聯想的安全崩潰顯示了隱形系統的危險
聯想今天過得很糟糕。昨晚，該公司被要求植入破壞使用者安全的廣告軟體。今天上午，研究人員發現了系統中的一個關鍵密碼，讓聯想使用者面臨各種各樣的惡意攻擊。這是一個重大的、令人尷尬的安全性失敗——但與諸如Heartbleed或Shellshock之類的漏洞不同，Superfish並不是協議中的缺陷或程式設計錯誤。這是一個經過深思熟慮的程式，在獲得公司許可但未經使用者同意的情況下，故意安裝在聯想電腦上。
一個經過深思熟慮的程式，在公司許可下安裝
在它的核心，Superfish只是一個不尋常的垃圾軟體，這種程式幾十年來一直在廉價PC上亂放。**商將這些程式預裝到低端機器上，以換取軟體公司的少量費用。傳統上，所有這些程式都會讓你為升級付費，或者在桌面上彈出廣告。但Superfish走得更遠，繞過了網路加密技術，將廣告**到受HTTPS保護的網站中，以獲得webmail和網上銀行等安全服務。這是對協議的重大違反，但也給許多研究人員敲響了警鐘。垃圾軟體的輕微煩惱已經變成了一個嚴重的安全缺陷——而這個缺陷可能只是一個開始。
問題不僅僅是使用者沒有選擇安裝軟體（儘管這也是一個問題），在很大程度上，我們甚至不知道它在那裡。我們看到廣告出現在桌面或瀏覽器上，但我們看不到它們背後的結構。對於網頁插頁，我們不知道廣告是由原始網站還是瀏覽器網站提供的。即使你知道它來自你電腦上的廣告軟體，你也很少知道程式的名字。該結構被設計成不可見的，不受使用者控制。
隱形導致了一些奇怪的動機
隱形導致了一些奇怪的動機。例如，如果垃圾軟體供應商想嘗試一種新的廣告定位方式，大多數使用者都不會知道。供應商必須向硬體**商證明這些新功能的合理性，但這可以簡單到多付一點錢。如果沒有一個公開的檢查，就沒有什麼可以阻止軟體越來越具有侵略性，直到它像Superfish一樣成為一個公開的尷尬。
硬體**往往也是無形的，這使得廣告軟體很容易溜進。很難判斷一個**商是否在一個特定的裝置上包含了惡意的東西——美國****局多年來一直在無情地利用這些東西。研究人員可以觀察，但普通消費者必須透過訊號來判斷。我們不能單獨進行安全審計，所以我們將複雜的隱私問題簡化為我們是否信任某個品牌的問題。你信任聯想嗎？華為？蘋果？這是一個粗略的衡量，但這是我們所有的。一旦這種信任消失，就很難取而代之。
SSL也不可見
Superfish越過了界限，因為它針對的是SSL，這是web最基本的安全保護。在這個充滿政治色彩的加密世界裡，SSL是所有人都認同的一件事——它是一個小小的綠鎖，在密碼和信用卡資料在網路上移動時保護密碼和信用卡資料。幾乎所有在互聯****的人都依賴於消費者信任SSL，因此任何威脅SSL的舉動都是存在的威脅。如果Superfish成為行業規範，那麼不僅僅是使用者會面臨危險。從亞馬遜到谷歌，每個人都必須爭先恐後地保護自己的資料安全。
Superfish的攻擊尤其危險，因為SSL也是不可見的。我們看到綠色的小鎖，我們可以選擇嗅出它背後的證書，但我們幾乎從來沒有這樣做。我們相信有人幫我們查過了。當有一個證書駭客-像一個讓果戈麻煩今年早些時候-它往往隱藏了幾個月未被髮現。這不是像PGP或它的開源姐妹一樣的自我審查的加密。你不必為SSL工作；它為你工作。我們希望網路安全盡可能無痛，無痛到看不見。
Superfish的漏洞不會持續太久。聯想已經釋出了解除安裝軟體的說明，使用者開始著手解決更棘手的證書問題。由於攻擊者利用竊取的密碼和受感染的機器，這種損害將持續更長時間，但即使如此，與Heartbleed或Shellshock等全系統駭客相比，也可能相形見絀。更大的危險可能是隱形系統本身。對普通消費者來說，**業永遠是看不見的，SSL永遠不會超過20畫素的掛鎖圖示。而對於任何試圖以利益或****的名義突破的人來說，隱身將是一個強大的工具。
- 發表於 2021-04-29 02:10
- 閱讀 ( 28 )
- 分類：網際網路
你可能感興趣的文章
新的騙局顯示了為什麼你不應該點選電子郵件中的連結
... 一位安全研究人員最近發現，URL可以被修改，使其看起來像是一個合法的網站，而實際上不是。在最近的更新之前，Chrome顯示了地址https://www.xn--80ak6aa92e.com/作為https://www.apple.co...
每日新聞綜述：谷歌禁止touchpal應用程式開發人員進入play商店
...（或5級自動駕駛）是未來的夢想。從8月份開始，這個夢想的承諾將增加1000美元，總成本將達到7000美元。[Ars技術] 任天堂升級了交換機中的處理器，以延長電池壽命：當任天堂宣佈推出Switch Light時，它包含了一個比原來使用的...
如何檢查您的電腦或手機是否受到保護，以防熔燬和幽靈
...，例如，前往戴爾的支援頁面為您的型號。如果您有一臺聯想電腦，請訪問聯想的網站，搜尋您的型號。如果你建立自己的個人電腦，檢查你的主機板**商的網站更新。 找到電腦的支援頁面後，請轉到驅動程式下載部分，查詢UEF...
如何在windows 8或10中禁用smartscreen篩選器
...歡的話。 我們建議您啟用SmartScreen。它提供了一個額外的安全層，有助於保護您的電腦，無論您是否使用防病毒軟體。即使SmartScreen自動阻止您知道是安全的未知應用程式，您也可以單擊警告以執行該應用程式。 視窗10 相關：S...
如何最佳化mozilla firefox以獲得最大的隱私
...會幫助您在位置欄中鍵入時防止敏感網站被建議。 控制安全保護 安全窗格控制著Firefox對Google安全瀏覽服務的使用。 阻止危險和欺騙性內容：啟用此功能後，Firefox每隔30分鐘左右自動從Google下載一個危險網頁地址列表。當你...
聯想新的遊戲手機看起來就像一個變壓器三明治
聯想的下一款遊戲**已經外洩，其設計看起來像是邁克爾·貝變形金剛和遊戲PC融合在一起。這不像我以前在電話裡見過的任何東西。我不確定我是否喜歡它。 最近社交媒體服務微博上顯示了**的圖片，我無話可說。具...
聯想的thinkpad x12可拆卸式有一個12英寸的螢幕，嗯，是可拆卸的
聯想正在推出一款新的ThinkPad——有一個轉折點。ThinkPad X12可拆卸膝上型電腦是一款12.3英寸的商務膝上型電腦，螢幕可以彈出用作平板電腦。這是聯想本週推出的幾款新ThinkPad之一，它們採用英特爾最新的第11代vPro處理器。 ...
聯想的thinkbook plus gen 2的蓋子上有更大更好的電子墨水顯示屏
聯想在CES2021大會上宣佈推出ThinkBook Plus第2代產品，繼續嘗試讓這款“粘在蓋子上的Kindle膝上型電腦”具有美學效果。它比原來的ThinkBook Plus加大了賭注，在蓋子上有一個更大更好的12英寸電子墨水面板，具有更快的重新整理率，...
聯想的ideapad slim 7是amd卓越新處理器的展示
...買不買，” 讀到最喜歡的評論，最近的照片英特爾動力聯想軍團5i。“如果它’沒必要買它，” 把第二條評論讀下來。在那裡’毫無疑問，Ryzen4000系列為中端超便攜膝上型電腦帶來了卓越的效能— 以前花費一大筆錢的表演。 ...
聯想的TabP11Pro是一款售價499美元、帶有oled螢幕的平板電腦
聯想推出了新的Tab P11 Pro，這是一款搭載11.5英寸OLED顯示屏的Android 10中端平板電腦，如果你看很多電影的話，這似乎是一個不錯的選擇。起價499美元，將在假期提供。 Tab P11 Pro採用Snapdragon 730G處理器，與Google Pixel 4A中...
