Lenovo、データ盗難を可能にするアドウェアを自社のコンピューターにプレインストール

中国企業レノボは、最近の好調な業績と昨年のモトローラ買収により、最近モバイル分野での知名度が高まっているが、それは同社がコンピュータ分野で巨大な存在感を持っているという意味ではない。同社がIBMのコンピュータ部門を買収した当時のことを思い出してほしい。したがって、 Lenovo が自社のコンピュータにアドウェア (データ窃盗を可能にするアドウェア) をプレインストールしていると告発されているため、今日 The Next Web で見たようなニュースは、同社にとって多大な影響を与える可能性があります。

コードネームSuperfish と呼ばれる問題のアドウェアは、パッケージから取り出すとすぐに一連の Lenovo ラップトップにインストールされ、Internet Explorer または Google Chrome のいずれかのブラウザで Web ページを閲覧するとサードパーティの広告を挿入します。 Google で検索する場合でも、すべてユーザーの同意なしで行われます。 Superfish は、*中間者攻撃* を実行することによって動作し、安全な接続が必要なときに常に「なりすまし」SSL 証明書を生成できるプロキシをインストールするスーパーユーザー権限を自身に付与します。

Superfish によって生成されるこれらのタイプの証明書は、アドウェアが安全な接続を備えたページ上でも広告を表示し、広告を挿入し、同時に安全でプライベートであると想定されているページからデータを読み取るために必要です。 Lenovo は昨年 1 月にこのアドウェアを製品から削除しました**が、アドウェアはユーザーを監視しておらず、Lenovo コンピューターを初めて使用するときにプライバシーと使用ポリシーが提示されると主張して、その使用を擁護し、ユーザーには次のような可能性があるとも述べました。スーパーフィッシュを無効にします。

ただし、ここで見られるように、プログラムをインストールしてもスーパーユーザー権限を持つ証明書は削除されないため、脆弱性は依然として存在しており、Google Chrome エンジニアのChris Palmer (上記のツイートを参照) のような人々さえも、この深刻なセキュリティ問題を確認しています。 。一方、Lenovo コンピュータをお持ちでこの問題が発生している場合は、アドウェアをすべて手動で削除する方法を詳しく説明したビデオを以下に示します。

更新 2 月 10 日 11:05:この記事の公開後、Lenovo は、Superfish のインストールが 10 月から 10 月までの非常に短期間に販売された一部のコンシューマ向けラップトップにのみ含まれていたなど、すでに確認されている一連の事実を再確認する声明を発表しました。また、昨年 1 月以降、すべての Lenovo 製品で Superfish とサーバーの相互作用が無効になっており、また、将来的には、このソフトウェアを新しいコンピュータに搭載できるようになります。

しかし、彼らはまた、このテクノロジーを調査した結果、セキュリティ上の問題は見られなかったことも保証しており、Superfish テクノロジーはユーザーのプロファイルを作成したりユーザーの習慣を監視したりすることはなく、ユーザーを追跡したりリダイレクトしたりすることはなく、各セッションは独立していると述べています。 。したがって、Lenovo は、その目的は経済的利益を追求するものではなく、ユーザー エクスペリエンスを向上させることであったと述べています。いずれにせよ、被害はすでに生じており、この種の策動は、特に世間の注目を集めると、企業の将来に大きなダメージを与える可能性があります。