Sammelklage wegen Superfish-Debakel

Das Superfish-AddOn könnte für Lenovo eine teure Angelegenheit werden. Wie die Agentur IDG News Service schreibt, wird in den USA eine Sammelklage gegen Lenovo sowie die Herstellerin der Technologie, die gleichnamige Firma Superfish angestrebt. Doch Superfish liefert nur die Technologie zur Erkennung von angezeigten Bildern. Diese wird im Superfish-Plugin eingesetzt, um ähnliche Produkte, wie die auf der aktuell betrachteten Webseite, in einem Pop-Up anzuzeigen. Der User kann dann diese in einem Webshop kaufen, Kommissionen werden fällig, Lenovo verdient daran. Lenovo-Benutzer beschwerten sich in Foren schon länger über die Werbeangebote. Doch das mediale Interesse nahm erst zu, nachdem bekannt wurde, dass das Plugin via SSL-Interception verschlüsselte Verbindungen mitlesen und theoretisch Man in the Middle-Attacken ausgeführt werden können. Diese spezielle Software-Bibliothek wird von der Firma Komodia (Seite momentan offline) zur Verfügung gestellt. Bei Lenovo wollte gegenüber IDG News Service niemand Stellung nehmen zur neusten Entwicklung.

Komodia bietet den SSL Digestor an, eine Technologie, die es Programmen erlaubt, eigene Root-Sicherheitszertifikate auszustellen und im Zertifikatsspeicher des Betriebssystems oder Browser zu platzieren. Diverse AdWare-Anbieter setzen auf die Technlogie von Komodia, wie Sicherheitsexperten von Facebook in einem Blogeitrag schreiben. Aber auch scheinbar seriöse Firmen wie zum Beispiel Lavasoft mit ihrer Anti-Adware-Software «Ad-Aware Web Companion» setzen auf diese Bibliothek.

Das Problem bei diesem Root-Zertifikats-Missbrauch ist, dass Virenscanner in der Regel keine Warnung herausgeben, wie Golem.de in einem Beitrag schreibt. Microsoft hat inzwischen bekannt gegeben, dass das hauseigene Windows-Bordmittel «Windows Defender» das Superfish-AddOn als Schädling erkennt und zwar als Trojan:Win32/Superfish.A. Microsoft kennt Superfish seit Jahren, jedoch wurde diese bisher nur als «problematisch» eingestuft. Lenovo selber hat ein Deinstallations-Tool im Angebot. Wer jedoch ganz sicher gehen will sollte manuell die Zertifikatsspeicher überprüfen. Wie das geht, haben die Kollegen vom PCtipp.ch hier beschrieben.