學承電腦台中分校

聯想被爆出預裝間諜軟體到使用者電腦上，引起巨大的爭議。但是類似的資料洩漏風險恐怕不只是聯想電腦的使用者要擔心了。Superfish 用到的涵式庫，其他的軟體也有用到，像是防毒軟體和孩童上網監控軟體，意味著非聯想電腦的使用者也要擔心了。

被指控的涵式庫是 Komodia 公司研發，Superfish 使用的這套涵式庫。除了用在 Superfish 之外，孩童上網監控軟體 Qustodio、Kurupira、Infoweise，以及 Komodia 自己的 KeepMyFamilySecure 軟體都有使用，甚至是防毒電腦安全防護軟體 Lavasoft 和 Websecure 都中標。

由於 Superfish 是針對 Windows 作業系統的網路認證動手腳　因此絕大部分 Superfish 受害者是 Windows 的用戶。瀏覽器的使用分佈上，大部分受害者是 Chrome 用戶，再來是 IE，以及一部分的 Opera 使用者，Fireofox 的受害者則相當少，因為 Firefox 不像 IE 和 Chrome 使用系統的 SSL 認證機制，而是另外獨立的機制。

Facebook 資安團隊撰文指出，他們發現以下的軟體也存在一樣的認證漏洞：

• CartCrunch Israel LTD
• WiredTools LTD
• Say Media Group LTD
• Over the Rainbow Tech
• System Alerts
• ArcadeGiant
• Objectify Media Inc
• Catalytix Web Services
• OptimizerMonitor

▲ Facebook 資安團隊分析各國 SSL 連線被 Superfish 攔截的百分比

由於這次 Komodia 涵式庫具有的屬性相當明顯，很好搜尋偵測。另外該涵式庫是設計給 Windows 8，並不會安裝在舊的作業系統上。Facebook 的資安團隊會持續跟防毒軟體業者合作，當使用者連到 Facebook 時偵測，如果感染則會提醒使用者，移除惡意軟體。

Lenovo CTO Pert Hortensius 也在 23 日發表聲明，說明他們以後不會預裝 Superfish，將與合作伙伴合力維護使用者電腦安全。防毒軟體業者如 McAfee、微軟、賽門鐵克也都更新程式，能夠偵測並移除 Superfish。另外請消費者儘速上聯想官網，下載自動清除工具，也不用擔心備份檔有 Superfish，更新後的防毒軟體將會處理掉。

(首圖來源：Beliroz， CC-BY-SA 3.0)