Китайская Lenovo удалила своё подозрительное приложение

Китайский производитель смартфонов и компьютеров Lenovo заявил в четверг, 19 февраля, что больше не будет устанавливать на свои устройства приложение, которое вызывало беспокойство у экспертов по кибер-безопасности. /epochtimes.ru/

«Приложение Superfish полностью отключено со стороны сервера взаимодействия на всех продуктах Lenovo, так что продукт больше не является активным, — заявила компания Lenovo в четверг. — Lenovo перестала устанавливать предварительное программное обеспечение (ПО) в январе. Мы не будем загружать это приложение в будущем».

В настоящее время пользователи устройств Lenovo могут отключить у себя опасное приложение вручную. В то же время Lenovo заявила, что работает над обновлением для своих продуктов, чтобы удалить дыру в безопасности, связанную с Superfish.

«Как только программисты закончат работу, мы предоставим инструмент, который удалит все следы приложения у пользователей», — пообещал Wall Street Journal технический директор Lenovo Питер Гортензиус.

Эксперты по кибер-безопасности говорят, что рекламное приложение Superfish может шпионить за пользователями при использовании обычно безопасных соединений, например, при осуществлении банковских операций. Они считают предустановку данного приложения компанией Lenovo серьёзным нарушением этики. Некоторые даже маркируют Superfish как «вредоносную программу».

«Мы доверяем нашим производителям аппаратного обеспечения, считая, что они создают безопасные продукты. В нынешней обстановке растущей киберпреступности, если вы не можете доверять производителю оборудования, вы находитесь в очень трудном положении, — написал в своём блоге в четверг Марк Роджерс, эксперт по безопасности из CloudFlare. — Если плохие парни будут попадать в цепь поставок и устанавливать вредоносные программы, то последствия будут разрушительными».

Приложение Superfish делает пользователей уязвимыми к атаке «человек посередине» (man-in-the-middle), даже при использовании зашифрованного канала связи, как пояснил г-н Роджерс. Так как ПО имеет неограниченный доверенный корневой сертификат, то при обычных проверках безопасности уязвимость не обнаруживается.

«Это невероятно невежественно и безрассудно. Возможно, это самое худшее, что производитель мог сделать для своей клиентской базы», — утверждает эксперт из CloudFlare.

Lenovo отрицает, что приложение Superfish создаёт угрозу безопасности, и заявляет, что удалила его по желанию пользователей: «Мы тщательно исследовали эту технологию и не нашли никаких доказательств обоснованности угрозы безопасности. Но мы знаем, что пользователи отреагировали на этот вопрос с озабоченностью, поэтому мы приняли непосредственные меры, чтобы прекратить установку этого ПО».

Угрозы

Роберт Грэм из Errata Security продемонстрировал в своём блоге в четверг, как он взломал пароль для сертификата на Superfish. Это позволило ему перехватывать зашифрованные сообщения пользователей, которые используют ноутбуки Lenovo в Wi-Fi-сетях, например, в кафе.

Lenovo в свою очередь заявила, что данная проблема чисто «теоретическая». «Мы не пытаемся переспорить экспертов по безопасности. Они имеют дело с теоретическими проблемами, — сказал Питер Гортензиус. — У нас нет данных, что произошло что-то плохое… пользователи говорили, что ПО не было полезным, и именно поэтому мы отключили его».

Это не первый раз, когда китайская технологическая компания обвиняется в создании угрозы для кибер-безопасности. В 2012 году выяснилось, что Huawei Technologies Inc и ZTE Inc имели в своём оборудовании бэкдоры («чёрный ход» — предустановленное шпионское ПО), которые могли использоваться, чтобы шпионить за пользователями.

Согласно фирме IDC, которая занимается исследованием рынка, Lenovo является крупнейшим производителем персональных компьютеров. Электронные устройства компании в октябре 2014 года занимали 1/5 часть мирового рынка.

Автор статьи: Джонатан Чжоу. Великая Эпоха

Версия на английском