Een Amerikaanse beveiligingsonderzoeker heeft gedemonstreerd hoe hij via een kwaadaardig opgezet wifi-netwerk en het Superfish-certificaat Lenovo-gebruikers kan aanvallen. Eerder liet onderzoeker Robert Graham al zien hoe hij het wachtwoord kraakte dat de privésleutel van het Superfish-certificaat gebruikte.

Iets waarvoor hij ongeveer drie uur nodig had. Vervolgens wilde hij demonstreren dat een aanval met het verkregen certificaat niet alleen theoretisch zou zijn, zoals de CTO van Lenovo beweerde, maar ook praktisch. Hiervoor koos Graham als hardware een Raspberry Pi2 in combinatie met een Alfa wifi-adapter. Via "RPI-Wireless-Hotspot" veranderde hij de Raspberry Pi2 in een wifi-hotspot, terwijl hij sslsplit voor het uitvoeren van de Man-in-the-Middle-aanval gebruikte. In totaal kostte het opzetten van de hotspot ook drie uur.

Graham laat op zijn blog zien hoe een gesimuleerde gebruiker die via zijn wifi-hotspot gaat internetbankieren kan worden afgeluisterd, ook al krijgt de gebruiker bij het bezoeken van zijn banksite een geldig SSL-icoon te zien. Volgens Graham gebruikte hij voor het uitvoeren van de aanval alleen algemeen beschikbare tools. "Het enige bijzondere is sslplit, maar dat is een tool die bedrijven vaak voor beveiligingsdoeleinden gebruiken, en heeft niet een speciaal 'hackingdoel'." De onderzoeker besluit dan ook dat deze aanval echt praktisch is en niet alleen theoretisch.