联想Superfish事件的幕后真凶

上周，联想集团成为科技新闻的主角，因为其新出厂电脑中被发现了一款名为Superfish的恶意软件，可以修改或者伪造数字证书，威胁用户信息安全。近日，安全业界人士已经发现了这一事件的另外一个真凶一家名为Komodia的公司，该公司的网站日前已经被黑客攻破。

Superfish能够伪造数字证书，获取某一台电脑加密发出的安全信息，比如口令或者银行账户信息，这将威胁用户安全。该软件的攻击方式被称为中间人攻击，其可以拦截电脑和外界通信的部分信息。

许多的互联网网站采用了数字证书技术，相当于网站的一个身份证，借此证明自己的真实身份。但是Superfish绕过了这套安全机制，它使用了伪造的数字证书，让电脑用户将某个李鬼网站认为是真实的李逵网站。

这个伪造的数字证书来自何处？据悉来自一家名为Komodia的公司，这家公司目前已经对科技媒体作出证实。

最近，许多安全业界人士对Komodia公司的所作所为进行了调查，发现其安全漏洞还涉及了许多公司产品，安全风险要比预想的大得多。

Komodia公司提供某种软件工具，可以制造伪造的数字证书，据称目前拥有一百多家企业用户，其中包括不少的财富五百强企业。

这家公司在营销材料中自称，可以通过十分简单的用户界面，让用户拦截网站通信数据和互联网应用信息。在该公司的网站上，其将一款软件开发包公开称之为“SSL劫持者”（SSL是互联网上最广为使用的加密协议）。

据称，该公司的技术也被用于一些合法使用的软件，比如家长控制孩子访问权限的软件，以及匿名上网工具等等。

据安全公司Errata的首席执行官格拉汉姆（Rob Graham）研究发现，在提供虚假数字证书时，厂商应该向每一台电脑提供一个独立的用户密码，这样黑客要攻击这些电脑存在问题，因为要破解无数个密码。

格拉哈姆指出，Komodia公司的问题，是其所有的证书软件都采用了一个统一的密码，即公司名字“komodia”。格拉汉姆表示，他只用了三个小时，就破解了密码。

另外一个安全业界人士罗杰斯（Marc Rogers）近日也发表文章称，Komodia公司在许多的安全产品中也采用了同一个架构，这意味着虚假数字证书和单一密码的威胁，不仅仅局限于联想集团的电脑，所有曾经使用过Komodia公司产品的用户，都需要检查电脑是否存在安全风险。

这意味着Komodia公司带来的安全风险，要比预想的大得多。

到底有多少个人电脑存在Komodia公司的技术和产品？以及有多少黑客已经盯住了这些“猎物”，这仍不得而知。

在Komodia公司和Supuerfish事件的关系被曝光之后，该公司的网站已经瘫痪，可能遭到了拒绝服务攻击。

目前，一些安全人士已经开始给用户提供帮助，比如安全公司Cloudflare的工程师Filippo Valsorda已经制作了一个网页，用户可以检查是否有来自Komodia公司的产品在电脑上拦截信息。

相关阅读：

《联想：中国区销售的PC未预装Superfish软件》

《客服证实联想笔记本捆绑广告软件Superfish》

《联想回应笔记本捆绑广告软件》

《联想公布移除Superfish广告软件方法》

《美国政府：建议删除联想PC预装的广告软件》

《事态严重，联想因Superfish事件向用户致歉》