Afera SuperFish znacznie poważniejsza niż się wydawało: dla bezpieczeństwa to prawdziwa katastrofa

Pomimo opublikowania przez firmę Lenovo odpowiedniej instrukcji, a także zapewnienia, że obecnie trwają prace nad oprogramowaniem czyszczącym, afera dotycząca oprogramowania reklamowego SuperFish wcale nie cichnie. Jest wprost przeciwnie, bo na światło dzienne wychodzą kolejne niepokojące informacje – okazuje się, że problem niebezpiecznego certyfikatu dotyczy także oprogramowania innych firm.O sprawie zrobiło się głośno przed kilkoma dniami, kiedy to pracownicy Lenovo przyznali, że na laptopach konsumenckich tej firmy instalowane było oprogramowanie adware. Oburzenie użytkowników i nagłośnienie sprawy doprowadziło do tego, że firma zdecydowała się zaniechać dalszego instalowania tego typu „dodatków”, stworzyła instrukcję usuwania modułu SuperFish z którego korzystała, a także rozpoczęła prace nad odpowiednim modułem czyszczącym. Samo adware nie jest tutaj najważniejsze, problem stanowi instalowany w systemie certyfikat, dzięki któremu program może analizować ruch HTTPS i wstrzykiwać do niego reklamy.

Jednemu ze specjalistów od bezpieczeństwa szybko udało się go złamać, w efekcie uzyskano klucz prywatny do wykorzystania w najróżniejszych celach jak np. atakach man-in-the-middle. Sprawa jest poważniejsza niż się wydawało, bo z platformy używającej tego certyfikatu i klucza korzystają również inne aplikacje. Oprogramowanie używane przez SuperFish jest oferowane przez firmę Komodia. W chwili pisania tej notki strona producenta nie jest dostępna, ale wciąż można dostać się do niej za pomocą mechanizmów archiwizowania stron internetowych – oferuje ona platformę, dzięki której poprzez lokalny serwer proxy możliwe jest zapewnienie odpowiedniej kontroli rodzicielskiej, filtrowanie spamu, monitorowanie ruchu sieciowego, a także jego podsłuchiwanie. Oferta nie jest niczym złym, ale jak mogliśmy się już przekonać, sposób zabezpieczenia budzi poważne zastrzeżenia.

Ten sam pakiet narażający użytkowników na atak MITM znaleźć można w m.in. usłudze „Keep My Family Secure”, oprogramowaniu rodzicielskim Qusodio, Kurupira Webfilter, Staffcop, Easy hide IP Classic, Hide-my-ip, a także popularnym oprogramowaniu Lavasoft Ad-aware służącym do czyszczenia komputera z elementów szpiegujących. Najprawdopodobniej producenci tych programów podobnie jak SuperFish i Lenovo nie zdawali sobie sprawy z zagrożenia. Samo instalowanie certyfikatu i analizowanie ruchu HTTPS nie jest niczym nowym ani dziwnym – robią tak niektóre z antywirusów (np. Avast) w celu ochrony użytkownika przed zagrożeniami posługujących się bezpiecznym kanałem, a także niektóre blokery reklam (np. rosyjski AdGuard), w celu lepszego filtrowania ruchu i odrzucania połączeń, zamiast bardziej wymagającego analizowania kodu wynikowego w przeglądarce internetowej.

Problem w tym, że oprogramowanie Komodia wiele rzeczy realizuje w sposób karygodny – połączenia jakie nawiązuje z serwerami nie są bezpieczne (np. ze względu na wykorzystanie przestarzałych rozwiązań kryptograficznych), a na dodatek certyfikaty innych serwerów nie są w żaden sposób weryfikowane. Jeżeli ktoś zaatakuje np. serwer banku, podmieni strony logowania, lub wstrzyknie sfałszowane dane DNS, przeglądarka nas o tym nie powiadomi, bo oprogramowanie proxy Komodia tego typu zagrożenia zupełnie zignoruje. Specjaliści nazywają tę sprawę kompletną katastrofą, bo w zasadzie powoduje ona, że nie może być mowy o zapewnieniu jakiegokolwiek bezpieczeństwa – system użytkownika jest ślepy i głuchy na to, co zostanie mu podsunięte.

Sytuacja jest dla użytkowników posiadających w systemie zaszyte to oprogramowanie trudna. Co prawda niektóre firmy postanowiły już zareagować i np. Microsoft zaktualizował bazy Windows Defendera / Security Essentials i obecnie usuwa on elementy SuperFish uznając je za szkodliwe, ale to problemu nie rozwiązuje. Jest nim platforma dostarczona przez firmę Komodia. Każdy zainteresowany może za pomocą specjalnej strony sprawdzić, czy jego komputer (niekoniecznie marki Lenovo) posiada niebezpieczny certyfikat i serwer proxy. Jeżeli tak, zalecamy natychmiastowe przeinstalowane systemu, a także zmianę danych logowania na wszystkich stronach i usługach z jakich korzystacie. Do chwili usunięcia szkodnika (bo trudno sklasyfikować to inaczej), mogą zostać one przechwycone przez niepowołane osoby.