Il y a des idées du service marketing auxquelles les ingénieurs devraient avoir le pouvoir de s’opposer. Le constructeur Lenovo s’attire depuis plusieurs semaines les flammes de ses clients après avoir pris la décision de pré-installer un adware nommé Superfish, qui a pour effet d’injecter de la publicité dans les pages web visitées par ses clients. Il croit même pouvoir en faire un argument commercial.
« Superfish est fourni uniquement avec les produits Lenovo et c’est une technologie qui aide les utilisateurs à trouver et découvrir des produits visuellement. La technologie analyse instantanément les images sur le web et présente des produits identiques et similaires qui peuvent avoir un prix inférieur, en aidant les utilisateurs à chercher des images sans savoir exactement comment s’appelle un objet ou comment le décrire dans un moteur de recherche textuel« , justifiait le mois dernier un administrateur du forum de Lenovo.
Mais loin d’être un service rendu à ses clients, l’adware s’avère être une porte ouverte au piratage de leurs données personnelles. Superfish utilise des certificats cryptographiques auto-signés, qui lui permet de scanner le contenu des pages en principe protégées par une connexion SSL, tout en faisant croire à l’utilisateur qu’il navigue de façon sécurisée.
Pire, « de nombreux utilisateurs notent que la même clef privée est utilisée sur tous les ordinateurs disposant du programme Superfish. Ce qui signifie que si une personne malintentionnée parvenait à mettre la main sur cette clef, en réussissant à extraire la clef chiffrée présente dans le certificat, pourrait facilement intercepter le trafic provenant des ordinateurs Lenovo connectés sur un wifi public, sans que ceux-ci ne se rendent compte de la manœuvre« , souligne ZDNet.
Or le pire est effectivement arrivé. Un chercheur en sécurité a réussi à découvrir le mot de passe permettant de déchiffrer le certificat. « Je peux désormais utiliser cela pour réaliser une attaque de type Man-In-The-Middle contre les portables Lenovo », écrit Robert Graham. Le mot de passe était « komodia », ce qui est le nom d’une entreprise dont le métier est justement de proposer des solutions de détournement du trafic SSL. La firme avait réalisé cette vidéo en 2008, pour montrer comment son SDK pouvait être utilisé pour intercepter des communications de Gmail sans alerter l’utilisateur :
https://youtube.com/watch?v=MxG-B8Zcv04%3Frel%3D0%26controls%3D0%26showinfo%3D0
+ rapide, + pratique, + exclusif
Zéro publicité, fonctions avancées de lecture, articles résumés par l'I.A, contenus exclusifs et plus encore.
Découvrez les nombreux avantages de Numerama+.
Vous avez lu 0 articles sur Numerama ce mois-ci
Tout le monde n'a pas les moyens de payer pour l'information.
C'est pourquoi nous maintenons notre journalisme ouvert à tous.
Mais si vous le pouvez,
voici trois bonnes raisons de soutenir notre travail :
- 1 Numerama+ contribue à offrir une expérience gratuite à tous les lecteurs de Numerama.
- 2 Vous profiterez d'une lecture sans publicité, de nombreuses fonctions avancées de lecture et des contenus exclusifs.
- 3 Aider Numerama dans sa mission : comprendre le présent pour anticiper l'avenir.
Si vous croyez en un web gratuit et à une information de qualité accessible au plus grand nombre, rejoignez Numerama+.
Si vous avez aimé cet article, vous aimerez les suivants : ne les manquez pas en vous abonnant à Numerama sur Google News.
