförsäljningen minskar trots nya processorlanseringar

Trots nya processorer från både AMD och Intel minskade försäljningen av moderkort under årets första kvartal, med rekordlåga siffror för både Asus och Gigabyte. Läs mer

17

Futuremark lägger till stöd för Vulkan i 3DMark

Det syntetiska speltestet 3DMark får en uppdatering som lägger till stöd för det populära grafikgränssnittet Vulkan, vilket ersätter det AMD-skapade Mantle i API Overhead-testet. Läs mer

39

Snabbtitt: Corsair One Pro

Corsair ger sig ut på nya jaktmarker med färdigbyggda speldatorer. Vattenkylda Corsair One Pro med Core i7-7700K och Geforce GTX 1080 under huven dyker in i testlabbet för en snabbtitt! Läs mer

39

Vulkan med flera grafikkort är inte låst till Windows 10

Inom kort väntas det bli möjligt att använda Vulkan med mer än ett grafikkort. Nu meddelar utvecklarna av Vulkan att stöd för detta kommer finnas på såväl Windows som Linux. Läs mer

26

Krönika: "Lita på det gröna hänglåset?"

Det gröna hänglåset i webbläsaren är bra, men kan invagga användare i falsk trygghet. Det menar gästkrönikören Karl Emil Nikka, och presenterar samtidigt möjliga lösningar på problemet. Läs mer

47

Qualcomm Snapdragon 835 i tidiga prestandatester

Qualcomms nya systemkrets Snapdragon 835 introduceras inom kort i ett flertal flaggskeppstelefoner, men redan nu har utvald media fått chansen att prestandatesta denna. Läs mer

78

Alina Systems går i konkurs

Efter en misslyckad företagsrekonstruktion under förra året har nu den Uppsala-baserade datoråterförsäljaren Alina Systems försatts i konkurs. Läs mer

43

Nintendo svarar om anslutningsproblemen i Joycon-kontrollerna hos Switch

Efter ett flertal rapporter om krånglande Joycon-kontroller hos spelkonsolen Switch tar Nintendo bladet från munnen och släpper ett officiellt uttalande om problemen. Läs mer

126

Telia utökar sin fri surf-kampanj med fler tjänster

Trots föreläggande från Post- och telestyrelsen meddelar nu Telia att de utökar sin fri surf-kampanj, där kunder nu kan använda exempelvis Viber utan extra kostnad. Läs mer