21-02-2015
作者香港特約記者甄樹基
中國品牌聯想
聯想預載軟件
發現有洩密漏洞受影響電腦不在少數
==============================
全球最大電腦生產商聯想Lenovo的手提電腦,
被揭有嚴重安全漏洞。
聯想近月出貨的一批手提電腦預載了一款廣告軟件,
原本作用是針對用戶瀏覽內容打出同類商品的廣告,
但網絡保安專家發現,該軟件很易被黑客利用,
竊取密碼和各種敏感資料。
聯想日前表示已停止啟動該款軟件,並提供永久移除軟件的方法。
聯想的技術部門主管Peter Hortensius接受華爾街日報的訪問時表示,
一旦當解除程式完成之後,聯想將會向用戶發出移除工具,
可以將整個有問題的Superfish軟件剷除。
據美國福布斯雜誌報導,聯想指該款叫Superfish的軟件,
任務是實時分析電腦用戶上網期間看到的商品圖片,
然後打出“相同或類似、而價格可能較相宜的產品廣告”。
聯想強調,Superfish並不追踪用戶,
也不蒐集任何可用來辨認用戶身份的資料。
報導指,
預載Superfish的手提電腦數目不詳,
聯想只說在去年9月至12月間,
付運了“一些”有該軟件的手提電腦。
不過涉及的電腦數目估計不少,
事關聯想在去年第四季付運超過1600萬部手提及個人電腦。
聯想指今年1月已停止軟件的啟動,
原因是用戶投訴太多彈出式(pop-up)廣告。
但報導指,
Superfish帶來的問題,絕不只是廣告擾人,而是削弱網絡保安。
安全專家本週指出,Superfish“必預阻截網絡數據流通,才能夠加插廣告”,
這就如同竊聽一樣。
在網上傳輸敏感資料,包括網購、使用網上銀行和電郵時,
大都會用HTTPS(超文本傳輸安全協議)將資料加密。
而要啟動這功能,伺服器需有數碼憑證,
好讓用戶端認得伺服器端真實身份,
但先決條件是核發憑證的機構,
是要受到信賴的憑證頒發機構。
為了讓Superfish運作,聯想自我簽發安全憑證,
如此一來就可查看用戶的網絡交通和加入廣告。
這亦令Superfish當上了憑證頒發機構,
能夠決定信任哪些加密通訊。
令問題更嚴重的是,
Superfish在每部電腦重複使用同一份安全憑證,
因此黑客只要破解到Superfish用來簽發安全憑證的“私鑰”,
就可自行簽發安全憑證;
然後黑客就可在公共網絡(例如在咖啡店內的公共WiFi),
直闖使用同一網絡的聯想手提電腦,盜取敏感資料。
儘管暫時未有證據顯示有黑客利用這漏洞來竊取資料,
但日前有人已破解Superfish的私鑰並在網上公佈,
意味確實有被竊資料風險。
設於美國加州矽谷和以色列的Superfish公司,
暫未回應有關問題。
而聯想最初仍為此安全漏洞而強辯,
稱內部調查未發現“安全問題”,
但其後已把有關句子自聲明中刪除。
發言人滕格勒日前承認:
“我們並非說(預載Superfish)不是錯誤。它確有不足。”
聯想正檢討有關程序,
並發布了移除該軟件和有關加密驗證的詳細指引。
===============================================
中國國有公司“中糧集團(Cofco)”
新近收購
國際著名農產品經營商來寶集團(Noble Group)51%股份,
來寶將成為中糧集團的國際平台
======================================================
===================================================
英國報章報道說,
英國政府擔心中國間諜竊聽機密,
決定拆除中國電訊巨頭華為公司提供的一些會議視頻設備。
報道說,
英國內政部、司法部和檢察部門
都已經停止了使用由華為公司生產的設備。
這一事件的發展受到英國媒體的關注。
===============================================