«Не нашли никаких причин для беспокойства»: как Lenovo продавала ноутбуки, которые сами ломали HTTPS
В феврале 2015 года Lenovo заявила, что тщательно изучила программу Superfish на своих ноутбуках и не нашла никаких свидетельств угрозы безопасности, а через несколько часов тихо удалила эту фразу. За эти часы выяснилось, что ради рекламы программа перехватывала весь HTTPS-трафик, на всех ноутбуках стоял один и тот же корневой сертификат, а паролем к его ключу было слово komodia, то есть название фирмы-разработчика.Рассказываю, как это работало, почему для атаки хватало сесть рядом с жертвой в кафе, чем закончилось разбирательство с FTC и 32 штатами и как через полгода Lenovo попалась еще раз, уже с кодом в BIOS, который возвращал ее программы даже после форматирования диска. Читать далее