Klávesové zkratky na tomto webu - základní­
Přeskočit hlavičku portálu


Otestujte své PC. Závažná bezpečnostní chyba je i v některých antivirech

  15:00aktualizováno  15:00
V antivirových balících Comodo a Ad-Aware Web Companion je podle bezpečnostních odborníků stejná chyba, kterou ve svých noteboocích distribuovalo Lenovo. Umožňuje, bez ohledu na SSL certifikát, proniknout do zabezpečené komunikace webového prohlížeče se serverem.

Otestujte si, zda i váš prohlížeč nepracuje s chybnými SSL certifikáty. | foto: screenshot Technet.czProfimedia.cz

Z ostudy kabát si minulý týden ušilo Lenovo. Zjistilo se totiž, že v jejich noteboocích předinstalovaná aplikace Superfish obsahuje závažnou bezpečnostní chybu. Ta umožní prolomení zabezpečeného HTTPS spojení, které se používá například v on-line bankovnictví, přístupech do e-mailových schránek a dalších systémů.

Superfish

v noteboocích Lenovo

Jako pomoc majitelům notebooků Lenovo umístili bezpečnostní experti na webovou adresu filipo.io/Badfish jednoduchý test, který ověří, zda není počítač uživatele touto chybou ohrožen. Překvapením však bylo, že jako ohrožené byly diagnostikovány i některé počítače, ve kterých program Superfish prokazatelně nebyl.

Na pozadí problémů jsou opět reklamy

Na diskuzním fóru Hacker News se tak rozběhlo pátrání po příčině, a tou se ukázal antivirový balík Comodo, respektive jeho reklamní manažer PrivDog. Průšvih Lenova tak paradoxně pomohl odhalit nejspíše ještě závažnější chybu. 

PrivDog je aplikace, která vyhodnocuje reklamy na zobrazovaných webových stránkách a ty, které nepocházejí z „důvěryhodného“ zdroje, nahrazuje vlastními, „bezpečnými“ reklamami. Podle záměru tvůrce by se tím měl snížit počet bezpečnostních útoků, při kterých je škodlivý kód propašován na důvěryhodnou webovou stránku pomocí škodlivého kódu v reklamním baneru.

PrivDog však v rámci této činnosti „podstrkuje“ prohlížeči SSL certifikáty, které sám generuje. Což by nebylo tak hrozné, kdyby při této proceduře ověřoval pravost certifikátu vydaném komunikujícím serverem (a certifikační autoritou). PrivDog jej však neověřuje a naopak potvrdí pravost jakéhokoli „sám sebou podepsaného“ certifikátu (self-signed certificate). A ten může být i útočníkův. Zkráceně řečeno, PrivDog zcela diskredituje zabezpečenou komunikaci prohlížeče se serverem.  

Takto by to mělo vypadat. Certifikát patří provozovateli webu a je ověřený...

Takto by to mělo vypadat. Certifikát patří provozovateli webu a je ověřený autoritou. Pokud by certifikát patřil nějaké aplikaci ve vašem počítači, může to znamenat problém.

„Dokud se budou používat metody ´porušení řetězu důvěry´, vždy se stane, že to někdo implementuje naprosto špatně,“ uvedl pro americký server PC World Amichai Shulman, ředitel bezpečnostní společnosti Imperva. “Chyba v Superfish využívala všude stejný kořenový certifikát, chyba v PrivDog neověřuje certifikáty vůbec," doplnil Shulman.

Takto by to naopak vypadat nemělo. Certifikát „Bank of America“ není ověřen...

Takto by to naopak vypadat nemělo. Certifikát „Bank of America“ není ověřen autoritou, ale vydán programem PrivDog. (screenshot uživatele babawere zveřejněný na webu Hacker News)

Řešením je aplikaci okamžitě odinstalovat.

Comodo v tom není samo

Podobný problém má podle serveru Techradar i bezpečnostní program Ad-aware Web Companion od společnosti Lavasoft. Ten totiž pro zpracování zabezpečeného síťového provozu používá stejnou technologii od společnosti Komodia, jaká byla implementována v aplikaci Superfish.

Tuto technologii využívá ve svých aplikacích více softwarových společností, rozsáhlost této „bezpečnostní díry“ tedy ještě nelze odhadovat. Doporučujeme proto svůj systém otestovat jednoduchým webovým testem a postižené aplikace odinstalovat.




Nejčtenější

Bitcoin ztrácí. Ze 150 na 1 000 dolarů jej přitom dostal jeden člověk

(Ilustrační snímek)

Začátek třetího týdne nového roku není pro kryptoměny vůbec příznivý. Prakticky všechny ztrácejí na své hodnotě....

Odtud prý NASA vysílala falešné záběry z přistání na Měsíci

Lunar Crater

K nejbližšímu městu je to téměř 130 kilometrů. Okolo není nic než poušť a pár kusů dobytka, který se popásá na...



Prchající migy mířily na ostrov dánský. Američané jim chtěli dát letiště

MiG-15bis (s číslem 346 na přídi) na ostrově Bornholm. S letounem uprchl...

Během studené války se u Američanů vyvinula intenzivní touha po sovětských stíhačkách mig. Ne snad, že by je chtěli...

Jak ulovit patnáctku. Američané nabídli sto tisíc dolarů a marně čekali

MiG-15bis, se kterým ulétl severokorejský stíhač No Kum-sok do Jižní Koreje,...

Během korejské války chtěli Američané vypsáním vysoké finanční odměny zlákat některého z pilotů MiGu-15 k úletu na svou...

Proč na faktech nezáleží? Náš mozek panikaří a brání se cizím názorům

Souboj racionality a emocí (ilustrační foto)

Dohodnout se s tím, kdo s vámi nesouhlasí, je nesmírně těžké. Fakta budou dost možná překřičena emocionální reakcí....

Další z rubriky

Tipy pro Windows 10: hlasité čtení přes Edge nebo jak setřást okna

Tipy a triky pro Windows 10

Nové funkci Windows čtení nahlas můžete svěřit čtení nejen webových stránek, ale také PDF či dalších elektronických...

Microsoft si myslí, že jsou hesla překonaná a už je není třeba používat

Windows 10 Hello neoklamala ani jednovaječná dvojčata.

Společnost Microsoft uvedla, že biometrické přihlášení by mělo odbourat psaní hesel.

Software zdarma: odhalte i ta nejskrytější zákoutí Windows

Ilustrační foto

Zprostředkují spojení mezi běžným uživatelem a operačním systémem na takové úrovni, že pochopíte, proč něco nefunguje...

Akční letáky
Akční letáky

Prohlédněte si akční letáky všech obchodů hezky na jednom místě!

Najdete na iDNES.cz