Lenovo installiert Adware auf neuen Computern, die privaten Daten [Update] stehlen könnte

Oh Nein, Lenovo. Anwender berichten über die Firma Foren, die ihren Computer kommen mit Adware direkt aus der Box installiert – Adware, die Ihre sicheren Transaktionen ausspionieren kann.

Nach einer Reihe von Lenovo Benutzer ist die Software namens Superfish auf Fabrik-frisch Laptops installiert. Die Adware spritzt Drittanbieter-anzeigen in Google-Suche und auf Websites ohne Erlaubnis des Benutzers – auf Chrome und Internet Explorer mindestens. Das ist allein, schlecht aber auch nicht schrecklich. Andere Nutzer haben darauf hingewiesen, dass die Adware auch eine eigene Behörde selbst signiertes Zertifikat installieren kann – falsche SSL-Zertifikate zu erstellen – ermöglicht es, sichere Verbindungen zu überwachen.

Sicherheit Experte Kenn White Bilder auf Twitter gepostet hat, dass beispielsweise die Software ein Zertifikat bietet ausgestellt , Bank of America, aber von Superfish ausgestellt, während in der Regel, die von einer vertrauenswürdigen Stelle wie VeriSign erfolgen würde. Superfish Sinn und Zweck ist es, zu überprüfen und nach vorne Browserdaten, Ad-Unternehmen, so dass sie Zugang sichere Inhalte auf diese Weise ist eindeutig eine schlechte Sache. Aber es kommt noch schlimmer. Es scheint, Superfish nutzt den gleichen privaten Schlüssel für seinen Root-Zertifikat auf jedem Rechner auf dem es installiert ist, erklärt The Verge. Wenn jemand diesen Schlüssel knacken könnte, wäre es möglich, dass alle Zertifikate erstellen Superfish betriebenen Lenovo Computer — wahrscheinlich, zu diesem Zeitpunkt die meisten von ihnen – würde das Vertrauen, so dass Schadcode, in unangekündigte Winden.

Erscheinen in Foren, im Januar, ein Lenovo-Community-Administrator namens Mark Hopkins schrieb, dass Lenovo "vorübergehend Superfish aus unseren Verbraucher-Systemen entfernt hat" aber verteidigt seine Präsenz, erklärt, dass es "Benutzern beim suchen und entdecken Sie Produkte visuell hilft" und "sofort Bilder im Web analysiert und stellt identische und ähnliche Produktangebote, die niedrigere Preise haben können." Nun, da eine ziemlich schwere Sicherheitslücke identifiziert wurde, könnte es anders zu denken.

Wir erreichen zu Lenovo seine aktuellen Haltung zu Superfish herausfinden. [TNW, Rande]

Update: Gute und schlechte Nachrichten. Die schlechte Nachricht ist, dass die kryptografische Schlüssel schützen das problematische Superfish-Zertifikat von Rob Graham von Errata Security geknackt worden ist. Das bedeutet, dass alle Lenovo, die PC mit je Superfish installiert hatte jetzt aktiv angegriffen werden kann. Wenn Sie einen Lenovo PC, sollten Sie hier zu überprüfen und sehen, ob du die Superfish-Problem hast gehen. Jetzt gerade.

Die gute Nachricht ist, dass Lenovo eine Aussage über dieses ganze Durcheinander Superfish, erschienen drei Dinge hervorheben:

• Superfish hat komplett deaktiviert Server Seite Interaktionen (seit Januar) auf alle Lenovo Produkte so, dass das Produkt nicht mehr aktiv ist. Dies deaktiviert Superfish für alle Produkte im Markt.
• Lenovo gestoppt Vorbelastung der Software im Januar.
• Wir werden nicht laden Sie diese Software in der Zukunft.

Definitiv eine gute Nachricht, aber es beheben nicht das Problem, für Menschen, die bereits haben (oder hatten) Superfish auf ihren PCs; das schlechte Root-Zertifikat – d. h. die Schwachstelle Angriffe können kommen – wird noch da sein oder so. Nicht gut! So erhältst du eine ja auf diese Superfish-Checker, die beste Lösung zu sichern Sie alle Ihre Sachen und eine Neuinstallation von Windows, oder gehen und das Zertifikat manuell aus der Registrierung löschen.

Was ist noch schlimmer, dass Lenovo Folgendes über die ganze Sache sagt:

Wir haben diese Technologie untersucht und keine Beweise zu untermauern Sicherheitsbedenken nicht finden. Aber wir wissen, dass Benutzer auf dieses Problem mit Besorgnis reagierte, und so haben wir direkte Aktion zu stoppen, alle Produkte mit dieser Software geliefert.

Die Sooooorta fliegt direkt gegenüber der... alle Beweise gibt. Selbst wenn Superfish funktioniert nicht mehr und ist nicht auf alle neuen PCs gestellt bekommen, sind die, die es bereits beschissen ist gefährdet und gibt es keine Möglichkeit, wie schrecklich das ist umtanzen.