Wczoraj Dziennik Internautów informował, że Lenovo instalowała na nowych laptopach oprogramowanie Superfish do wyświetlania nachalnych reklam. Sprawa była podwójnie niepokojąca. Po pierwsze nie wydaje się w porządku, jeśli producent komputerów sprzedaje maszyny z oprogramowaniem wpływającym na wyświetlane treści. Użytkownicy musieli, co prawda, wyrazić na to zgodę, ale w praktyce nikt nie czyta różnego rodzaju licencji czy warunków, które trzeba zaakceptować przy pierwszych użyciach komputera. 

Poza tym specjaliści od bezpieczeństwa ustalili, że oprogramowanie Superfish mogło stanowić zagrożenie. Instaluje ono swój certyfikat SSL i przekierowuje ruch przeglądarki użytkownika przez serwer pośredniczący. Można to wykorzystać do wywoływania u użytkownika wrażenia, że łączy się on w sposób bezpieczny z wiarygodną stroną, podczas gdy w rzeczywistości tak nie jest.

Lenovo kończy z Superfish

Firma Lenovo wydała już oficjalne oświadczenie w tej sprawie. Wynika z niego, że:

• firma otrzymywała skargi na oprogramowanie Superfish, choć początkowo sądziła, że wciskanie klientom tego oprogramowania będzie dla nich wyłącznie korzystne (sic!);
• firma zaprzestała umieszczania tego oprogramowania na nowych komputerach i wyłączyła połączenia z serwerami włączającymi oprogramowanie. Informacje na temat tych działań oraz o sposobach usuwania oprogramowania Superfish można znaleźć na stronach Lenovo. 
• firma zapewniła, że oprogramowanie Superfish nie było instalowane na notebookach ThinkPad, na komputerach biurkowych oraz na smartfonach. Szczegółowy wykaz urządzeń, na których to oprogramowanie się znalazło, znajdziemy w komunikacie prasowym. 

Bezpieczeństwo to takie teorie...

Czy można już uznać, że wszystko jest w porządku? Nie wszyscy tak sądzą. W wydanym oświadczeniu firma Lenovo właściwie nie poruszyła tematu potencjalnego zagrożenia dla bezpieczeństwa. Temat ten został poruszony w rozmowie opublikowanej na blogu Digits. Przedstawiciel Lenovo Peter Hortensius, spytany o potencjalne zagrożenia, odpowiedział: 

Nie chcemy wchodzić w spór z chłopakami od bezpieczeństwa. Oni zajmują się obawami teoretycznymi. Nie mamy wiedzy o tym, że coś nikczemnego się stało. 

Jest w tym odrobinka prawdy. Chłopaki od bezpieczeństwa zajmują się "obawami teoretycznymi". Problem w tym, że w świecie bezpieczeństwa informatycznego nierzadko dochodzi do przekształcenia teoretycznej możliwości w praktyczny sposób podejmowania "nikczemnych" działań. Hortensius z pewnością o tym wie. Reagowanie na zagrożenia teoretyczne ma minimalizować liczbę ofiar. Byłoby ogromnym błędem, gdybyśmy za realne zagrożenia uznawali tylko te, które są "nikczemnie" wykorzystywane. 

Dowodem na praktyczne wykorzystanie teorii może być to, co zrobił specjalista od bezpieczeństwa Robert Graham. Napisał on na blogu firmy Errata Security, że już teraz może przechwytywać szyfrowane dane "ofiar Superfish" (czyli ludzi z laptopami Lenovo), znajdując się obok nich w kawiarni z hotspotem. Przygotowania do tego zajęły Grahamowi kilka godzin. W sieci znajdziemy też inne artykuły specjalistów, którzy nie uważają tego problemu za tylko "teoretyczny".

Lenovo zadbała o przejrzystość?

Lenovo stara się zaniżać znaczenie obaw specjalistów, ale jest też kwestia, w której firma zwyczajnie kłamie. W prasie znajdujemy wypowiedzi rzeczniczki firmy, która twierdziła, że Superfish jest "całkowicie przejrzysty". Nie. Nie jest. Przejrzystość nigdy nie polega na wciskaniu niechcianego dodatku na zasadzie "potwierdź, że przeczytałeś i akceptujesz". Taka przejrzystość to największe kłamstwo internetu.