Otestujte své PC. Závažná bezpečnostní chyba je i v některých antivirech

  15:00aktualizováno  15:00
V antivirových balících Comodo a Ad-Aware Web Companion je podle bezpečnostních odborníků stejná chyba, kterou ve svých noteboocích distribuovalo Lenovo. Umožňuje, bez ohledu na SSL certifikát, proniknout do zabezpečené komunikace webového prohlížeče se serverem.

Otestujte si, zda i váš prohlížeč nepracuje s chybnými SSL certifikáty. | foto: screenshot Technet.czProfimedia.cz

Z ostudy kabát si minulý týden ušilo Lenovo. Zjistilo se totiž, že v jejich noteboocích předinstalovaná aplikace Superfish obsahuje závažnou bezpečnostní chybu. Ta umožní prolomení zabezpečeného HTTPS spojení, které se používá například v on-line bankovnictví, přístupech do e-mailových schránek a dalších systémů.

Superfish

v noteboocích Lenovo

Jako pomoc majitelům notebooků Lenovo umístili bezpečnostní experti na webovou adresu filipo.io/Badfish jednoduchý test, který ověří, zda není počítač uživatele touto chybou ohrožen. Překvapením však bylo, že jako ohrožené byly diagnostikovány i některé počítače, ve kterých program Superfish prokazatelně nebyl.

Na pozadí problémů jsou opět reklamy

Na diskuzním fóru Hacker News se tak rozběhlo pátrání po příčině, a tou se ukázal antivirový balík Comodo, respektive jeho reklamní manažer PrivDog. Průšvih Lenova tak paradoxně pomohl odhalit nejspíše ještě závažnější chybu. 

PrivDog je aplikace, která vyhodnocuje reklamy na zobrazovaných webových stránkách a ty, které nepocházejí z „důvěryhodného“ zdroje, nahrazuje vlastními, „bezpečnými“ reklamami. Podle záměru tvůrce by se tím měl snížit počet bezpečnostních útoků, při kterých je škodlivý kód propašován na důvěryhodnou webovou stránku pomocí škodlivého kódu v reklamním baneru.

PrivDog však v rámci této činnosti „podstrkuje“ prohlížeči SSL certifikáty, které sám generuje. Což by nebylo tak hrozné, kdyby při této proceduře ověřoval pravost certifikátu vydaném komunikujícím serverem (a certifikační autoritou). PrivDog jej však neověřuje a naopak potvrdí pravost jakéhokoli „sám sebou podepsaného“ certifikátu (self-signed certificate). A ten může být i útočníkův. Zkráceně řečeno, PrivDog zcela diskredituje zabezpečenou komunikaci prohlížeče se serverem.  

Takto by to mělo vypadat. Certifikát patří provozovateli webu a je ověřený...

Takto by to mělo vypadat. Certifikát patří provozovateli webu a je ověřený autoritou. Pokud by certifikát patřil nějaké aplikaci ve vašem počítači, může to znamenat problém.

„Dokud se budou používat metody ´porušení řetězu důvěry´, vždy se stane, že to někdo implementuje naprosto špatně,“ uvedl pro americký server PC World Amichai Shulman, ředitel bezpečnostní společnosti Imperva. “Chyba v Superfish využívala všude stejný kořenový certifikát, chyba v PrivDog neověřuje certifikáty vůbec," doplnil Shulman.

Takto by to naopak vypadat nemělo. Certifikát „Bank of America“ není ověřen...

Takto by to naopak vypadat nemělo. Certifikát „Bank of America“ není ověřen autoritou, ale vydán programem PrivDog. (screenshot uživatele babawere zveřejněný na webu Hacker News)

Řešením je aplikaci okamžitě odinstalovat.

Comodo v tom není samo

Podobný problém má podle serveru Techradar i bezpečnostní program Ad-aware Web Companion od společnosti Lavasoft. Ten totiž pro zpracování zabezpečeného síťového provozu používá stejnou technologii od společnosti Komodia, jaká byla implementována v aplikaci Superfish.

Tuto technologii využívá ve svých aplikacích více softwarových společností, rozsáhlost této „bezpečnostní díry“ tedy ještě nelze odhadovat. Doporučujeme proto svůj systém otestovat jednoduchým webovým testem a postižené aplikace odinstalovat.



Nejčtenější

Nelíbí se mi, kam se internet vydal, říká vynálezce WWW. Chce to změnit

Tim Berners-Lee představuje vizi nového, decentralizovaného internetu...

V roce 1990 spustil první webový server a odstartoval tak revoluci. Díky němu se internet rozšířil do celého světa, do...

Mučení a vraždu novináře prý nahrály hodinky Apple. Nejspíš to bylo jinak

Apple Watch 2

Údajná vražda opozičního saúdskoarabského novináře Džamála Chášakdžího na konzulátu v Turecku vyvolává mezinárodní...



Ve věku 65 let zemřel na rakovinu Paul Allen, s Gatesem založil Microsoft

Paul Allen na snímku z prosince 2017.

Ve věku 65 letech zemřel v pondělí spoluzakladatel firmy Microsoft Paul Allen. Miliardář, filantrop a hledač lodních...

Návrat „imperialistického brouka“? Výzkumný program USA vzbudil obavy

Program „Hmyzí spojenci“ má změnit škůdce v pomocníky v zemědělství.

Skupina vědců v časopise Science varuje před možným zneužitím amerického výzkumného programu, který vyvíjí zcela nový...

Grafika snů: podrobné srovnání RTX 2080 s GTX 1080Ti

Porovnání grafických karet s čipem Nvidia GeForce RTX 2080 a GTX 1080Ti (vpravo)

Porovnali jsme novou grafickou kartu RTX 2080 s předchozí špičkou GTX 1080Ti. Výsledky jsou zajímavé a ačkoli v mnoha...

Další z rubriky

Software zdarma: kreslicí program pro děti nebo čištění Windows

Ilustrační foto - děti

Hledáte-li kreslicí program pro děti, řešením je Tux Paint. Vytvořit si vlastní klávesové zkratky, zautomatizovat práci...

Tak by vypadala Windows 11. Jak se změnil operační systém Windows

„Úvodní obrazovka“ v místě, kde před Windows 8 bývalo „Start“ menu.

Tradiční schéma vydávání operačního systému Windows znamenalo, že se po třech letech objeví nová verze. Ne vždy se toto...

Maskování videa jako nikdy dřív. Adobe slibuje revoluční jednoduchost

Maskování objektu ve videu pomocí Fast Mask

Na každoroční konferenci Adobe MAX bylo možné nahlédnout do dílen vývojářů. Nás zaujal především nástroj na rychlé...



Najdete na iDNES.cz