'Lenovo overtreedt wet met voorgeïnstalleerde malware'

Met de malware die Lenovo bewust meeleverde op bepaalde laptops en die ssl-verbindingen onderschept om advertenties te tonen, overtreedt het bedrijf mogelijk de cookiewet. Dat zeggen juristen tegen Tweakers. Ook maakt het bedrijf zich wellicht schuldig aan computervredebreuk.

Op het eerste gezicht lijkt het vreemd dat de malware onder de cookiewet valt, maar feitelijk is 'cookiewet' slechts een bijnaam. "Het wetsartikel waar het om gaat is eigenlijk veel breder, zegt advocaat David Korteweg. "Als er automatisch gegevens worden opgeslagen en uitgelezen, moet er om toestemming worden gevraagd", zegt hij. De grote vraag daarbij is of Lenovo toestemming van gebruikers heeft gevraagd. Het bedrijf kan zich daarbij niet verschuilen achter de algemene voorwaarden. Volgens gebruikers heeft het bedrijf geen toestemming gevraagd.

Ict-jurist Arnoud Engelfriet vermoedt eveneens dat de voorgeïnstalleerde malware onder de cookiewet valt. "Daarmee is Lenovo in overtreding van de cookiewet", aldus Engelfriet. De Autoriteit Consument en Markt zou daarom actie kunnen ondernemen tegen Lenovo.

Eerder meldde Tweakers dat Lenovo de zogeheten Superfish-advertentiemalware meelevert met bepaalde laptops. Het gaat om ingrijpende malware: niet alleen toont ze advertenties, ook injecteert de malware een eigen rootcertificaat om dat op https-sites te kunnen doen. Op die manier toont de Lenovo-malware in Internet Explorer en Chrome suggesties voor andere websites waar een product kan worden aangeschaft als een gebruiker over de website van een webwinkel surft. Daarmee toont de software niet alleen advertenties, ook wordt uitgelezen welke sites een gebruiker bezoekt om de relevante advertenties te kunnen tonen.

De Superfish-malware

Ook op andere gronden is Lenovo mogelijk in overtreding. Advocaat Korteweg denkt dat het onderscheppen van communicatie tussen gebruikers en bijvoorbeeld banken al snel te kwalificeren is als computervredebreuk, en mogelijk zelfs als aftappen. Ook ict-jurist Matthijs van Bergen vermoedt dat de malware is aan te merken als computervredebreuk. "Als je zelf een computer levert, betekent dat nog niet dat je er op mag inbreken", zegt hij. Getroffen klanten zouden daarvan aangifte kunnen doen, al is moeilijk te voorspellen of die aangifte wordt opgepakt door de politie. Ict-jurist Engelfriet durft niet te zeggen of de spyware is te kwalificeren als computervredebreuk. "Ik denk van niet", zegt hij.

Gedupeerde klanten kunnen ook zelf een rechtszaak beginnen. "Ze kunnen Lenovo aanklagen wegens het doen van een onrechtmatige daad", aldus jurist Van Bergen. Klanten moeten dan wel kunnen aantonen wat de schade is, en inbreuken op de privacy zijn moeilijk in geld uit te drukken. Daarbij maken klanten vooral kans als hun verbinding is onderschept en ze dat niet merkten doordat de Lenovo-malware gebruikers deed voordoen dat alles in orde is. "Als je kunt aantonen dat je internetverbinding is afgeluisterd en je merkte dat niet met de malware, dan kun je een rechtszaak beginnen", aldus Engelfriet.

Omdat de door Lenovo geïnstalleerde malware een eigen certificaat bevat en dat injecteert op andere websites, ook bijvoorbeeld bij internetbankieren, kunnen gebruikers niet meer controleren of de website wel goed is beveiligd. Er is immers altijd een kloppend certificaat - dat van de malware - aanwezig. Ook zouden de auteurs van de Superfish-malware in theorie gebruikers af kunnen luisteren. Belangrijk daarbij is dat het verwijderen van de malware er niet voor lijkt te zorgen dat het valse certificaat ook verdwijnt, al wordt de verbinding dan in ieder geval niet meer onderschept.

Lenovo gaf eerder al aan dat het voorlopig zou stoppen met het meeleveren van de malware, en dat de malware op reeds geleverde laptops met behulp van een software-update inactief zou worden gemaakt. Een woordvoerder van Lenovo zegt dat het de aantijgingen onderzoekt, maar gaf nu al aan 'dat de software niet kan worden bestempeld als malware'. Niet alle Lenovo-laptops zijn geleverd met de malware, maar onduidelijk is om welke modellen het gaat. Het gaat in ieder geval om de Lenovo Y50, Z40, Z50 en G50, evenals de Yoga 2 Pro, maar mogelijk zijn meer modellen getroffen. Het gaat daarbij enkel om consumentenlaptops.

Reacties (80)

[BobJung]

Dit gaat lenovo klanten kosten, vooral bedrijven.

[Anoniem: 601896]

De software werd alleen op modellen voor particulieren geïnstalleerd.

nieuws: Kopers Lenovo-laptops klagen over adware die advertenties in websites injecteert
De Superfish-adware staat op de Yoga 2 Pro-laptops van Lenovo, zo blijkt uit ervaringen van Tweakers. Ook op de supportfora van de fabrikant wordt melding gemaakt van de meegeleverde adware: gebruikers van de Lenovo Y50, Z40, Z50 en G50 stellen Superfish op hun laptop te hebben aangetroffen

[Lednov]

zoals ik hierboven al zeg, dat maakt niets uit, de naam is aangetast, of het nou wel of niet op zakelijk laptops werd geleverd is dan allang niet meer relevant.

[bbob]

Het lijkt me koren op de molen van Amerika. Lenovo is chinees ze zetten bewust malware op nieuwe pc's dus de vraag is wat zetten ze er misschien nog meer op zonder dat we het weten.

Voor de naam is dat zeker niet goed, voor het vertrouwen in het merk ook niet.

[kwakzalver]

Dat zal nog niet zo'n vaart lopen. IBM & Lenovo zijn in een LAT relatie verstrengeld.
Het afschieten van Lenovo door Amerika is hetzelfde als IBM afschieten.

Ik ben benieuwd of deze stomme aktie effect zal hebben of al die meuk die meegeinstalleerd wordt.

Superfish is gewoon een kreng. En genoeg gebruikers die hun software via appstores installeren.....zonder te weten.

Voor degene die wilt weten of ze geinjecteerd zijn:
https://filippo.io/Badfish/

[Mopperman]

En waarom dan niet?

Grote bedrijven instaleren (of laten installeren door de leverancier) hun eigen image vaak. Hierin zit vaak klant-software ingebakken zodat een sysadmin minder tijd kwijt is met basis-geneuzel. Wij doen dit bijv. ook.

Bedrijven als Lenovo, HP en Dell bieden deze optie, en zoveel andere grote spelers zijn er niet meer.

Zoals in andere artikelen werd aangehaald, betreft dit bepaalde particuliere systemen, waar het eigenlijk ook nog eens een fout betrof dat deze notificaties in beeld kwamen, het zou een opt-in zijn, geen opt-out zoals gebleken.

Consumenten PC's moeten goedkoper, en alle grote spelers op de markt proberen via alternatieven extra te verdienen. Daarom staat er altijd zoveel meuk op die machines. Lenovo komt er nu mee in het nieuws, maar ik durf te wedden dat hier net zo goed Compaq, Acer, Dell of andere speler had kunnen staan.

[Bliksem B]

Grote bedrijven instaleren (of laten installeren door de leverancier) hun eigen image vaak. Hierin zit vaak klant-software ingebakken zodat een sysadmin minder tijd kwijt is met basis-geneuzel. Wij doen dit bijv. ook.

Voor de zakelijke markt maakt het theoretisch niets uit, het belangrijkste is geld. Een bedrijf zal altijd een offerte vragen en op basis van wie in verhouding de goedkoopste is (inc service, kwaliteit hardware, etc), word genomen als leverancier. Tot zover geen impact, maar stel dat HP een soortgelijke offerte maakt dan zal op basis van imago een keuze worden gemaakt.

Consumenten PC's moeten goedkoper, en alle grote spelers op de markt proberen via alternatieven extra te verdienen. Daarom staat er altijd zoveel meuk op die machines. Lenovo komt er nu mee in het nieuws, maar ik durf te wedden dat hier net zo goed Compaq, Acer, Dell of andere speler had kunnen staan.

Zoals ik al aangaf in Bliksem B in 'nieuws: Kopers Lenovo-laptops klagen over adware die advertenties in websites injecteert' , het wordt maar eens tijd dat Microsoft voorwaarden gaat geven voor het leveren van extra adware. Op deze manier krijgt niet alleen Lenovo een slechte naam, maar Windows in het algemeen. Hoeveel mensen schreeuwen er wel niet dat Windows k*t is en Apple zo veel beter/simpeler/veiliger. Nu ben ik het daar niet mee eens, maar dit soort praktijken zorgt mede voor dergelijk uitspraken.

[Mopperman]

Je vergeet dat de multinationals vaak juist 1 partner selecteren voor het leveren van hun hardware voor x-periode. Dit om standarisatie van images e.d. mogelijk te maken. Verder helemaal met je eens.

[Bosmonster]

Het werd alleen geinstalleerd op laptop-modellen die bedoeld zijn voor de particuliere markt. Dat is heel iets anders dan dat ze alleen aan particulieren worden geleverd.

Het kan dus prima dat bedrijven met deze laptops opgezadeld zitten, als ze ze gewoon zelf aangeschaft hebben.

[Lednov]

Hoewel het niet op zakelijke laptops werd meegeleverd is dat goed mogelijk. De naam of het merk is nu aangetast. Men zal bij aanschaf toch dit voorval herinneren of bij gebruikservaringen tegen komen als ze zoeken op Lenovo.

Erg zonde, en nog meer om er een VVDtje tegen aan te gooien en te roepen dat het niet als malware is te noemen...

[mxcreep]

Tsja, ik moet heel eerlijk zeggen dat ik bij laptops toch altijd al meteen een schone installatie doe als ik ze krijg. Ik hoef zowieso al die fabrikant rommel niet. Ook geen bluetooth en camera drivers meer erop. As clean as possible.

En persoonlijk vind ik de Thinkpadjes nog steeds fijne laptops, niet mooi wel degelijk...

[Reactie gewijzigd door mxcreep op 24 juli 2024 06:08]

[bento smit]

Een schone installatie is leuk en aardig. Maar mensen zoals mijzelf, die toch al het een en ander van computers weten. Zullen nog steeds met drivers van bijv. Laptop moederborden aan het puzzelen zijn. Tuurlijk is het te doen. Maar soms neemt gemakzucht de wil over, zeker als ik anders urenlang over forums moet struinen om alles lekker aan het draaien te krijgen.

Edit: dit betekent natuurlijk niet dat ik niet meteen de eBay link e.d. eraf haal. Dat is nog wel te doen.

[Reactie gewijzigd door bento smit op 24 juli 2024 06:08]

[Thystan]

Succes met de firmwarematige backdoors die er in zitten aldus de MI5 (GCHQ): http://www.afr.com/p/tech...ty_HVgcKTHp4bIA4ulCPqC7SL

[stresstak]

Hoewel het niet op zakelijke laptops werd meegeleverd is dat goed mogelijk. De naam of het merk is nu aangetast. Men zal bij aanschaf toch dit voorval herinneren

Rancuneuzen zoals ik zullen het zeker onthouden.
Het wordt niet (?) op zakelijke apparaten meegeleverd. Maar als het nou niet opvalt op de gewone laptops en het werkt goed, zou je dan niet heel stiekem overwegen het voorzichtig te gaan toepassen op enkele zakeleijke laptops en dat later uitbreiden. ? Ik wel, als ik toch vals bezig ben.

Lenovo, onthoud die naam.!

[Deveon]

De zakelijke klanten die op het standaard image van de fabrikant werken zijn toch wel erg minimaal. Dan praat je hooguit over het MKB en niet een multinational die duizenden van die dingen besteld.

Die MKB'ers werken dan ook wel op apparatuur die gericht is op de particuliere markt waardoor ze hier zeker door getroffen kunnen zijn.

[Reactie gewijzigd door Deveon op 24 juli 2024 06:08]

[veltnet]

Vergeet niet dat alle MKB bedrijven bij elkaar groter zijn dan de groot-bedrijven/multinationals

[Freakiebeakie]

ik wou net zeggen, zeg maar byebye zwaai zwaai tegen je klanten.
zeer slechte zaak voor lenovo. ik was al niet te spreken over Lenovo en dit gevoel is alleen maar sterker geworden

[Niemand_Anders]

Ik denk dat het wel meevalt met het aantal klanten dat weg loopt. De gemiddelde consument heeft op dit soort momenten het geheugen van een goudvis. Na enkele dagen zijn ze dergelijke incidenten alweer vergeten..

[Moogles]

Ik hoop dat je je hierin vergist, anders ben ik de enige die geen enkel Sony product meer koopt na het rootkit fiasco.

[kdekker]

MKB misschien. Grotere bedrijven vragen een schone machine, of zetten er zelf direct een eigen image op.

edit: ik zie dat anderen al hetzelfde gezegd hebben...

[Reactie gewijzigd door kdekker op 24 juli 2024 06:08]

[knirfie244]

Ik ken maar weinig bedrijven die een laptop met OS kopen, of als er een OS bijgeleverd is het originele OS erop laten staan...

Dit zal de meeste bedrijven een zorg zijn, die kijken meer naar totale kosten (aanschaf, onderhoud, up-time, garantie, etc).

[loewie1984]

Superfish is 'nasty as hell', ik heb het eens een keer op mijn eigen computer gehad (geen lenovo) en dan ben je gewoon zwaar de sjaak. Het nesteld zich in je appdata en wordt geladen als add-in van Internet Explorer en als extensie in Google Chrome.

Op een bepaald moment krijg je gewoon de website die je juist wilt zien, niet eens meer voor ogen en wordt echt alles weggekaapt door die visuele reclame.

Ik snap ook niet dat er mensen zijn die plezier beleven aan het maken van dit soort software om andere mensen het leven zo zuur mogelijk te maken. En dat Lenovo hier zo zwakjes mee omgaat vind ik een nog kwalijkere zaak..

[Jorick]

Los van vraag of de mensen die het maken er plezier aan beleven vraag ik mij eerder af waarom fabrikanten denken klanten hier een plezier mee te doen? Want dat doen ze alles behalve. De consument ziet liever helemaal geen reclame. De enige rede die ik kan bedenken is dat ze er zelf beter van worden ten koste van de klant. Uiteindelijk schieten fabrikanten zichzelf in de voet omdat dit soort praktijken ze gewoon klanten gaat kosten.

[Reactie gewijzigd door Jorick op 24 juli 2024 06:08]

[Anoniem: 601896]

Korting op de aankoopprijs.
Per Nederlander, wordt er jaarlijks ongeveer[b] €177[/b] aan online-advertenties verdient. Wereldwijd gaat het om een markt van [b]100 miljard[/b].

Die reclame is ook de reden dat op androids standaard google play services worden geleverd. En code voor google adwords & apple i-ads in heel veel apps worden verwerkt.

[Reactie gewijzigd door Anoniem: 601896 op 24 juli 2024 06:08]

[Jorick]

Als dat zo is dan moeten ze dat vermelden bij de aankoop, niet stiekem wegwerken of achteraf toevoegen zoals Samsung laatst deed met hun Smart TV's. De shareware die ze meeleveren is al erg genoeg maar dat is niet van invloed op de werking van SSL of andere software, dit gaat toch wel een stapje verder.

Dit soort gezeik is de rede waarom ik als eerste een schone installatie uitvoer bij nieuwe apparaten terwijl het eigenlijk gewoon geleverd zou moeten worden zonder die meuk. Wat mij betreft bieden ze het desnoods als optie aan waarmee je deze rommel voor een paar euro kan 'afkopen'.

[PdeBie]

Ik snap ook niet dat er mensen zijn die plezier beleven aan het maken van dit soort software om andere mensen het leven zo zuur mogelijk te maken.

Die mensen krijgen daar waarschijnlijk ook gewoon voor betaald. Zeker aangezien het hier om bewust geïnstalleerde malware gaat.

[Anoniem: 457607]

Helemaal mee eens. Ik heb onlangs een soortgelijk programma geinstalleerd gekregen, het ontpopt zich als "bigdeals" maar heet officieel anders.

Het nesteld zich in control panel -> software, de registry, in de browser, het disabled internet opties, het negeert een browser reset en is handmatig niet te uninstallen, althans dat lukte me niet.

Het bederft de complete gebruikservaring bij browsen, lukraak popups, normale links op websites worden overruled, willekeurige enquetes en auto playing videos.

En dan noemt men dit een "potentially unwanted program"? Het is gewoon een fucking stuk slijk. Lenovo heeft heel wat goed te maken. Dit disablen of iets terugschroeven is geen acceptebele oplossing. Compleet verwijderen en een hele dikke excuusbrief is op zijn plaats. Anders zal ik het merk in ieder geval nooit meer kopen, en het ook niet meer aanraden (de hele familie komt bij mij voor advies).

[Titan_Fox]

Bij aanschaf van een nieuwe computer of laptop is het sowieso altijd verstandig om je harde schijf te formatteren en je besturingssysteem opnieuw te installeren, zeker bij het gebruik van Windows. Fabrikanten proppen er vaak zo veel troep in dat het gewoon niet meer leuk is.

[Titan_Fox]

Lenovo was toch hard op weg om een van de beste computermerken te worden, maar op deze manier zijn ze wel bezig om de poten onder hun eigen stoelen door te zagen.

[Anoniem: 270261]

volledig mee eens, lenovo is een van de betere merken voor zowel particulier als business.
ik heb voor men onhandige ouders een s540 gekocht. deze is nu toch al regelmatig de grond op gevallen en enkel het toetsenbord ledlicht werkt niet meer, een relatief goedkope laptop van zeer goede kwaliteit.

persoonlijk is men laptop keuze: Business: HP, Lenovo. particulier: Lenovo, MSI, Acer

[kiang]

Inderdaad. Ik zou Lenovo niet meer voor aankoop overwegen nu. En erger nog: Ze hebben motorola overgenomen. Als ze dit durven, wie zegt dat ze dergelijk walgelijke praktijken niet gaan toepassen in je smartphone?

[Anoniem: 112442]

Lenovo was toch hard op weg om een van de beste computermerken te worden, maar op deze manier zijn ze wel bezig om de poten onder hun eigen stoelen door te zagen.

Meer "een van de grootste computermerken te worden".

Ze zijn op het gebied van Notebook IMO flink kwaliteit aan het inleveren.
Kijk een naar de T430(s) = goed en de T440(s) = is een stuk minder goed.
De bouwkwaliteit is minder en de ze grote touchpad touchpad gebruikt waarbij de bekende Lenovo (IBM) knoppen ontbreken. IMO een flinke achteruitgang.

[Reactie gewijzigd door Anoniem: 112442 op 24 juli 2024 06:08]

[Anoniem: 406468]

Ik was altijd erg tevreden over Lenovo, totdat ze met dit soort praktijken begonnen. Dit is overigens niet de eerste keer dat zoiets voorkomt, Lenovo heeft al vaker op Tweakers.net gestaan en Reddit boosgemaakt met adware en malware.

Lenovo zal nooit een enkele cent meer van me zien, en ik raad iedereen af Lenovo's te kopen. Mijn haat tegen dit soort praktijken gaat ver genoeg om iedereen die een nieuwe computer nodig heeft andere bedrijven aan te raden en ze zover mogelijk weg te sturen van Lenovo. Laat ze maar leren respectvol met hun klanten om te gaan. En zoniet, laat ze maar de grond in zakken.

[Anoniem: 601896]

Kortom, het had wel gemogen als ze net als velen anderen wat tekst toe hadden gevoegd in de therms and conditions die je bij het eerste gebruik moet accepteren?

Vooral het kapot maken van het SSL systeem vind ik zeer kwalijk van de malware.

[Flaggie]

nee dat mag dus niet, staat ook in de tekst: Het bedrijf kan zich daarbij niet verschuilen achter de algemene voorwaarden".

voor zover ik de cookiewet ken (en dat is niet zo heel goed), moet er expliciet toestemming gevraagd worden. Dat lijkt me niet kunnen met de algemene voorwaarden.

Anders zouden potentieel bedrijven computerverkopers kunnen benaderen en ze een geld bedrag betalen om in hun voorwaarden op te nemen dat mensen alle cookies accepteren, zodat geen enkel bedrijf de pop-up meer hoeft te geven van mogen wij cookies plaatsen.

[Reactie gewijzigd door Flaggie op 24 juli 2024 06:08]

[Anoniem: 601896]

Als je dus permanent en herhaaldelijk een pop-up met de informatie:

Dit zijn de gegevens die we van u verzamelen

• 1.Gegevens die u aan ons levert. [...]
• 2. Gegevens die we ontvangen op basis van uw gebruik van onze services.[..]

[akkoord] / [nee, we vragen het u in de toekomst nogmaals]

Zou doen verschijnen tot iemand op akkoord klikt zou je de gegevensverzameling en advertentieweergave wel mogen doen volgens de wet?

[Flaggie]

Zoals ik zeg ik ken de wet niet goed, maar ik zou zeggen dat dat mogelijk zou zijn, met de toevoeging van permanent nee zeggen.

[Anoniem: 601896]

De praktijk van we blijven stalkachtig pushen met acceptatieverzoekjes lijkt mij gewoon legaal en wordt ook door de grootste adverteerder ter wereld gebruikt.

Misschien tijd voor wetgeving die burgers daartegen beschermt.

[sebastienbo]

Zelf als het in hun terms en conditions staat is het wettelijk niet geldig.
Want die terms & conditions kunnen enkel geldig zijn als je er mee akkoord was tijdens de aankoop in de winkel, als je de terms en conditions pas krijgt nadat je de aankoop al gedaan hebt, dan zijn dat vijgen na pasen, jij kon die terms en conditions niet kennen tot pas NA de aankoop.

Bij software downloads en installaties is dat anders, daar worden je die terms & conditions verlicht op te acepteren anders installeerd het zich niet, als het zich wel zou installeren dan zijn de terms en condition niet afgedwongen namelijk, dan kan je zeggen dat je ze gezien hebt maar dat je niet akkoord was en dat je het dus weggeklikt hebt...dus leken de terms en conditions optioneel.

Maar dus voor terug te komen naar deze zaak, terms en conditions zijn niet geldig als je er niet van op de hoogte was voor de aankoop en dat het substantieel deel uitmaakt van het eigenlijke gebruik van die laptop. optionele software nadien bij de eerste opstart kan je wel nog verplichten tot het accepteren, maar het mocht dan geen deel uitmaken van het geadverteerde basis gebruik van dat toestel.

Hopelijk heeft niemand schade opgelopen...of nog erger dataverlies of diefstal...stel je voor dat dit kwaadwillig door hackers gebruikt word tijdens je sessie naar je bank...(heel goed mogelijk dat je deze malware wijzigd zo dat het alles doortunneld naar de kwaadwillige hackers of dievenbendes)

[Reactie gewijzigd door sebastienbo op 24 juli 2024 06:08]

[Rudie_V]

Dat ze de cookiewet overtreden zal me eigenlijk een zorg zijn, de cookiewet rammelt toch aan alle kanten(vaak accepteer cookie of verlaat site), dat ze je computer bij voorbaat al afleveren met malware baart me juist wel zorgen.
Maarja, is het malware simpel een programmaatje dat advertenties toont of echt 'kwaadaardige' software? Je mag toch software meeleveren die advertenties toont, dat doen de nodige freeware programma's ook, de zogenaamde pup's of potentionally unwanted programs.

[borft]

Heb je wel gelezen wat het doet? Het installeert een eigen CA. Dat betekent dat ze alle ssl verbindingen met een man-in-the-middle kunnen afluisteren. Nog erger, omdat ze dat doen, moet de private key ook op je systeem aanwezig zijn. Dat betekent dat kwaadwillende hackers even zo'n laptopje halen, en dan vervolgens alle Lenovo laptops met die rommel op het hele Internet kunnen afluisteren. Effectief maken ze de hele chain of trust van SSL stuk!

[Rudie_V]

Ze installeren geen CA, maar een rootcertificate. Maar verder heb je blijkbaar gelijk, want afluisteren van het verkeer blijkt mogelijk.
nieuws: Https-verkeer Lenovo-laptops af te luisteren dankzij meegeleverde malware
Het is nu dus zeker malware en geen advertentie software.

[borft]

potato potato, een root certificate wordt uitgegeven door een CA (certificate authority). Wat Lenovo doet is een zelf gegenereerd certificate toevoegen als root certificate, waardoor ze zichzelf effectief een CA maken. Wat ook vervolgens weer betekent dat ze voor elk domein en geldig certificate kunnen genereren, on the spot! scary

[willemd]

Als dit zo makkelijk gaat, betekent dat dan dat het hele model van "versleuteld internetten" helemaal lek is? Door een enkel certificaat toe te voegen kan je computer al niet meer onderscheiden wat veilig is en wat niet..

[borft]

ja! In principe kan je op deze manier certificaten genereren die door je computer als geldig worden gezien (omdat Lenovo een CA heeft toegevoegd). In principe zou je dus on-the-fly voor elke site die je laptop tegenkomt, een geldig certificate kunnen genereren, en vervolgens al je netwerk verkeer kunnen omleiden en decrypten voor analyse, zonder dat je het doorhebt.

Effectief hebben ze de chain of trust gesloopt!

[arjankoole]

Effectief hebben ze de chain of trust gesloopt!

Nee, effectief hebben ze de chain of trust omzeild, door een computer te leveren welke hun CA expliciet vertrouwd.

Opzich is dat niet vreemd, immers, jouw computer vertrouwd standaard een hele vloot CA's, waaronder die van de Nederlandse staat. (Kijk maar in de lijst).

Waar het grote verschil zit, is dat dit vertrouwen niet intrekbaar is, toen diginotar door de mand viel, trokken alle partijen snel het vertrouwen in, en ieder certificaat ondertekend door diginotar was direct niet meer vertrouwd. (Met prachtige alarm meldingen en rode browser balken als gevolg). Daar is waar de chain of trust omzeild wordt.

ditzelfde geintje wordt uitgehaald door virusscanners trouwens, die nestelen zich regelmatig als transparante proxy tussen de browser en de website, en voeren daarmee effectief een MITM uit. Omdat de scanner bij instalatie een root ca toevoegd aan de OS chain, blijft dat volledig onopgemerkt. Ze doen dat om een goede reden, malware verspreiders gebruiken graag SSL sites, omdat die eerst niet tijdens transport al geanalyseerd konden worden. Dat zorgde nogal eens voor een infectie. In weze wordt daar de chain niet doorbroken, omdat jij als gebruiker toestemming geeft voor de instalatie van de scanner. Sterker nog, je wil juist dat die alles scanned.

[SiC123]

Firefox gebruiken, die heeft eigen lijsten met certificaten.

[Anoniem: 541518]

Hoe deinstall je deze malware het makkelijkst?

[pimskie]

Ik heb het zelf niet geprobeerd / getest, maar hier staat het in de laatste alinea en in de 1e reactie: nieuws: Kopers Lenovo-laptops klagen over adware die advertenties in websites injecteert

[S_Chief]

Als je 100% zeker wil zijn kan je een clean install van Windows doen (zou mijn voorkeur hebben iig!).

[stresstak]

Hoe deinstall je deze malware het makkelijkst?

Ik zou bijna zeggen: keil het apparaat door het raam van de leverancier en vraag je geld terug

[Anoniem: 541518]

De laptop is van mijn vriendin... Andere suggesties ?

[churchill9]

Het nestelt zich in windows je kan het verwijderen maar ik heb altijd het gevoel dat er resten achterblijven.
Als het mogelijk is herinstalleer windows dan.

[Anoniem: 541518]

Ja dat is laatst al gebeurd. We hadden namelijk last van wifi problemen en een (andere)driver update gaf geen betere prestaties. Dank voor de reacties!

[LOTG]

Mee eens dat het gewoon computervrede breuk is om een man in the middle uit te voeren bij SSL verbindingen. Dit geeft ze gewoon de kans om alles maar vrolijk te volgen. Veel criminelen zullen wel jaloers zijn hoe eenvoudig Lenovo dit voor elkaar heeft gekregen.

[Quilt]

Grootste risico is het feit dat dit certificaat kan gebruikt worden door valse phishing sites, waarbij de gebruikers met geimpacteerde toestellen van Lenovo dit niet gaan zien.

Langs de andere kant: eventuele schade kan je dan op Lenovo verhalen.
Ik denk dat ze redelijk diepe zakken hebben.

[Philip J. Dijkstra]

Wow, als dit niet strafbaar is vraagt het om een wetsaanpassing. Wie garandeerd mij dat kwaadwillenden niet meeliften op Lenovo's malware en mijn Paypal/ING/Steam wachtwoord onderscheppen? Wat betekent een beveiligde verbinding nog als dit legaal is en andere partijen dit straks ook gaan doen?