Expert: Superfish-adware gaat Lenovo klanten kosten
De Superfish-adware die Lenovo op laptops installeerde en waardoor SSL-verbindingen risico lopen doet denken aan het Sony-rootkitschandaal van een aantal jaren geleden en zal de computerfabrikant uiteindelijk klanten kosten. Dat zegt Adam Winn van softwarebedrijf Opswat tegen Security.NL.
"Hoewel de intenties misschien niet kwaadaardig zijn, is de implementatie dat zeker wel. Superfish is meer dan alleen adware, het is een Man-in-the-Middle-aanval die zich als adware voordoet. In een tijdperk van continu security-gerelateerd nieuws is het schokkend dat Lenovo software installeert dat de SSL-keten op op zo'n fundamentele manier breekt." Winn ziet dan ook overeenkomsten met het Sony-rootkitschandaal uit 2005, alleen zijn de gevolgen dit keer veel groter.
"Het raakt zowel de privacy als het fundamentele vertrouwen dat consumenten in door SSL-beschermde websites hebben." Hij voorspelt dan ook dat deze actie Lenovo klanten zal kosten. "Lenovo heeft een trouwe aanhang onder IT-professionals, zoals blijkt uit de overal aanwezige Thinkpads binnen ondernemingen. Er is dan ook geen twijfel dat dit incident een zware aanslag op de balans van Lenovo zal hebben. Geen enkele systeembeheerder tolereert een Man-in-the-Middle-aanval op bedrijfseigen of BYOD-apparatuur."
De Amerikaanse burgerrechtenbeweging EFF noemt het een amateuristische ontwerpkeuze van Superfish om advertenties via een zelf gesigneerd certificaat te injecteren. "Lenovo's beslissing om deze software te leveren was ongekend onverantwoordelijk en een groot misbruik van het vertrouwen dat ze van klanten kregen." Lenovo laat tegen Bloomberg weten dat het een fout was om de software standaard op laptops te installeren en dat het enige doel was om de ervaring van klanten te verbeteren.
Ik vind het maar een onduidelijk verhaal...
Zakelijke computers worden meestal voorzien van een eigen installatie met de nodige BIOS aanpassingen, maar is dat voldoende?
Ze hebben gewoon net zo lang gezocht totdat ze een stok gevonden hebben en daar gaan ze nu mee slaan..
Heel erg jammer dat dit nodig is om het ego van de Amerikanen te strelen...
Nu het ook nog Medion (Duitsland) heeft en de GSM tak van Google heeft overgenomen (Motorola) is het een te groot gevaar en moet dat met alle macht ingeperkt worden...
Vage berichten over 'misschien zit er wel een trojan in" hebben slecht gewerkt en eigenlijk alleen bij Huawei gefunctioneert maar nu hebben ze dan EINDELIJK een stokje gevonden....
Nou, joepie...
Protectionisme at its worst.
Ja en dan met dit resultaat, ongelofelijk zeg.
Ik voorspel dat Lenovo 3 laptops minder gaat verkopen door dit "schandaal". Ok, maak er 5 van.
Meer niet. Aankoopbeslissingen worden helemaal niet op dit soort gronden overwogen, en bovendien is zo iets 1 dag in
het nieuws en daarna ebt het weer weg.
Denk je nou echt dat Sony ook minder TV'sof CD'sverkoopt door die affaire? Welnee, misschien zijn er enkele
overtuigde niet-Sony-kopers bij gekomen (ik hoorde er daarvoor al bij) maar op hun verkoopcijfers maakt dat echt geen
bal uit.
En "Geen enkele systeembeheerder tolereert een Man-in-the-Middle-aanval op bedrijfseigen of BYOD-apparatuur." dat
geeft al helemaal blijk van weinig inzicht. Systeembeheerders installeren dit soort dingen steeds vaker ZELF. In
opdracht van de leiding.
Volgens mij interesseert dit de meeste systeembeheerders weinig. De kans dat ze eigen of bedrijfs Lenovo apparatuur de deur uit doen lijkt mij redelijk klein. De stelling dat systeembeheerders dit niet tolereren lijkt me eerder een wens, dan een feit.
"Het raakt zowel de privacy als het fundamentele vertrouwen dat consumenten in door SSL-beschermde websites hebben." Hij voorspelt dan ook dat deze actie Lenovo klanten zal kosten. "Lenovo heeft een trouwe aanhang onder IT-professionals, zoals blijkt uit de overal aanwezige Thinkpads binnen ondernemingen. Er is dan ook geen twijfel dat dit incident een zware aanslag op de balans van Lenovo zal hebben. Geen enkele systeembeheerder tolereert een Man-in-the-Middle-aanval op bedrijfseigen of BYOD-apparatuur."
[/]
Daar moet wel bij vermeld worden dat deze Superfish installatie alleen aanwezig is op de consumenten lijn van Lenovo, en niet de zakelijke lijn. Dat scheelt nogal en plaatst dit verhaal in een iets andere context.
Installatie van de gemiddelde linux distro kost je 20 minuten. Ik snap niet wat jullie allemaal zeuren. Windows en security is zowiezo een grap. Als je security wil zal je een ander OS moeten draaien.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
