Superfishi fiasko hakkas, kui teadlased märkasid, et Lenovo arvutitega ühendatud Superfish installis Windowsile vale juursertifikaadi, mis sisuliselt haaras kõiki HTTPS-i sirvimist, nii et sertifikaadid näivad alati kehtivad isegi siis, kui need pole, ja nad tegid seda sellises ebaturvaline viis, et mis tahes skriptikeski häkker suudaks sama asja saavutada.
Ja siis nad installivad teie brauserisse proksi ja sundivad seda kogu teie sirvimise ajal, et nad saaksid reklaamida. See on õige, isegi kui ühendate oma pangaga või tervisekindlustuse saidiga või kuskil, mis peaks olema turvaline. Ja te ei tea kunagi, sest nad rikkusid Windowsi krüptimist, et näidata teile reklaame.
Kuid kurb, kurb tõsiasi, et nad ei ole ainsad, kes seda teevad - reklaamid nagu Wajam, Geniusbox, Content Explorer ja teised kõik teevad täpselt sama asja, installides oma sertifikaadid ja sundides kõiki oma sirvimist (sealhulgas HTTPS-i krüptitud sirvimisseansid) läbima oma puhverserverit. Ja võite nakatada selle jama, installides CNET-i allalaadimisel kaks peamist 10 rakendust.
Lõpptulemus on see, et te ei saa enam brauseri aadressiribal rohelise luku ikooni enam usaldada. Ja see on hirmutav ja hirmutav asi.
Kuidas HTTPS-i pealetungiv reklaamvara töötab ja miks see nii halb on
Nagu me varem näitasime, kui teete tohutult hiiglasliku vea, et usaldate CNET-i allalaadimisi, võite juba nakatunud selle tüüpi reklaamivahenditega. CNET-i (KMPlayer ja YTD) kümne allalaadimise kaks kümmet allalaadimist ühendavad kahte erinevat tüüpi HTTPS-i varjatud reklaamvara, ja meie uuringus leidsime, et enamik teisi vabavara saite teevad sama asja.
Märge:paigaldajad on nii keerulised ja keerulised, et me pole kindel, kes see on tehniliselt tehes "komplekteerimist", kuid CNET reklaamib neid rakendusi oma avalehel, nii et see on tõesti semantika küsimus. Kui soovitate, et inimesed laadivad alla halva sisu, on teil ka võrdselt süüdi. Oleme samuti leidnud, et paljud neist reklaamprogrammide ettevõtetest on salajas samad inimesed, kes kasutavad erinevaid ettevõtte nimesid.
Üksnes CNET-i allalaadimise kümne esimese loendi allalaadimisnumbrite põhjal on igal kuul nakatunud miljoneid inimesi reklaamvara abil, mis on oma krüpteeritud veebisündmuste kaaperdamine panka või e-posti või midagi, mis peaks olema turvaline.
Kui te tegi vea KMPlayeri installimisel ja õnnestub ignoreerida kõiki teisi nuhkvara, esitatakse teile see aken. Ja kui te kogemata klõpsate valikul Nõustu (või valite vale võtme), siis teie süsteem pingutatakse.
Kui külastate saiti, mis peaks olema turvaline, näete rohelise luku ikooni ja kõik näeb välja täiesti normaalseks. Üksikasjade nägemiseks võite klõpsata lukule ja ilmub, et kõik on korras. Kasutate turvalist ühendust ja isegi Google Chrome teatab, et olete ühenduses Google'iga turvalise ühenduse kaudu. Kuid sa ei ole seda!
System Alerts LLC ei ole tõeline juursertifikaat ja te tegelikult lähete läbimõõduga Man-in-the-middle, mis lisab reklaame lehtedesse (ja kes teab mida veel). Sa peaksid lihtsalt saatma neile kõik oma paroolid, oleks lihtsam.
Nad täidavad seda, installides oma võltsitud juursertifikaadid Windowsi sertifikaadi poodi ja seejärel turvaliste ühenduste vahele nende allkirjastamisel oma võltsitud sertifikaadiga.
Kui vaatate Windowsi sertifikaatide paneeli, näete kõikvõimalikke täiesti kehtivaid sertifikaate … aga kui teie arvutil on mõni tüüpi reklaamvara installitud, näete näite võltsitud asju nagu System Alerts, LLC või Superfish, Wajam või kümneid muud võltsinguid.
Nad on kõik mehe keskel rünnakud ja siin on, kuidas nad töötavad
Kui olete kaaperdatud, saavad nad lugeda igat üksikut asja, mille te privaatse saidi kaudu saadate - paroole, privaatset teavet, terviseteavet, e-kirju, sotsiaalkindlustuse numbreid, pangateavet jne. Ja te ei tea kunagi, sest teie brauser ütleb teile et teie ühendus on turvaline.
See toimib seetõttu, et avaliku võtme krüptimine nõuab nii avaliku võtme kui ka privaatvõtme kasutamist. Avalikud võtmed on installitud sertifikaadihoidlasse ja privaatvõtme peaks tundma külastatav veebisait. Kuid kui ründajad võivad oma juursertifikaadi kaaperda ja hoida nii avaliku kui ka privaatset võtmeid, saavad nad teha kõike, mida nad soovivad.
Superfishi puhul kasutasid nad iga Superfish'iga arvutisse sama privaatvõtit ja mõne tunni jooksul võtsid turvateadlased privaatvõtmeid välja ja loovad veebisaite, et kontrollida, kas olete haavatavad ja tõestada, et võiksite seda teha olema kaaperdatud. Wajami ja Geniusboxi puhul on võtmed erinevad, kuid Content Explorer ja mõni muu reklaamvara kasutab samu võtmeid ka kõikjal, mis tähendab, et see probleem ei ole unikaalne Superfish'ile.
See muutub hullemaks: Enamik sellest hõõrdumisest keelab täielikult HTTPS-i kinnitamise
Just eile avastasid turvatöötajad veelgi suurema probleemi: kõik need HTTPS-i volikirjad keelavad kogu valideerimise, muutes selle välja nagu kõik.
See tähendab, et võite minna HTTPSi veebisaidile, millel on täiesti tühi sertifikaat, ja see reklaamvara ütleb sulle, et sait on just nii hea. Me katsetasime reklaamvara, mida me varem mainisime, ja need kõik keelavad täielikult HTTPS-i valideerimise, seega pole tähtsust, kas privaatvõtmed on unikaalsed või mitte. Shockingly bad!
Võite kontrollida, kas olete ohutu Superfishi, Komodia või kehtetu sertifikaadi kontrollimisele, kasutades turvameedikute poolt loodud katsesaidit, kuid nagu me juba näitasime, on seal palju rohkem reklaamivahendeid, mis teevad sama asja ja meie teadustööst, asjad hakkavad jätkuvalt halvenema.
Kaitske ennast: kontrollige sertifikaatide paneeli ja kustutage vigased kirjed
Kui olete mures, peaksite kontrollima oma sertifikaadi poodi, et veenduda, et teil ei ole installitud mingeid skripti, mida saaks keegi teine puhverserverit hiljem aktiveerida. See võib olla natuke keeruline, sest selles on palju asju ja enamus peaks seal olema. Meil pole ka head loetelu, mida peaks ja ei tohiks seal olla.
Kasutage WIN + R käivitamiseks dialoogi Käivita ja seejärel tippige Microsoft Management Console akna tõmbamiseks "mmc". Seejärel kasutage valikut File -> Add / Remove snap-ins ja valige vasakul asuvast loendist sertifikaadid ja seejärel lisage see paremal küljel. Veenduge, et valite Arvuti konto järgmises dialoogis ja seejärel üle ülejäänud osa.
- Sendori
- Purelead
- Rocket Tab
- Super kala
- Vaata vaata
- Pando
- Wajam
- Waja NEnhance
- DO_NOT_TRUSTFiddler_root (Fiddler on seaduslik arendaja tööriist, kuid pahavara on oma sertifikaadi kaaperdanud)
- System Alerts, LLC
- CE_UmbrellaCert
Paremklõpsake ja eemaldage ükskõik milline neist sisestustest, mida leiate. Kui näete Google'i brauseris katsetamisel midagi valesti, veenduge, et ka see kustutaksite. Lihtsalt olge ettevaatlik, sest kui kustutate vale asju siin, hakkate Windowsi katkestama.
Järgmisena peate avama oma veebibrauseri ja leidma sertifikaate, mis on seal tõenäoliselt vahemällu salvestatud. Google Chrome'i jaoks avage Seaded, Täpsemad sätted ja seejärel Tunnistuste haldamine. Klõpsake jaotisel Isiklik, klikkige halbade sertifikaatide korral lihtsalt nupul Eemalda …
Kuid see on hullumeelsus.
Avage aknas Täpsemad sätted ja klõpsake käsku Lähtesta sätted, et Chrome täielikult lähtestada vaikeseadeteni. Tehke sama mis tahes muu brauseri puhul, mida te kasutate, või eemaldage see kõik, tühjendage kõik seaded ja installige see uuesti.
Kui teie arvuti on mõjutatud, on tõenäoliselt paremini täiesti puhas Windowsi installimine. Lihtsalt veenduge varundades oma dokumente ja pilte ning kõike seda.
Kuidas kaitsta ennast?
Praegu on peaaegu võimatu ennast täiesti kaitsta, kuid siin on mõningad mõtteviisid, mis aitavad teil välja aidata:
- Kontrollige Superfish / Komodia / Certification valideerimise testi saidi.
- Luba oma brauseris pluginate klõpitud esitusviis, mis kaitseb sind kõigist nullpäevast Flashist ja teistest pistikprogrammide turvaaugudest.
- Ole kindlasti ettevaatlik, mida te alla laadite ja proovige kasutada Ninite'i siis, kui see on absoluutselt vajalik.
- Pöörake tähelepanu sellele, mida klõpsate mis tahes hetkel, kui klõpsate.
- Kaaluge oma Microsofti täiustatud leevendamise kogemuste tööriistakomplekti (EMET) või Malwarebytes Anti-Exploit kasutamist, et kaitsta oma brauserit ja muid kriitilisi rakendusi turvalisuse aukudest ja nullpäevastest rünnakutest.
- Veenduge, et kõik teie tarkvara, pistikprogrammid ja viirusetõrje jäävad värskemaks ja sisaldavad ka Windowsi värskendusi.
Kuid see on küllaltki palju tööd, et sooviksite veebi sirvida ilma kaaperdatud. See on nagu TSAga tegelemine.
Windowsi ökosüsteem on keksivõtte cavalcade. Ja nüüd on Windowsi kasutajate jaoks rikutud Interneti-põhist julgeolekut. Microsoft peab seda parandama.
