Ďalšie fiasko Lenova, problematický softvér inštaluje dokonca sám BIOS

Značky: bezpečnosťLenovo

DSL.sk, 13.8.2015

Spoločnosť Lenovo zažíva v krátkom čase už tretí incident týkajúci sa predinštalovávaného softvéru na jej počítačoch a opäť majúci aj bezpečnostné dôsledky.

Opäť nejde o púhe technické chyby v softvéri ale o problematické rozhodnutie o predinštalovávaní softvéru, ktoré nakoniec spoločnosť po kritike zmenila.

Agresívny BIOS

Aktuálny tretí incident je zaujímavý už aj samotným agresívnym mechanizmom, ktorým Lenovo zabezpečuje prítomnosť svojho softvéru.

Ako sa totiž zistilo, spoločnosť svoj softvér pre Windows s označením Lenovo Service Engine, LSE, vložila priamo do BIOS-u svojich počítačov. Jeho spúšťanie a inštaláciu na verziách Windows 8 a vyšších zabezpečuje pomocou zabudovanej technológie Windows Platform Binary Table, WPBT, vo Windows.

Softvér sa tak nainštaluje do Windows sám a vždy, aj keď užívateľ uskutoční napríklad čistú inštaláciu z oficiálneho inštalačného média Windows od Microsoftu.

Ilustračný obrázok, vtipkovanie HP na účet Lenova v prípade kauzy Superfish z februára

Cez WPBT môže BIOS informovať operačný systém Windows o zámere spustiť softvér zahrnutý v BIOS-e, pričom Windows od verzie 8 tento softvér spustí. Technológia, ktorá je pomerne veľkým zásahom do oddelenia firmvéru a operačného systému, je určená na niektoré opodstatnené ciele nezabezpečiteľné inak. Napríklad BIOS môže týmto spôsobom inštalovať softvér proti krádeži do Windows aj po vyčistení respektíve výmene disku ukradnutého počítača a zabezpečiť jeho vypátranie.

Lenovo funkciu ale využíva na spustenie a nainštalovanie softvéru Lenovo Service Engine, ktorý odošle do Lenova niektoré základné telemetrické údaje a na notebookoch inštaluje softvér OneKey Optimizer. Ten ponúka napríklad aktualizáciu ovládačov ale aj ďalšie optimalizácie, pre niektorých užívateľov môže byť nechceným softvérom ale hlavne jeho funkčnosť ho zrejme neopodstatňuje na takýto agresívny spôsob inštalácie.

Odkedy bol takýto softvér v BIOS-e prítomný u notebookov nie je jasné, u desktopov to malo byť od októbra minulého roka.

V prípade notebookov mal byť prítomný aj u modelov dodávaných s Windows 7. Ako si zabezpečoval inštalovanie v tomto prípade zatiaľ nie je jasné, jednou možnosťou je priame prepisovanie disku BIOS-om.

Opäť bezpečnostné dôsledky

Podobne ako u predchádzajúcich problémov boli navyše v softvéri a jeho inštalácii cez WPBT identifikované vážne bezpečnostné zraniteľnosti.

Lenovo zatiaľ nezverejnilo detailné informácie, čo zraniteľnosti umožňujú. V prípade notebookov ich závažnosť ale označuje za vysokú a odporúčaným riešením je softvér Lenovo Service Engine z BIOS-u aj Windows odstrániť respektíve ho deaktivovať.

Problematickým je aj časovanie zverejnenia týchto informácií. Lenovo sa o zraniteľnostiach dozvedelo už pred niekoľkými mesiacmi a v apríli a máji vydalo nové verzie BIOS-u zrejme vypínajúce alebo odstraňujúce LSE. O bezpečnostných problémoch ale informovalo až na konci júla.

Nový BIOS sa zrejme neinštaluje automaticky a doteraz si ho tak zrejme inštalovala len malá časť užívateľov.

Samotné Lenovo začalo používať na nových počítačoch BIOS s vypnutým LSE od júna.

Postihnuté modely

Problém sa netýka značiek Think, z notebookov sa týkal napríklad modelov Y40-80, Z41-70, G70-80, Flex 2 Pro 15, Flex 3, Yoga 3.

Kompletný zoznam postihnutých modelov je možné nájsť v oznámení Lenova.

Odporúčania

Pre notebooky je odporúčané nainštalovať novú verziu BIOS-u, zoznam odkazov na stiahnutie BIOS-ov pre jednotlivé modely je možné nájsť v oznámení Lenova pre notebooky.

Následne je potrebné spustiť nástroj LSE Windows Disabler Tool pre notebooky, ktorý odstráni službu LSE a uskutočnené zmeny.

Pre desktopy k dispozícii aktualizované BIOS-y nie sú, vypnúť funkciu je potrebné manuálne v sekcii Security v nastaveniach BIOS-u.

Následne je potrebné použiť verziu nástroja LSE Windows Disabler Tool pre desktopy.




Najnovšie články:



Diskusia:

backdoor Od: Bobbb | Pridané: 13.8.2015 18:20 Odporucam si precitat toto ..... velmi podobne: http://dopice.sk/en9 Odpovedať Známka: -7.1 Hodnotiť:

Re: backdoor Od reg.: roob_ | Pridané: 13.8.2015 18:39 mhmm.. 21 stran. Daj sem vycuc na 1 vetu. Btw. ten tvoj link nefunguje. Odpovedať Známka: 4.3 Hodnotiť:

Re: backdoor Od: zlobik ten stredny | Pridané: 13.8.2015 18:40 ze ano Odpovedať Známka: 10.0 Hodnotiť:

Re: backdoor Od: syntaxTerrorX | Pridané: 13.8.2015 19:16 A to vážne chcú, aby si to zákazníci ešte aj fixovali za nich? Nenavštívil každého z takto zasiahnutých zákazníkov zástupca spoločnosti Lenovo s najnovším neupraveným top modelom danej rady na výmenu? Veď tvrdia, že práve kvôli riešeniu takýchto situácií zbierajú osobné údaje o zákazníkoch. Odpovedať Známka: 6.4 Hodnotiť:

Re: backdoor Od: homosexuálne decentné hovädo | Pridané: 13.8.2015 19:49 Ved lenovo je ten mesiac Pluta neeee? Odpovedať Známka: 3.3 Hodnotiť:

Re: backdoor Od reg.: roob_ | Pridané: 13.8.2015 20:16 mas to popletene :) Pluto je kresleny pes a mesiac sa pise s velkym M a obieha tu nedaleko 400k km... Odpovedať Známka: 10.0 Hodnotiť:

Nezájem. Od: MH SR | Pridané: 13.8.2015 20:53 V Slovenskom právnom systéme nie je bytie transneptúnskym objektom ani bytie animovanou postavou definované ako poľahčujúca okolnosť. Na základe porušenia zákona o ochrane spotrebiteľa - Zákon č. 250/2007 Z. z. Vás budú osobne kontaktovať naši právnici. A možno k Vám rovno pošleme aj policajtov. Odpovedať Známka: 10.0 Hodnotiť:

Re: backdoor Od: Muad'Dib | Pridané: 15.8.2015 15:37 Nie, oni to nechcú (inak by to tam neboli dávali), ale aby to nevyzeralo zle, tak ponúkajú náplasť v podobe niečoho, čo to už bude mať hádam lepšie skryté. Odpovedať Známka: 10.0 Hodnotiť:

Re: backdoor Od: syntaxTerrorX | Pridané: 15.8.2015 18:12 Ou yes, Muad'Dib, plans within plans. Odpovedať Hodnotiť:

TwXFJwciwUhKzTlVI Od: Bradley | Pridané: 21.10.2015 16:24 Z08Kc8 http://www.FyLitCl7Pf7kjQdDUOLQOuaxTXbj5iNG.com Odpovedať Hodnotiť:

sfCssqGhDviwTN Od: Bradley | Pridané: 27.10.2015 2:44 ePx2b8 http://www.FyLitCl7Pf7kjQdDUOLQOuaxTXbj5iNG.com Odpovedať Hodnotiť:

archer Od: zlobik ten stredny | Pridané: 13.8.2015 18:39 disable UEFI, install arch Odpovedať Známka: 4.6 Hodnotiť:

Re: archer Od: NepodstatneBoha | Pridané: 13.8.2015 19:40 Vela notebookov uz vobec nema emulaciu legacy biosu... Odpovedať Známka: 6.2 Hodnotiť:

Re: archer Od: XMen | Pridané: 14.8.2015 9:49 Ja si myslim, ze netreba disable UEFI. Neviem ako arch ale ostatne linuxi uz chodia aj s UEFI. Odpovedať Známka: 0.0 Hodnotiť:

len ovo Od: .em | Pridané: 13.8.2015 19:08 dufam, ze P50/P70 nedoseru v ziadnom ohlade... Odpovedať Známka: 10.0 Hodnotiť:

to sa stane Od: fatty kokot | Pridané: 13.8.2015 20:47 to sa stane len windowsakom, dajte si tam arch alebo daky linux Odpovedať Známka: 5.4 Hodnotiť:

Re: to sa stane Od: Lili | Pridané: 13.8.2015 20:58 no neviem ja by som uz chcel ist na vyssi level Install Arch mam za sebou a vazne uvazujem o Gentoo :) Odpovedať Známka: 7.5 Hodnotiť:

Re: to sa stane Od: Jamicon | Pridané: 13.8.2015 21:16 Gentoo je vcelku nuda. Pred 8-mimi rokmi som si ho zostavil, skompiloval, nastavil a stále funguje. Jediné väčšie "vzrušo" bol prechod z KDE3 na KDE4. Inak iba občas nový kernel, občas nejaké updates. Gentoo prežilo výmenu notebooku, prechod na inú platformu Intel->Amd aj späť, výmenu grafiky. Proti widlám mám veľkú nevýhodu: zapnem počítač, nič ma neprekvapí, nikto mi tam nič čo nechcem nenainštaluje, nebeží mi tam žiadna služba, ktorú som si nespustil. Odpovedať Známka: 7.5 Hodnotiť:

Re: to sa stane Od reg.: roob_ | Pridané: 13.8.2015 22:03 tak chod frajerit dakde na root.cz, kde sa schadzate vsetci 4 z byvaleho ceskoslovenska s gentoo. Nas ostatnych to nezaujima. Odpovedať Známka: -3.7 Hodnotiť:

Re: to sa stane Od reg.: :BES: | Pridané: 13.8.2015 22:32 Ziadne frajerenie, len konstatovanie faktov. Zbytocne prilievas olej do ohna. V davnych dobach som pouzival okna, v sucasnosti uz len ako sekundarny OS, ktory bootnem cca 1x za dva mesiace. A vyjadruj sa sam za seba. Odpovedať Známka: 5.2 Hodnotiť:

Re: to sa stane Od reg.: Trolitel | Pridané: 14.8.2015 8:40 Už sa na tie tvoje Widle začali inštalovať aktualizacie keď tak dlho neodpisuješ? :D Odpovedať Známka: 6.7 Hodnotiť:

Re: to sa stane Od reg.: M a t t | Pridané: 14.8.2015 10:20 Windows pleb detected Odpovedať Známka: 4.3 Hodnotiť:

Re: to sa stane Od: mg3 | Pridané: 14.8.2015 7:13 Pred 10 rokmi som prestal pouzivat kradnute widli,od tej doby ziadne vzruso,len prechody na novw verzie.bezi mi tam to co chcem.rozdiel je len v tom,ze som nezabil kopu casu akousi kompilaciou a skladanim😃.a este si tam aj hry zahram. Odpovedať Známka: -1.8 Hodnotiť:

Re: to sa stane Od: qwertyuiop1 | Pridané: 14.8.2015 12:15 Jasne, ze toho widle dokazu viac. Nezabudni na zabudovanu funkciu archivacie vsetkeho, co napises a povies v blizkosti pocitaca u Microsoftu a NSA. Odpovedať Známka: 10.0 Hodnotiť:

Re: to sa stane Od: janc1c1 | Pridané: 13.8.2015 22:39 ja som gentoo pouzival cca 6-7 rokov a poslednych 3 arch :-) Odpovedať Známka: 6.0 Hodnotiť:

Re: to sa stane Od: lili | Pridané: 13.8.2015 22:45 Ehm takze prechod Arch > Gentoo je teda zbytocny ? ak som to spravne pochopil Odpovedať Známka: 3.3 Hodnotiť:

Re: to sa stane Od: Jamicon | Pridané: 14.8.2015 7:01 To si vôbec nemyslím. Pred tými veľa rokmi mi trvalo pomerne dlho a zobralo veľa síl, kým som ho rozbehol do použiteľného stavu (predtým som mal Debian). Veľa USEs som si nastavil podľa mojich potrieb - nie podľa profilu, verzie niektorých balíčkov som chcel novšie ako STABLE, práca s rc-update je tiež zábava a samozrejme kompilácia na vtedajšom Intel Dual Core chvíľu trvala. Kompilácia je dnes takmer okamžitá, výnimkou sú chuťovky, trebárs LibreOffice, Firefox a Thunderbird, ale na notebooku mi pomáha Distcc a tieto veci nekompilujem každý deň. Odpovedať Známka: 6.0 Hodnotiť:

Re: to sa stane Od: janc1c1 | Pridané: 14.8.2015 8:00 pouzivanim gentaa som sa vela naucil. len taky update kernelu, konfiguracia, kompilovanie spravne nabootovanie. pri update sa neraz nieco vyslytlo. teraz ako pouzivam arch uz som iba obycajny uzivatel. kazdy den spustim pacaur -Syu a na 99% vsetko zbehne bez problemov a idem dalej, navyse to trva chvilu. nehovorim ze prechod a arch na gentoo je zbytocny. ak mas cas a chut, sprav to. urcite tito pomoze poznavani / vzdelani oblasti linuxu ... Odpovedať Známka: 5.0 Hodnotiť:

Re: to sa stane Od: lili | Pridané: 14.8.2015 8:44 no ja som bol tiez pouzivatel debianu uz od sarge , ako wm som pouzival len fluxbox , potom som presiel na freebsd , tam taktiez fluxbox , a az teraz som sa ( cca 2mesiace dozadu )odhodlal ist na arch a vynimocne uz Plasma 5 kedze kde4/plasma4 sa mi moc nepacila , samozrejme ze som skusil aj Suse/Fedoru ale tie mi nejak nesadli a zase pri Archu sa teraz nudim ... :) na kompilaciu pri Gentoo aj tak bude treba uz novy PC . Odpovedať Známka: 3.3 Hodnotiť:

Re: to sa stane Od: McUH | Pridané: 14.8.2015 9:19 "kazdy den" ... "na 99% bez problemov" - z toho vyplýva, že 3-4 dni do roka (1%) riešiš problémy. To nie príliš stabilný systém, najmä keď to používaš ako "obycajny uzivatel" :-). Odpovedať Známka: -2.0 Hodnotiť:

Re: to sa stane Od: janc1c1 | Pridané: 14.8.2015 10:15 jaj, ved ma nemusis chytat za slovicka a nemusis to az tak silno prepocitavat. arch je velmi stabilna distribucia. ja na svojom laptope a pracovnom desktope robim update skoro kazdy den. Na rodicovskom dekstope aj po mesiaci. A za obdobie ako pouzivam arch som po update neries vazny problem ktory by ma obral o cas. wiki.archlinux.org je velmi dobra, ludia na fore vedia poradit. mne arch velmi vyhovuje, mozem sa plne sustredit na pracu ... osobne pouzivam iba gnome, zvykol som si nan. Odpovedať Známka: 3.3 Hodnotiť:

Re: to sa stane Od: ...... | Pridané: 14.8.2015 3:08 LFS. Ale len ked mas na to gule. Odpovedať Známka: 5.0 Hodnotiť:

Re: to sa stane Od: lili | Pridané: 14.8.2015 8:52 sranda je to tiez :) som pozrel na tube video ale v tom smere by som asi uz volil to gentoo :) Odpovedať Hodnotiť:

Re: to sa stane Od: heil linus! | Pridané: 14.8.2015 0:49 uz sa naucil linux aj spravne kopirovat subory, alebo mu to stale nejde? Odpovedať Známka: -9.0 Hodnotiť:

Windows 10 still phones home, even when ordered not to do so Od: Ramtech | Pridané: 13.8.2015 20:55 https://tinyurl.com/p8qh2kf Nadpis hovorí za všetko. Inak mne sa ako ne-windows užívaťeľovi kroky MS páčia. Škodoradosť je najväčšia radosť Odpovedať Známka: 8.6 Hodnotiť:

Cina: backdoors, posielanie dat \"domov do Ciny\" = normalka Od: dziny1 | Pridané: 13.8.2015 21:37 Vobec ma to neprekvapuje ze komunisti v Cine toto robia. Pre nich su firmy produkujuce na zapad predlzenou rukou rozviedky a cinskej armady. Par promile z ich routerov/pocitacov sa bude pozivat v US alebo ruskej armade a oni si tu prilezitost nenechaju ujst. Takze instaluju spyware a backdoory do vsetkeho. Cim dalej to bude iba horsie. Ak sa da nekupovat cinske produkty, ak sa neda tak im to treba stazit instalaciou opensource firmwarov na routeroch (openwrt, dd-wrt, tomato), alebo nestandartnym OS na pocitace. Odpovedať Známka: 8.3 Hodnotiť:

Re: Cina: backdoors, posielanie dat \\ Od: ... | Pridané: 14.8.2015 10:59 máš demokraciu. Môžeš si slobodne vybrať ktorej strane budeš poskytovať informácie... Či to bude NSA alebo niekto východnejšie... :D Odpovedať Známka: 10.0 Hodnotiť:

..... Od: xvzf | Pridané: 13.8.2015 22:35 Tak dufam ze si obe tieto kauzy pekne vypiju a podobne super napady ich nadlho opustia... Odpovedať Známka: 10.0 Hodnotiť:

lovenčina Od: asdfkljasdf | Pridané: 14.8.2015 7:33 Púhe bezpečnostné chyby you say? Odpovedať Známka: 8.0 Hodnotiť:

Re: lovenčina Od: baffiak | Pridané: 14.8.2015 9:16 cakal som, ze tento komentar bude hned prvy, uz ked som cital tento clanok Odpovedať Známka: 10.0 Hodnotiť:

Agresívny BIOS Od: SOIB | Pridané: 14.8.2015 7:41 "Agresívny BIOS" - pre taketo pojmy a pre mnohe ine chodim na dsl.sk uz vyse dekady. Odpovedať Známka: 10.0 Hodnotiť:

Re: Agresívny BIOS Od: poldinko | Pridané: 14.8.2015 9:30 ja presne to isté a agrasívny BIOS si predtsvuje tak že zapnem PC, stláčam F10 (alebo DEL) ale stlačím ho priveľakrát a prásk rana - elektrický výboj z PC ako sa na mna agresívny bios pokúša zaútočiť - odplatiť mi týranie opakovaným stláčaním klávesy Odpovedať Známka: 10.0 Hodnotiť:

Bohu vdaka Od: MacFanBoyUltra | Pridané: 14.8.2015 9:58 Bohu vdaka ze mam Mac.... Odpovedať Známka: -5.0 Hodnotiť:

Re: Bohu vdaka Od: MacFanBoyUltra2 | Pridané: 14.8.2015 10:04 IBM pouziva Mac, ja pouzivam Mac tiez... to uz o niecom svedci! Odpovedať Známka: -4.3 Hodnotiť:

opensource hw Od: kazicorpo | Pridané: 14.8.2015 11:10 Po takychto incidentoch asi konecne dostanu moznot opensource hw riesenie. Uz aby ludia mali aj ako taku kontrolu nad hw . Odpovedať Známka: 3.3 Hodnotiť:

Bulvár. Od: SeppWinkler | Pridané: 14.8.2015 12:12 Načo toľko kriku??? Vydali aktualizáciu, ktorá to rieši a priznali chybu, tak v čom je problém? Všetci, čo kričia "Nikdy nekupujte Lenovo!", robíte si HW sami? Výrobca vášho HW nikdy nespravil chybu? Chyby v SW sa vyskytujú od jeho začiatkov, dôležitá je ochota chybu odstrániť. Redakcia DSL.sk by mohla konečne upustiť od názvov článkov hodných Nového Času. Odpovedať Známka: -5.0 Hodnotiť:

Lenovo BIOS Od: Lenovo NTB | Pridané: 14.8.2015 13:11 Ja len tak na okraj chcem varovať pred novým BIOS-om v Lenove. Mal som jeden problém s USB na svojom Lenove, stiahol som si nový BIOS na odporúčanie zákaznickej podpory, nainštaloval a NTB to už nerozdýchal. Dokonca si s tým neporadil ani človek z Čadce, čo sa venuje výmene a flashovaniu BIOS-ov. Zostala mi len hromada nefunkčných súčiastok. Odpovedať Hodnotiť:

backdoor Od: Bobbb | Pridané: 14.8.2015 15:02 Opraveny link je: http://dopice.sk/enB neviem preco to neslo predtym .. A vycuc je taky ze BIOS flashka ma dve sekcie: Core BIOS and PCI option ROM. Teda pri Core BIOS Flash mozes este mat PCI Option ROM kde si kazdy vyrobca moze dat co chce. Tym padom mozes mat (cisto teoreticky) backdoor v kazdom PC ktory ma PCI Option ROM.... to je podla mna dost drsne ... Odpovedať Hodnotiť:

lenivo Od: shelia | Pridané: 16.8.2015 22:13 Stare dobre modely ako T520 a pod. to su hracky, Odpovedať Hodnotiť:

TgwalVTIKjoZ Od: Bradley | Pridané: 24.10.2015 3:52 6r2TEr http://www.FyLitCl7Pf7kjQdDUOLQOuaxTXbj5iNG.com Odpovedať Hodnotiť:

Pridať komentár