Forskare knäcker Lenovos annonsprogram Superfish – öppnar för MITM-attack

Forskare knäcker Lenovos annonsprogram Superfish – öppnar för MITM-attack

Historien om det kontroversiella annonsprogrammet Superfish tar en ny vändning när forskare bevisar att mjukvaran utgör en högst påtaglig säkerhetsrisk.

För några dagar sedan uppmärksammades att världens största datortillverkare levererar åtskilliga datormodeller med ett minst sagt kontroversiellt annonsprogram. Mjukvaran heter Superfish och installerar ett eget SSL-certifikat, vilket gör det möjligt att hitta in i krypterade anslutningar. Det inbegriper allt från vanliga webbsidor till e-posttjänster och internetbanker.

super-03.png

Armed with this password, I continued where I left off with the openssl command-line tool and successfully decoded the certificate. I can now use this to Man-in-the-Middle people with Lenovo desktops (in theory, I haven't tried it yet).

Nu påvisar bland annat säkerhetsforskaren Robert Graham att det inte handlar om en teoretisk säkerhetsbrist utan om en högst påtaglig fara för användarna. Med några snabba handgrepp lyckas han lista ut lösenordet till certifikatet och öppna för en fullskalig man in the middle-attack.

Det betyder att det är fritt fram för angripare att utnyttja annonsprogrammets beteende för att snappa upp och manipulera data som passerar annars krypterade anslutningar, exempelvis genom att avlyssna trafiken i trådlösa nätverk.

step4.png

Lenovo betonar dock att annonsprogrammet sedan januari 2015 inte längre används och tillhandahåller nu även instruktioner för att ta bort Superfish och dess certifikat. Bland berörda modeller syns en uppsjö konsumentklassade datorer, dock inte Thinkpad-serien eller Lenovos plattor och telefoner.

Klicka här för att läsa hela Lenovos uttalande

LENOVO STATEMENT ON SUPERFISH

At Lenovo, we make every effort to provide a great user experience for our customers. We know that millions of people rely on our devices every day, and it is our responsibility to deliver quality, reliability, innovation and security to each and every customer. In our effort to enhance our user experience, we pre-installed a piece of third-party software, Superfish (based in Palo Alto, CA), on some of our consumer notebooks.

We thought the product would enhance the shopping experience, as intended by Superfish. It did not meet our expectations or those of our customers. In reality, we had customer complaints about the software. We acted swiftly and decisively once these concerns began to be raised. We apologize for causing any concern to any users for any reason – and we are always trying to learn from experience and improve what we do and how we do it.

We stopped the preloads beginning in January. We shut down the server connections that enable the software (also in January, and we are providing online resources to help users remove this software. Finally, we are working directly with Superfish and with other industry partners to ensure we address any possible security issues now and in the future. Detailed information on these activities and tools for software removal are available here:

http://support.lenovo.com/us/en/product_security/superfish
http://support.lenovo.com/us/en/product_security/superfish_uninstall

To be clear: Lenovo never installed this software on any ThinkPad notebooks, nor any Lenovo desktops or smartphones. This software has never been installed on any enterprise product -- servers or storage -- and these products are in no way impacted. And, Superfish is no longer being installed on any Lenovo device. In addition, we are going to spend the next few weeks digging in on this issue, learning what we can do better. We will talk with partners, industry experts and our users. We will get their feedback. By the end of this month, we will announce a plan to help lead Lenovo and our industry forward with deeper knowledge, more understanding and even greater focus on issues surrounding adware, pre-installs and security. We are eager to be held accountable for our products, your experience and the results of this new effort.

Superfish may have appeared on these models:

  • G Series: G410, G510, G710, G40-70, G50-70, G40-30, G50-30, G40-45, G50-45

  • U Series: U330P, U430P, U330Touch, U430Touch, U530Touch

  • Y Series: Y430P, Y40-70, Y50-70

  • Z Series: Z40-75, Z50-75, Z40-70, Z50-70

  • S Series: S310, S410, S40-70, S415, S415Touch, S20-30, S20-30Touch

  • Flex Series: Flex2 14D, Flex2 15D, Flex2 14, Flex2 15, Flex2 14(BTM), Flex2 15(BTM), Flex 10

  • MIIX Series: MIIX2-8, MIIX2-10, MIIX2-11

  • YOGA Series: YOGA2Pro-13, YOGA2-13, YOGA2-11BTM, YOGA2-11HSW

  • E Series: E10-30

Visa mer
Kommentarer till artikeln

35 debattinlägg

Skicka en rättelse
10

Testpilot: Creative Sound Blaster X H7 Tournament Edition

Med virtuellt surroundljud och funktionsrik mjukvara tar Creative än en gång sikte på datorspelare som söker nytt headset. Testpiloten Alling granskar årets modell med suffixet Tournament Edition. Läs mer

5

Egendesignad CNC-fräs vinner Månadens Galleri augusti 2017

Moddaren Brodholm kammar för andra gången i rad hem första platsen i Månadens Galleri, den här gången med sin hembyggda CNC-fräs. Läs mer

23

Alphacool lanserar Eisbaer 420 – världens största slutna vattenkylare

För den som kräver mycket kylningsprestanda lanserar nu Alphacool Eisbaer 420, ett slutet vattenkylningssystem med en radiator på hela 420 mm. Läs mer

57

Game of Thrones-avsnitt råkar sändas i förtid och hittar ut på fildelningssajter

Spanska HBO råkade tidigare under veckan ladda upp senaste Game of Thrones-avsnittet i förtid, vilket lett till att det nu letat sig ut på nätet. Läs mer

6

Fulkultur om Alistair MacLean

Namnet Alistair MacLean kanske inte är bekant, men många lär ha kommit i kontakt med något av denne skotske författares verk. Fulkultur djupdyker i spiondraman, ubåtar och filmatiseringar. Läs mer

28

Samsung lanserar T5 – portabel SSD-enhet på upp till 2 TB

Samsungs släpper nu sitt senaste tillskott i segmentet för portabla hårddiskar. Det handlar om en portabel SSD-enhet med en överföringshastighet på upp till 540 MB/s. Läs mer

30

Shuttle X1 är dator i miniformat med Geforce GTX 1060

Det har varit skralt med spelmaskiner i samma storleksklass som den populära mediaenheten Intel NUC, men det ämnar chassitillverkaren Shuttle att ändra på med modellen X1. Läs mer

37

TSMC ökar produktionen på 12 nanometer

Nya uppgifter gör gällande att TSMC ökar produktionen av sin 12-nanometersteknik, vilket bland annat banar iväg för storskalig produktion av Nvidias grafikarkitektur Volta för konsumenter. Läs mer

18

Ladda upp för skolstarten med SweClockers

Semester och sommarlov avrundas med lukrativa erbjudanden, varav några av de bästa samlas på en skräddarsydd specialsida hos SweClockers. Här samlar vi även tips från medlemmarna. Läs mer

14

Nvidia släpper Geforce-drivrutin för Agents of Mayhem och Killing Floor: Incursion

Två år efter den senaste delen i Saints Row släpps en fristående uppföljare i form av Agents of Mayhem. Det här firar Nvidia med att släppa en ny drivrutin för spelet. Läs mer

20

Steelseries lanserar Apex M750 med egenutvecklade brytare

Förra årets Apex M500 följs nu upp av det nya tangentbordet Apex M750, vilket utrustas med Steelseries egenutvecklade brytare QX2. Läs mer

154

Netflix prishöjer för andra gången på två år

Efter att under förra året höjt priserna på sina abonnemang gör nu Netflix detta återigen. Detta innebär att priset för en standardprenumeration framöver blir 109 kronor. Läs mer