Laptopy Lenovo mogą szpiegować użytkowników

Bardzo dużo laptopów oferowanych w sklepach posiada zainstalowany system operacyjny wraz z dodatkowym oprogramowaniem, które dodaje sam producent. Niektórzy decydują się na ich usunięcie, inni pozostawiają je na świeżo zakupionym sprzęcie. Zastanawialiście się kiedyś, czy wspomniane aplikacje są bezpieczne? Ufacie producentom? Okazuje się, że lepiej jest wszystko dokładnie sprawdzić, a już na pewno najlepszym rozwiązaniem będzie własnoręczna instalacja OSa. Dlaczego? Okazuje się, że aplikacje dodawane przez producenta mogą śledzić działania użytkownika. Na tapetę została wzięta firma Lenovo wraz z programem o nazwie Superfish, który jest domyślnie instalowany na nowych laptopach. 

Superfish to oprogramowanie typu adware, które podmienia reklamy na stronach internetowych na swoje. Według Lenovo tego typu aplikacja jest przydatna, ponieważ pozwala klientom bezproblemowo znaleźć atrakcyjne produkty - zapewne firma zarabia niemałe pieniądze na wyświetlaniu tego typu reklam.

Zysk ze sprzętu i z reklam - niezły biznes.

Samo wstrzykiwanie reklam nie jest jednak największym problemem. Wspomniana aplikacja instaluje w systemie operacyjnym swój certyfikat SSL, przekierowuje nasz ruch internetowy na specjalny serwer proxy z wykorzystaniem tego certyfikatu i dopiero od niego nasze zapytanie trafia na właściwą stronę internetową. W takiej sytuacji jeżeli np. wejdziemy na witrynę naszego banku, to w przeglądarce nie pojawi się certyfikat pochodzący od banku, lecz od Superfisha. Po co to wszystko?

Dzięki temu zabiegowi możliwe jest wstrzykiwanie reklam na stronach korzystających z protokołu HTTPS. Dodatkowo serwer proxy może widzieć cały nasz ruch internetowy niezależnie od tego, czy łączymy się z wykorzystaniem protokołu HTTPS, czy też nie. Trzeba pamiętać, że na tę sztuczkę nabierze się tylko Internet Explorer oraz Google Chrome, ponieważ te przeglądarki korzystają z certyfikatów zainstalowanych w systemie. Firefox posiada swoją własną bazę certyfikatów, do której Superfish nie dodaje swojego wpisu. Najzabawniejsze jest to, że ten certyfikat... jest taki sam dla wszystkich laptopów. Nie chcemy myśleć co się stanie gdy dojdzie do wycieku klucza prywatnego.

Posiadam laptopa Lenovo i nie wiem co z tym zrobić.

Najlepiej kupić system operacyjny Windows w sklepie i go zainstalować, ewentualnie pokusić się o instalację jakiejś dystrybucji Linuksa. Możemy również próbować usunąć aplikację Superfish z naszego komputera. Jest to możliwe, jednak deinstalacja aplikacji nie usuwa z systemu certyfikatu – należy go usunąć ręcznie. Trzecie wyjście to czekanie aż Microsoft oraz Google dodadzą wspomniany certyfikat do czarnej listy. Cała sprawa zaczęła się od skarg klientów Lenovo, że podczas przeglądania sieci pojawia się bardzo dużo reklam. Korporacja odpowiedziała, że tymczasowo wyłączy Superfisha na nowo produkowanych laptopach dopóki sprawa z reklamami nie zostanie rozwiązana. Bardziej dokładna analiza aplikacji odkryła jeszcze dodatkowe funkcje, takie jak omówione rejestrowanie ruchu internetowego. Tym problemem mogą być dotknięte laptopy sprzedawane od połowy 2014 roku.

Źródło: Twitter / The Next Web