«Не нашли причин для беспокойства»: как Lenovo продавала ноутбуки, ломавшие HTTPS
В феврале 2015 года Lenovo заявила, что изучила программу Superfish на своих ноутбуках и не обнаружила угроз безопасности, — а спустя несколько часов тихо удалила эту формулировку. Как выяснилось, ради показа рекламы Superfish перехватывала весь HTTPS-трафик, использовала единый корневой сертификат на всех устройствах, а паролем к ключу служило слово komodia. Инцидент затронул миллионы пользователей, а разбирательство с FTC и 32 штатами, а также повторная история с кодом в BIOS делают этот кейс одним из самых показательных в истории доверия к вендорам.
Подробности
Superfish представляла собой рекламное ПО, предустановленное на ноутбуки Lenovo в потребительском сегменте. Для подмены рекламы в защищённых сессиях программа осуществляла перехват HTTPS-трафика по схеме, аналогичной легитимному корпоративному SSL-инспектированию, — но без уведомления пользователя и без должного контроля. Ключевая проблема заключалась в реализации: на всех устройствах устанавливался один и тот же корневой сертификат, а паролем к его приватному ключу служило слово komodia — название фирмы-разработчика. Такая конфигурация означала, что любой злоумышленник, получивший доступ к ключу, мог выпустить доверенные сертификаты для любых доменов и незаметно перехватывать трафик жертвы. На практике для атаки достаточно было находиться в одной сети с пользователем — например, сидеть рядом в кафе, подключившись к тому же Wi-Fi. При этом сам сертификат добавлялся в доверенное хранилище системы, поэтому браузеры не показывали предупреждений. Разбирательство привело к претензиям со стороны Федеральной торговой комиссии США (FTC) и коалиции из 32 штатов. Итогом стали обязательства Lenovo по изменению практик предустановки ПО и выплаты, а также требования к прозрачности в отношении того, что именно устанавливается на устройства. Дополнительный удар по репутации вендора нанёс эпизод, произошедший примерно через полгода: тогда обнаружился код в BIOS, который возвращал программы Lenovo даже после полного форматирования диска и переустановки операционной системы.Что делать
История Superfish остаётся актуальной как набор практических уроков: - Проверяйте список предустановленного ПО на новых устройствах и удаляйте незнакомые компоненты, особенно рекламные. - Регулярно просматривайте доверенные корневые сертификаты в системе и браузерах: посторонние записи — повод для немедленного разбирательства. - Не подключайтесь к открытым Wi-Fi-сетям без необходимости, а при работе в них используйте VPN с проверенной криптографией. - При приобретении техники уточняйте у вендора, какие программы установлены и можно ли получить устройство с чистой системой. - В корпоративной среде контролируйте, чтобы SSL-инспекция применялась осознанно: единый ключ на парке устройств — недопустимая практика. Итог: кейс Superfish наглядно показывает, что ослабление TLS ради монетизации превращает защищённое соединение в фикцию, а доверие к вендору восстанавливается гораздо дольше, чем длится сама уязвимость.Источник: Хабр — Информационная безопасность