На этой неделе стало известно о том, что определённые модели ПК компании Lenovo выходят с предустановленным на них рекламным приложением (adware) под названием Superfish - ещё один пример не самого сознательного отношения к пользовательской безопасности столь крупной компании. После этого от Lenovo начали поступать заявления, каждое из которых признавало сложившуюся ситуацию всё более серьёзной, заверяя в итоге, что программа не вела целенаправленной слежки за пользователями.

Заодно в Lenovo сказали, что пользователям давался выбор относительно того, использовать этот программный продукт или нет, что является откровенной неправдой. Весь выбор состоит в нажатии на кнопку «Принять» при первом запуске и настройке системы. Вот список устройств, на которых возможно обнаружение Superfish:

G Series: G410, G510, G710, G40-70, G50-70, G40-30, G50-30, G40-45, G50-45
U Series: U330P, U430P, U330Touch, U430Touch, U530Touch
Y Series: Y430P, Y40-70, Y50-70
Z Series: Z40-75, Z50-75, Z40-70, Z50-70
S Series: S310, S410, S40-70, S415, S415Touch, S20-30, S20-30Touch
Flex Series: Flex2 14D, Flex2 15D, Flex2 14, Flex2 15, Flex2 14(BTM), Flex2 15(BTM), Flex 10
MIIX Series: MIIX2-8, MIIX2-10, MIIX2-11
YOGA Series: YOGA2Pro-13, YOGA2-13, YOGA2-11BTM, YOGA2-11HSW
E Series: E10-30.

Особый акцент нужно сделать на слове «возможно», поскольку в Lenovo словно не уверены в точности этого списка. У Microsoft есть программа Signature, в рамках которой можно купить ноутбуки различных производителей без лишнего стороннего ПО, остальные же модели находятся целиком во власти их производителей, которые решают, какие программы устанавливать на устройства. Как бы то ни было, на официальном сайте Lenovo доступен инструмент для удаления Superfish из системы.

Производители средств сетевой защиты также не дремлют и предлагают свои варианты борьбы с Superfish. Microsoft в пятницу выпустила обновление для антивируса Windows Defender, которое удаляет не только само приложение, но и сертификат для него. Однако это не происходит при использовании браузера Firefox, где есть независимый менеджер сертификатов.

Кроме того, Lenovo работает с компанией McAfee над обновлением для её антивируса, которое также позволит удалять Superfish.

На прошлой неделе из политики приватности смарт-телевизоров компании Samsung стало известно, что устройства обладают возможностью прослушивать разговоры пользователей. Правда, делается это после произнесения кодовой фразы Hi TV!, однако само наличие технической возможности открывает дорогу ко взлому и прослушиванию всех разговоров подряд.

Чуть позже компания внесла изменения в политику приватности, говоря о том, что на сервер отправляются только определённые команды. Тут же был произнесён привычный для таких ситуаций набор слов о том, что компания серьёзно относится к собираемым данным, использует лучшие практики сетевой безопасности и никогда не даёт к этим данным доступа сторонним компаниям или лицам. Исследование британской компании Pen Test Partners показывает, что верить этим заверениям не стоит.

Исследователь Дэвид Лодж установил, что данные передаются на сервер через порт 443, открытый в большинстве маршрутизаторов, в виде сочетания данных формата XML и пакетов двоичных данных. При этом даже не используется безопасное соединение HTTPS. На сервер также отправляется информация о MAC-адресе и версии операционной системы. Ответы сервера также не зашифрованы, и специалисты смогли декодировать передаваемые данные и прочитать сказанные слова.

Исследование проводилось на поступившем в продажу в 2012 году телевизоре UE46ES8000. Samsung говорит, что её новые модели передают данные в зашифрованном виде, однако что именно означает слово «новые», не поясняется. UE46ES8000 был в момент релиза моделью верхнего сегмента с ценой $2300-$3000.

Часто говорится о том, что простые пользователи должны серьёзно относится к своей сетевой безопасности, использовать сложные и разные для каждого сайта пароли, антивирусы, файерволы и т.д. Однако крупнейшие IT-корпорации сами не подают правильного примера и не перестают удивлять своим безответственным подходом к безопасности пользовательских данных. Зачастую после случившихся взломов мы узнаём, что логины, пароли и номера кредитных карт хранятся в виде простого текста, как это было, например, при взломе сети Sony PlayStation Network.

В случае таких взломов страдают пользователи, банки, платёжные системы, однако компании вроде Samsung или Sony не несут никакого наказания. Пока такое положение дел не изменится, вряд ли можно удивляться их подходу к вопросу безопасности.

История выхода на рынок системы на кристалле Qualcomm Snapdragon 810 уже начинает напоминать сюжет низкокачественной мыльной оперы. Появившиеся поначалу слухи о том, что чип испытывает проблемы с перегревами, которые заставили Samsung перейти на собственный Exynos 7 Octa, сменились волной опровержений как от самой Qualcomm, так и её партнёров. Но первые тесты смартфона LG G Flex 2, использующего решение от американской компании, показали, что первоначальные слухи не были далеки от правды.

Дэвид Руддок, обозреватель одного из крупнейших Android-ориентированных изданий США — Android Police, в обзоре аппарата от LG сообщил, что у G Flex 2 действительно серьёзные проблемы с перегревами. Во время тестирования он заметил, что во время использования аппарата в штатном режиме производительность G Flex 2 ощутимо падала по сравнению с прошлогодним флагманом LG G3 с чипом Snapdragon 801. Для подтверждения своих наблюдений, он решил несколько раз запустить синтетический бенчмарк Geekbench, анализирующий производительность CPU и подсистем памяти. Если при первом запуске программы результаты G Flex 2 были значительно выше, чем у LG G3, но после десятого запуска показатели смартфонов фактически уравнивались, так как результат новинки со Snapdragon 810 падал на 50-60% в связи с понижением тактовых частот CPU (температурный троттлинг). Смартфоны с другими чипами от Qualcomm тоже после нескольких запусков теряли в производительности, но максимальный показатель деградации составлял не более 20% в худших сценариях. Кроме того, в некоторых задачах, критичных к производительности процессора (таких как просмотр веб-страниц), LG G Flex 2 начинал ощутимо нагреваться. По словам Дэвида Руддока, прошлогодний LG G3 с большим разрешением экрана и чипом, производённым на более старом техпроцессе, нагревается меньше, а в некоторых задачах работает ощутимо быстрее.

LG G Flex 2

Автор обзора сначала решил, что ему достался тестовый образец с диагностическим ПО, но в самой компании LG заявили, что образец коммерческий и не имеет отличий от смартфонов, которые поступят на прилавки магазинов. Тем не менее, в LG заверили, что они осведомлены о проблеме, и инженеры компании работают над устранением некоторых программных дефектов, ведущих к падению производительности и перегревам. По словам представителей корейской корпорации обновление будет готово до начала широкого распространения устройства, и покупатели смогут установить его после покупки аппарата. Сам господин Руддок не уверен в том, что ситуацию кардинально можно будет исправить программными обновлениями, хотя и не исключает такой возможности. Кроме того, по его мнению, проблемы могли возникнуть стадии проектирования смартфона с ошибками при планировании отвода тепла. Таким образом, возможна вероятность, что в других смартфонах с тем же чипом проблемы с перегревом и понижением тактовых частот можно будет избежать. Впрочем, в любом случае, если уже в коммерческом устройстве есть проблема с температурным троттлингом, то первоначальные слухи были скорее правдой, чем нет, и от создателей смартфонов потребуются нетривиальные усилия для обеспечения нормального температурного режима и высокой производительности.

Учитывая проблему Snapdragon 810, возникают опасения за систему на кристалле NVIDIA Tegra X1, в которой используется та же конфигурация ядер на том же 20-нанометровом техпроцессе, и ещё больше — за MediaTek MT6795, которая будет производиться по стандартам 28-нанометрового техпроцесса.

Вице-президент компании Mozilla Джонатан Найтингейл, отвечающий за развитие веб-браузера Firefox, собирается в марте уйти в отставку по собственному желанию. По его словам, это решение связано с накопившейся усталостью и никаких определённых планов на будущее у него сейчас нет.

Найтингейл говорит, что его уход не служит свидетельством того, что компания испытывает какие-либо сложности. Между тем, на основе ряда факторов можно прийти именно к такому выводу: доля браузера Firefox с марта 2014 до января 2015 года упала с 17,26% до 11,9%, в прошлом году компанию сразу после назначения её руководителем при скандальных обстоятельствах покинул Брендан Айк, в конце года вместо Google в качестве поисковой системы по умолчанию в браузере была выбрана Yahoo, а после компания начала просить денежные пожертвованиz на развитие своих продуктов.

Однако Найтингейл пишет, что компания сильна как никогда прежде, и что в январе её браузер скачало максимальное за долгое время количество пользователей, а на Android число скачиваний Firefox приближается к 100 млн. Также к позитивным моментам можно отнести поддержку браузером стандарта WebRTC, на основе которого работает функция Firefox Hello, избавляющая от необходимости запускать Skype для совершения видеозвонков.

К числу последних неудач относится также мобильная операционная система Firefox OS, не оказавшая никакого влияния на рынок смартфонов. Mozilla не отчаивается и снова постарается добиться с ней успеха, теперь в сегменте носимых устройств.

«Хакерские» новости в последнее время появляются с печальным постоянством. Сначала стало известно о банковских кражах, потом о происках АНБ и производителей жёстких дисков, теперь в установке вредоносного ПО уличили компанию Lenovo. Реклама, как известно, двигатель прогресса (и источник доходов), так что некоторые компании для её распространения готовы применять не самые честные приёмы. Китайского производителя обвиняют в установке приложения типа adware под именем Superfish на новые ПК. Программа активируется, когда пользователь в первый раз включает и настраивает устройство.

Superfish внедряется в браузер, подставляя в отображаемые веб-страницы, включая поисковую систему Google, собственный набор рекламы. Кроме того, устанавливается подписанный центр сертификации, позволяющий при помощи SSL-сертификатов получить доступ к безопасным соединениям с банковскими сайтами и платёжными системами, социальными сетями и прочими сайтами для отображения рекламы или слежки за действиями пользователей.

Большинство антивирусных приложений считают такие действия недопустимыми, так что предупреждают об установке Superfish или блокируют её. В самой Lenovo, которая является крупнейшим поставщиком ПК в мире, называют Superfish «удобным инструментом анализа изображений в сети, который помогает искать аналогичные продукты по более низким ценам». Однако многие пользователи вряд ли будут благодарный китайской компании за такую заботу о себе.

Пока Lenovo перестала устанавливать Superfish на свои устройства, однако может возобновить эту практику, когда производитель приложения сделает его «менее агрессивным». Superfish использует единый ключ для всех машин, и его взлом может привести к написанию злоумышленниками программ, которые будут выглядеть на устройствах Lenovo как надёжные приложения. Устранить программу из системы не столь просто, для этого недостаточно просто нажать на кнопку «удалить». На YouTube этому вопросу посвящён видеоролик.

Superfish недавно была названо четвёртой компанией США по темпам роста. Её продукты анализируют изображения на веб-страницах и ведут поиск совпадений на 700 тысячах сайтов. Компания называет себя пионером в сфере визуального поиска.