Klávesové zkratky na tomto webu - základní­
Přeskočit hlavičku portálu


Otestujte své PC. Závažná bezpečnostní chyba je i v některých antivirech

  15:00aktualizováno  15:00
V antivirových balících Comodo a Ad-Aware Web Companion je podle bezpečnostních odborníků stejná chyba, kterou ve svých noteboocích distribuovalo Lenovo. Umožňuje, bez ohledu na SSL certifikát, proniknout do zabezpečené komunikace webového prohlížeče se serverem.

Otestujte si, zda i váš prohlížeč nepracuje s chybnými SSL certifikáty. | foto: screenshot Technet.czProfimedia.cz

Z ostudy kabát si minulý týden ušilo Lenovo. Zjistilo se totiž, že v jejich noteboocích předinstalovaná aplikace Superfish obsahuje závažnou bezpečnostní chybu. Ta umožní prolomení zabezpečeného HTTPS spojení, které se používá například v on-line bankovnictví, přístupech do e-mailových schránek a dalších systémů.

Superfish

v noteboocích Lenovo

Jako pomoc majitelům notebooků Lenovo umístili bezpečnostní experti na webovou adresu filipo.io/Badfish jednoduchý test, který ověří, zda není počítač uživatele touto chybou ohrožen. Překvapením však bylo, že jako ohrožené byly diagnostikovány i některé počítače, ve kterých program Superfish prokazatelně nebyl.

Na pozadí problémů jsou opět reklamy

Na diskuzním fóru Hacker News se tak rozběhlo pátrání po příčině, a tou se ukázal antivirový balík Comodo, respektive jeho reklamní manažer PrivDog. Průšvih Lenova tak paradoxně pomohl odhalit nejspíše ještě závažnější chybu. 

PrivDog je aplikace, která vyhodnocuje reklamy na zobrazovaných webových stránkách a ty, které nepocházejí z „důvěryhodného“ zdroje, nahrazuje vlastními, „bezpečnými“ reklamami. Podle záměru tvůrce by se tím měl snížit počet bezpečnostních útoků, při kterých je škodlivý kód propašován na důvěryhodnou webovou stránku pomocí škodlivého kódu v reklamním baneru.

PrivDog však v rámci této činnosti „podstrkuje“ prohlížeči SSL certifikáty, které sám generuje. Což by nebylo tak hrozné, kdyby při této proceduře ověřoval pravost certifikátu vydaném komunikujícím serverem (a certifikační autoritou). PrivDog jej však neověřuje a naopak potvrdí pravost jakéhokoli „sám sebou podepsaného“ certifikátu (self-signed certificate). A ten může být i útočníkův. Zkráceně řečeno, PrivDog zcela diskredituje zabezpečenou komunikaci prohlížeče se serverem.  

Takto by to mělo vypadat. Certifikát patří provozovateli webu a je ověřený...

Takto by to mělo vypadat. Certifikát patří provozovateli webu a je ověřený autoritou. Pokud by certifikát patřil nějaké aplikaci ve vašem počítači, může to znamenat problém.

„Dokud se budou používat metody ´porušení řetězu důvěry´, vždy se stane, že to někdo implementuje naprosto špatně,“ uvedl pro americký server PC World Amichai Shulman, ředitel bezpečnostní společnosti Imperva. “Chyba v Superfish využívala všude stejný kořenový certifikát, chyba v PrivDog neověřuje certifikáty vůbec," doplnil Shulman.

Takto by to naopak vypadat nemělo. Certifikát „Bank of America“ není ověřen...

Takto by to naopak vypadat nemělo. Certifikát „Bank of America“ není ověřen autoritou, ale vydán programem PrivDog. (screenshot uživatele babawere zveřejněný na webu Hacker News)

Řešením je aplikaci okamžitě odinstalovat.

Comodo v tom není samo

Podobný problém má podle serveru Techradar i bezpečnostní program Ad-aware Web Companion od společnosti Lavasoft. Ten totiž pro zpracování zabezpečeného síťového provozu používá stejnou technologii od společnosti Komodia, jaká byla implementována v aplikaci Superfish.

Tuto technologii využívá ve svých aplikacích více softwarových společností, rozsáhlost této „bezpečnostní díry“ tedy ještě nelze odhadovat. Doporučujeme proto svůj systém otestovat jednoduchým webovým testem a postižené aplikace odinstalovat.




Nejčtenější

Fotky z letecké nehody ukazují, že cestující se neumějí zachránit

Poškozený motor letounu spolešnosti Southwest Airlines

Jestli někdo potřeboval důkaz, že cestující nesledují bezpečnostní instruktáž posádky, čerstvá nehoda letadla...

Ruská armáda zavedla do výzbroje „smrtící kombajny“. Byly i v Sýrii

BMPT Terminátor

Ruská armáda dala do zkušebního provozu deset vozidel Terminátor určených pro palebnou podporu tanků. Některá z těchto...



Pilotovi se nechtělo střílet, ale musel. Sestřelení letu KAL 902

Letoun Korejských aerolinií po nouzovém přistání na zamrzlém jezeře.

Před 40 lety sovětská protivzdušná obrana sestřelila dopravní letadlo korejských aerolinek, které se dostalo na území...

Youtuber zaplakal. V přímém přenosu mu hackeři ukradli 40 milionů

Ian Balina zřejmě během hacku přišel o více než dva miliony dolarů v...

Přijít o miliony dolarů je ve světě kryptoměn až neuvěřitelně snadné. Přesvědčil se o tom i Ian Balina, americký...

Voda na Marsu je. Chová se však zvláštně a může i levitovat

Na povrchu Marsu můžeme spatřit nejenom doklady o proudění kapalné vody v...

Dva experimenty ukázaly, že na povrchu Marsu se voda chová výrazně jinak, než jsme zvyklí. Například místní „bahno“...

Další z rubriky

Tipy pro Windows 10: automatické vypnutí touchapadu po připojení myši

Tipy a triky pro Windows 10

Naučte se deaktivovat touchpad či nastavit jeho automatické vypínání po připojení myši. Hodit se může zobrazení vybrané...

Při nahrávání v Snapchatu nemusíte držet tlačítko. Pokud víte, jak na to

Krok 9: Vraťte se na původní obrazovku. Na pravé straně se vám zobrazí šedé...

Majitelé iPhonů si mohou usnadnit pořizování videí na Snapchatu. Díky integrované funkci AssistiveTouch nemusí držet...

Prohlížeč pro tablety skryje vaše surfování, další aplikace vás uspí

Na tabletu lze seriózně pracovat i si užít zábavu.

Všestranný videopřehrávač najde i doplňkové informace, šikovná kalkulačka umí převádět jednotky i měny. Internetový...

Najdete na iDNES.cz