«Не нашли никаких причин для беспокойства»: как Lenovo продавала ноутбуки, которые сами ломали HTTPS
In February 2015, Lenovo said it had carefully examined the Superfish program on its laptops and found no evidence of a security threat. A few hours later, it quietly deleted that phrase. During those hours, it emerged that the program intercepted all HTTPS traffic for advertising. Every laptop had the same root certificate, and the password for its key was the word komodia.
В феврале 2015 года Lenovo заявила, что тщательно изучила программу Superfish на своих ноутбуках и не нашла никаких свидетельств угрозы безопасности, а через несколько часов тихо удалила эту фразу. За эти часы выяснилось, что ради рекламы программа перехватывала весь HTTPS-трафик, на всех ноутбуках стоял один и тот же корневой сертификат, а паролем к его ключу было слово komodia, то есть название фирмы-разработчика. Рассказываю, как это работало, почему для атаки хватало сесть рядом с жертвой в кафе, чем закончилось разбирательство с FTC и 32 штатами и как через полгода Lenovo попалась еще раз, уже с кодом в BIOS, который возвращал ее программы даже после форматирования диска. Читать далее