您现在的位置: 天下网吧 >> 网吧天下 >> 网吧行业 >> 网络追踪 >> 正文

联想Superfish事件的幕后真凶

[作者:佚名 来源:不详 时间:2015-2-23我来说两句
:联想Superfish事件的幕后真凶

上周,联想集团成为科技新闻的主角,因为其新出厂电脑中被发现了一款名为Superfish的恶意软件,可以修改或者伪造数字证书,威胁用户信息安全。近日,安全业界人士已经发现了这一事件的另外一个真凶——一家名为Komodia的公司,该公司的网站日前已经被黑客攻破。

Superfish能够伪造数字证书,获取某一台电脑加密发出的安全信息,比如口令或者银行账户信息,这将威胁用户安全。该软件的攻击方式被称为中间人攻击,其可以拦截电脑和外界通信的部分信息。

许多的互联网网站采用了数字证书技术,相当于网站的一个身份证,借此证明自己的真实身份。但是Superfish绕过了这套安全机制,它使用了伪造的数字证书,让电脑用户将某个李鬼网站认为是真实的李逵网站。

这个伪造的数字证书来自何处?据悉来自一家名为Komodia的公司,这家公司目前已经对科技媒体作出证实。

最近,许多安全业界人士对Komodia公司的所作所为进行了调查,发现其安全漏洞还涉及了许多公司产品,安全风险要比预想的大得多。

Komodia公司提供某种软件工具,可以制造伪造的数字证书,据称目前拥有一百多家企业用户,其中包括不少的财富五百强企业。

这家公司在营销材料中自称,可以通过十分简单的用户界面,让用户拦截网站通信数据和互联网应用信息。在该公司的网站上,其将一款软件开发包公开称之为“SSL劫持者”(SSL是互联网上最广为使用的加密协议)。

据称,该公司的技术也被用于一些合法使用的软件,比如家长控制孩子访问权限的软件,以及匿名上网工具等等。

据安全公司Errata的首席执行官格拉汉姆(Rob Graham)研究发现,在提供虚假数字证书时,厂商应该向每一台电脑提供一个独立的用户密码,这样黑客要攻击这些电脑存在问题,因为要破解无数个密码。

格拉哈姆指出,Komodia公司的问题,是其所有的证书软件都采用了一个统一的密码,即公司名字“komodia”。格拉汉姆表示,他只用了三个小时,就破解了密码。

另外一个安全业界人士罗杰斯(Marc Rogers)近日也发表文章称,Komodia公司在许多的安全产品中也采用了同一个架构,这意味着虚假数字证书和单一密码的威胁,不仅仅局限于联想集团的电脑,所有曾经使用过Komodia公司产品的用户,都需要检查电脑是否存在安全风险。

这意味着Komodia公司带来的安全风险,要比预想的大得多

到底有多少个人电脑存在Komodia公司的技术和产品?以及有多少黑客已经盯住了这些“猎物”,这仍不得而知。

在Komodia公司和Supuerfish事件的关系被曝光之后,该公司的网站已经瘫痪,可能遭到了拒绝服务攻击。

目前,一些安全人士已经开始给用户提供帮助,比如安全公司Cloudflare的工程师Filippo Valsorda已经制作了一个网页,用户可以检查是否有来自Komodia公司的产品在电脑上拦截信息。

相关阅读:

《联想:中国区销售的PC未预装Superfish软件》

《客服证实联想笔记本捆绑广告软件Superfish》

《联想回应笔记本捆绑广告软件》

《联想公布移除Superfish广告软件方法》

《美国政府:建议删除联想PC预装的广告软件》

《事态严重,联想因Superfish事件向用户致歉》




关注天下网吧微信,了解网吧网咖经营管理,安装维护:


本文来源:不详 作者:佚名

声明
本文来源地址:http://www.ithome.com/
声明:本站所发表的文章、评论及图片仅代表作者本人观点,与本站立场无关。若文章侵犯了您的相关权益,请及时与我们联系,我们会及时处理,感谢您对本站的支持!联系邮箱:support@txwb.com.,本站所有有注明来源为天下网吧或天下网吧论坛的原创作品,各位转载时请注明来源链接!
天下网吧 网吧天下