Sta facendo molto scalpore la vicenda dei computer Lenovo venduti con un programma preinstallato che si chiama Superfish che ha la sgradita conseguenza di minarne in maniera catastrofica la sicurezza. Questo software è stato fornito per un certo periodo con i nuovi computer per specifica decisione di Lenovo e solo ora ne è stata riconosciuta la minaccia.

Purtroppo è diventato normale acquistare nuovi PC di marca che hanno preinstallato non solo Windows ma anche vari software che a volte sono di dubbia utilità. Termini come bloatware o crapware sono spesso usati per questi software perché fin troppo spesso si tratta di programmi di bassa qualità che usano molta memoria e danno problemi finendo per fare più male che bene.

Il software Superfish rientra nella categoria degli adware perché intercetta attività dell’utente come le ricerche su Google e le sfrutta per proporre all’utente pubblicità connesse all’argomento della ricerca. Non è un caso che gli adware tipicamente si intrufolano surrettiziamente in un sistema, a volte venendo installati assieme ad altri programmi ma a volte come dei veri e propri malware.

Il fatto che un programma del genere venga preinstallato volontariamente su un computer nuovo dal suo produttore è un fatto che già di per sé è inquietante. La vulnerabilità causata dal programma senza che Lenovo se ne rendesse conto fin dall’inizio è un fatto estremamente grave perché oggi la sicurezza dovrebbe essere più che mai una priorità per ogni produttore.

In parole povere, il problema più serio di Superfish è che intercetta anche le connessioni criptate, quelle effettuate usando https per connettersi a un sito, usando un proprio certificato di sicurezza. Il programma non si limita a monitorare le ricerche ma ad esempio può monitorare una connessione alla propria banca.

Secondo la EFF (Electronic Frontier Foundation), i certificati di sicurezza di tutte le copie di Superfish hanno la stessa firma. Ciò significa che a un pirata informatico basta riuscire a rubarla a un utente per poter avere accesso alle connessioni in teoria protette di altre persone che stanno usando un computer con Superfish attivo.

Tecnicamente, questo si chiama attacco man in the middle, in inglese man in the middle attack, MITM o MIM, perché l’attaccante intercetta messaggi tra due parti che stanno comunicando tra di loro. Nel caso dei computer Lenovo è Superfish ad agire come man in the middle e a poter essere sfruttato per un attacco di quel tipo.

Lenovo ha preinstallato Superfish per alcune settimane tra l’ottobre e il dicembre 2014. Le lamentele dei clienti riguardo alle pubblicità indesiderate sono state sufficienti a far cambiare idea all’azienda ma ora il problema risulta ben più grave del fastidio di vedere pubblicità non richieste.

Peter Hortensius, CTO (chief technology officer) di Lenovo, ha dichiarato al Wall Street Journal che l’azienda sta lavorando per creare un software che elimini ogni traccia di Superfish dai PC sui quali è preinstallato. L’adware può essere disinstallato con le procedure standard di Windows ma lascia varie tracce nel sistema.

Nelle scorse ore, il software di rimozione è stato messo on line con la promessa che rimuove qualsiasi traccia di Superfish. È stato installato su vari modelli (foto di un Lenovo Yoga 2 Pro ©Yaoj1) e in questa pagina potete verificare se il vostro computer Lenovo ha l’adware attivo. Per chi preferisse eliminare manualmente Superfish, ci sono le istruzioni anche per fare ciò. Speriamo che almeno stavolta Lenovo abbia fatto le cose con attenzione!

Speriamo soprattutto che il problema possa essere risolto definitivamente ma si tratta di un vero disastro. Inizialmente, Lenovo aveva perfino cercato di difendere la scelta parlando della presunta utilità di Superfish minimizzando i rischi per la sicurezza. Si trattava di un’opera di pubbliche relazioni e alla fine l’azienda ha dovuto ammettere l’errore e scusarsi.

Questo caso mostra chiaramente cosa può succedere quando un produttore preinstalla un software di terze parti sui propri computer. Lenovo sostiene di non aver guadagnato cifre significative per preinstallare Superfish. Se è vero, ha subito un colpo terribile alla sua immagine per nulla e vedremo quali saranno esattamente le conseguenze per l’azienda solo con tempo.

Si tratta di un caso estremo ma davvero dovrebbe essere di lezione per tutti i produttori di computer. Sono troppi i bloatware e crapware preinstallati che per fortuna di solito non creano problemi di sicurezza ma risultano lo stesso fastidiosi in vari modi. Temo però che il caso Lenovo / Superfish non cambierà le cose.

[ad name=”TDElettronica300″]