Lenovo’nun ürün geliştirme faciası: Superfish

On milyonlarca dizüstü bilgisayarı ‘Superfish’ casus yazılımıyla satan Lenovo, müşterilerinin gizliliğini doğrudan ihlal etmek ve onları büyük bir riske atmakla suçlanıyor. Yeni detayları ortaya çıkan yazılımın varlığını kabul etmekle kalmayıp savunmaya çalışan Lenovo ise büyük bir itibar kaybına uğrayabilir.

Ardında yatan sebepler henüz kesin olmasa da, Lenovo’nun on milyonlarca dizüstü bilgisayara casus donanım yazılım yükleyerek satmasını anlamak çok kolay değil. NSA skandallarıyla gündeme gelen ve Apple ile Microsoft gibi firmaların dahil olduğu ileri sürülen casusluk iddialarına kıyasla, Lenovo’nun ‘Superfish’ adı verilen yazılımı çok erken fark edildi.

Silinmesi hiç de kolay olmayan yazılım, Lenovo kullanıcılarının bilgisayarlarında fark ettikleri hatalar sonrasında ortaya çıktı. Kısa sürede kullanıcılar için dijital bir faciaya neden olabileceği ortaya çıkan Superfish’in, sadece ziyaret edilen web sitelerindeki reklamları değiştirmediği, aynı zamanda kullanıcıların bilgilerini sızdırdığı anlaşıldı.

Kendi adını taşıyan firma tarafından geliştirilen Superfish’in ilk göze çarpan özelliği, yaptığınız arama sonuçlarında belirecek reklamları değiştirmesi ve normalde görmeyeceğiniz sonuçlar da sunması. Bu özelliği savunan Lenovo yetkisi Mark Hopkins, kullanıcıların aranan ürüne benzer sonuçları da görerek daha iyi analiz yapabildiklerini belirtmişti.

F-Secure güvenlik firması tarafından yapılan yeni analizler, Superfish’in güvenlik ayarlarıyla oynayarak hacker’lara tarayıcı trafiğini görme imkanı verdiğini gösterdi. Söz konusu güvenlik açığı, tüm tarayıcılar için geçerli.

F-Secure mühendislerinden Timo Hirvonen, ‘Hacker’ların gizli kalması gereken tüm bilgiyi görebildiğini, bu bilgilere bankacılık işlemlerinden şifrelere ve e-postalardan anlık mesajlara kadar her türlü verinin dahil olduğunu’ söyledi.

Hirvonen’in bahsini ettiği ve ‘man-in-the-middle’ olarak ifade edilen saldırı türü hakkında, ilk olarak Facebook mühendisi Mike Shaver uyarı yapmıştı. Kısaca kullanıcıların ortaya çıkardığı sorunun gerçekliği ve fonksiyonları uzmanlar tarafından doğrulandı.

‘Man-in-the-middle‘ saldırıları, hacker’ların internet trafiğini görebilmesine ve bilgisayara sızılmasına imkan veriyor.

Cnet’te yer alan bilgiye göre Superfish’in iki temel riski bulunuyor: İlk olarak arama sonuçlarını değiştiriyor. İmgeçle Google’da aradığınız ürünün üzerine geldiğinizde benzer ve daha düşük fiyatlı ürünler de beliriyor. İkinci olarak, web tarayıcısının güvenli iletişimini ortadan kaldırıyor.

Lenovo sorunu çözmeye çalışıyor

NSA sayesinde paranoyak olan son tüketici, yaşanan sorun karşısında istihbarat ajansları veya ‘karanlık internette’ bilgilerinin dolaştığı endişesi yaşıyor olabilir. Lenovo ise bu sorunun üstesinden gelmek için ilk olarak Hopkins’in dediklerinin tersi bir açıklamayla hatalarını kabul etti. Lenovo’nun baş teknoloji şefi Peter Hortensius, “Fena batırdık” ifadesini kullanarak Superfish’in ‘internet trafiğini ifşa ettiğinden haberleri olmadığını’ söyledi. Hortensius, Superfish’in ‘alışveriş tecrübesini artırmak’ amacıyla hazırlandığını söyledi.

Farklı kulvarlarda olsa da, tıpkı Facebook’un psikolojik deneyi gibi Lenovo da ürün geliştirme aşamasında kontrolü bir an kaybetmiş görünüyor. Superfish’i silmek için araç sunan ve yazılımın tüm etkilerinin ortadan kalktığı garantisi veren Lenovo, yangını hızla söndürmeye başladı. ABD İç Güvenlik Bakanlığı da Cuma günü Superfish hakkında uyarıda bulunarak, yazılımın silinmesi için kendi çizdiği adımları sundu.

Superfish firması da Lenovo ve Microsoft ile güvenlik açığını kapatmak için işbirliği yaptıklarını söyledi. Firmadan yapılan açıklamada yazılımın güvenlik açığına neden olmadığı ve kişisel bilgi depolamadığı öne sürülürken, söz konusu sorunun dizüstü bilgisayarlar satılmaya başlandıktan sonra ortaya çıktığı’ ifade edildi. Superfish, güvenlik açığının bilinçsizce üçüncü partiler tarafından doğduğunu savunurken, Lenovo ile ortaklıklarının belirli bir ölçekte olması sayesinde sorunun daha fazla büyümediğine dikkat çekti…

Asıl neden ne?

Analistlere göre Superfish’in neden olduğu karmaşa 1990’lı yıllardan bu yana zemini hazırlanan ve kimsenin dikkat etmediği bir sürecin sonucu olarak belirdi. Mobil cihazlarda olduğu gibi dizüstü bilgisayarlara da fabrikada yüklenen yazılım ve uygulamar, kullanıcı izni olmaksının reklam sunuyor.

Cnet’e yorum yapan güvenlik firması Veracode ortak kurucusu Chris Wysopal, ‘tüketicilerin bilgisayarlarında bu tür bir güvenlik açığı olacağına inanmadıklarını ancak hem son tüketici hem de işletmelerin risk altına girdiğini’ ifade etti. Adobe Photoshop veya Microsoft Word gibi sürekli kullanılan uygulamara kıyasla, saklandığı yerden belli olmayan Superfish, kullanıcıları büyük bir riskin altına soktu.

Peter Hortensius, Superfish nedeniyle bilgilerinin çalındığını belirten bir müşteri olmadığını belirtti. Resmi bir şikayet olmasa da, güvenlik araştırmacısı Robert Graham Superfish yüklü dizüstü bilgisayarlardan şifrelenmiş yazışmaları çalabildiğini belirtti. Bunun için tek gereken, aynı Wi-Fi ağını kullanmak.

International Data Corporation (IDC) verilerine göre 2014’te en çok dizüstü satan firma olan Lenovo, geçtiğimiz yılın son çeyreğinde 16 milyon bilgisayar sattı. Superfish’in etkilediği modeller başlıca Y40, G40 ve Z50 olarak belirtildi.