Lenovom predinštalovaný adware kompromituje celý počítač

Asi ste už zachytili, že Lenovo má momentálne obrovský problém s bloatware-om, ktorý predinštalováva na svoje počítače (www.dsl.sk, www.zive.cz). Na svojom fóre síce Lenovo spočiatku označovalo Superfish Visual Discovery len za PUP (Potentially Unwanted Program), ale od začiatku bolo každému jasné, že je to adware.

Ukázalo sa ale, že reklama sa zobrazuje aj na HTTPS stránkach, k čomu používajú MITM útok. A všetky inštalácie používajú rovnaký prívátny kľúč, ktorý je uložený priamo na počítači. Kľúč bol zaheslovaný veľmi jednoduchým heslom (komodia), takže neodolal ani len primitívnemu slovníkovému útoku. Certifikát použitý pre MITM je samozrejme predinštalovaný medzi dôveryhodné koreňové CA certifikáty a dá sa použiť na všetko (All application policies).

Počítač od Lenova síce nemám, ale po tomto ani nikdy mať nebudem.