It-kæmpe i sikkerhedsbrøler

Ekstra software på en helt ny computer er generelt ikke populær og bliver i branchen nedsættende kaldt ’bloatware’. Men Lenovos seneste pakke af software til kunderne var ikke bare irriterende, men en decideret sikkerhedsrisiko.

Sådan lyder det fra alverdens it-sikkerhedsfolk, og derfor er kinesiske Lenovo nu endt med at tage afstand fra softwaren Superfish, som fulgte med nogle Lenovo-computere de seneste fem måneder. Det skriver Wall Street Journal.

Lenovo - verdens største producenter af pc'er - oplyser, at man ikke fremover vil installere Superfish på computerne og har sendt et værktøj ud, der gør det muligt at fjerne softwaren helt. Men omvendt mener Lenovo ikke – modsat mange uafhængige sikkerhedseksperter – at kunderne på noget tidspunkt blev udsat for en sikkerhedsrisiko.

Superfish er software, som følger med i de websider, folk besøger, for så at kunne vise alternative priser og indkøbsmuligheder henover de varer, der bliver vist på skærmen. Men måden, det sker på, griber kraftigt ind i den måde, man normalt sikrer sin kommunikation med en hjemmeside på.

Normalt vil en sikker forbindelse til en hjemmeside ske direkte mellem computer og hjemmeside og være beskyttet med et certifikat, som krypterer dataene. Men Superfish omdirigerede trafikken og lagde sig imellem, for at være sikker på at kunne læse med i, hvad der foregik.

Problemet er – udover at man så skal stole på, at Superfish ikke snager – at al sikker kommunikation fra alle de ramte computere skete med samme certifikat, som oven i købet var nemt at bryde sikkerheden i. Dermed kunne hackere potentielt placere sig i nærheden af en computer på et åbent trådløst netværk og følge med i kommunikationen.

Superfish-softwaren bliver i øvrigt registreret som en virus eller adware af mange antivirusprogrammer, fordi den griber så kraftigt ind i den normale kæde af sikkerhed på nettet.

Lenovo understreger, at det kun var på enkelte computere målrettet private kunder, at der blev installeret Superfish. Thinkpad-maskinerne, der bliver brugt af mange virksomheder, har ikke været i nærheden af softwaren.

Fænomenet med at installere ekstra software oven i styresystemet er meget udbredt, da det kan give computerproducenterne nogle ekstra dollars i kassen på et marked, hvor konkurrencen er hård og grænsen mellem overskud og underskud er papirstynd.

Princippet bliver også brugt af softwareproducenter. I Danmark har mange for eksempel fået installeret en værktøjslinje fra Ask i deres browser, fordi Java – som i mange år var nødvendig for at køre NemID – altid forsøgte at snige Ask-værktøjet med.