Lenovo, software persistenti installati sfruttando una funzionalità di Windows

[-Maxx-]

Originariamente inviato da *aLe

"Brava Lenovo, Braaava!"
(Da cantare ovviamente sulle note del famoso motivetto della pubblicità).

Non so come mai, ma quando si parla di bloatware e porcate sui PC, Lenovo è sempre in prima linea.

Nalperion che schiantava Windows Update anyone?
Superfish (di cui qui a destra abbiamo una diapositiva) anyone?

Non so davvero più come insultarvi.

Il primo non lo conoscevo ma il secondo sì

Comunque questa è la goccia che fa traboccare il vaso, praticamente siamo molto vicini al concetto di un malware/rootkit

Originariamente inviato da DooM1

Si, gli OEM non ce la possono fare, sono dei completi idioti.
Microsoft dovrebbe mettere l'obbligo di dare all'utente la possibilità di disattivare questa funzione.
Il fatto è che microsoft senza gli OEM non sarebbe tanto potente, e si vede che gli ha dato questo potere per tenerseli ancora più stretti.

Già, Microsoft deve soltanto ringraziare gli OEM se ha conquistato delle quote di mercato vagamente decenti per Windows 8/8.1

[LMCH]

Ma e' possibile che dopo anni ed anni che i S.O. Microsoft hanno avuto problemi di sicurezza strutturali (nel senso di feature che aprivano la strada a famiglie intere di exploit) questi abbiano aggiunto una nuova feature del genere per una semplice svista? Di fatto quella roba li e' un facilitatore di rootkit che sputtana alla base tutti i discorsi sulla maggior sicurezza delle nuove versioni di Windows.
Di fatto in base a marca e produttore effettivo del bios ... il nuovo motto di Windows diventa "da chi vuoi farti spiare oggi?"

[acerbo]

Originariamente inviato da Pier2204

Ma te non vai mai in ferie?

ci sto da 3 settimane

[kalgan]

continuo a non capire queste scelte sia dei produttori che di microsoft. ma a tutta la gente serve necessariamente questo sistema proprietario oppure deve usare per forza questo?

usare linux è l'unico modo per sfuggire a queste vergognose politiche

[Marci]

Originariamente inviato da Pier2204

Riguardo Lenovo non so più cosa dire...da quando quei cazzoni di IBM hanno ceduto la divisione PC ai Cinesi, le cazzate sono in aumento esponenziale..
Per caso Lenovo è una azienda a partecipazione statale? ..perchè si spiegherebbero molte cose..

Riguardo Microsoft, visto che ha dato possibilità di implementare funzioni a basso livello e come al solito i produttori fanno come .azzo gli pare, toglierei tale funzioni per demenza senile degli OEM....

Che io sappia tutte le società cinesi hanno una quota di partecipazione statale

Originariamente inviato da LMCH

Ma e' possibile che dopo anni ed anni che i S.O. Microsoft hanno avuto problemi di sicurezza strutturali (nel senso di feature che aprivano la strada a famiglie intere di exploit) questi abbiano aggiunto una nuova feature del genere per una semplice svista? Di fatto quella roba li e' un facilitatore di rootkit che sputtana alla base tutti i discorsi sulla maggior sicurezza delle nuove versioni di Windows.
Di fatto in base a marca e produttore effettivo del bios ... il nuovo motto di Windows diventa "da chi vuoi farti spiare oggi?"

Non credo proprio che sia stata una "svista"

[omerook]

la cina ci mette azzi a nazionalizzare una azienda. quindi credo che obbediscono ad ogni richiesta.

[-Maxx-]

Originariamente inviato da kalgan

continuo a non capire queste scelte sia dei produttori che di microsoft. ma a tutta la gente serve necessariamente questo sistema proprietario oppure deve usare per forza questo?

usare linux è l'unico modo per sfuggire a queste vergognose politiche

Infatti, nel presente, sto usando ancora Windows 7 sul desktop perché mi trovo bene come esperienza d'uso complessiva da gamer; ma nel futuro, in un qualche momento da qui al 2020 (data di fine supporto del SO), sono quasi sicuro che farò il salto definitivo su Linux: ho fatto un po' di esperimenti in passato con Ubuntu e derivate per prendere confidenza con l'ambiente e sto programmando una sessione di heavy testing su virtual machine con un po' di distro (su tutte, Ozon OS beta).

Pensa che, quando devo fare un'installazione pulita, uso un live DVD di Ubuntu 14.04 LTS per preparare il materiale che mi serve e, quando devo fare backup e ripristini dei dischi, mi appoggio a Clonezilla. Inoltre, da qualche anno, uso LibreOffice e ho dismesso Office.

[kalgan]

fai benissimo. non essendo un gamer e avendo su linux tutto il software che mi serve per lo studio,lo svago e la produttività in genere non rimpiango windows da 3 anni, anzi ringrazio il giorno che mi venne in mente l'idea di piallare completamente windows7 e installare windows. dall'epoca non uso sofware microsoft se non qualcosa su virtual machine

[kalgan]

*installare linux

[Tasslehoff]

Originariamente inviato da kalgan

continuo a non capire queste scelte sia dei produttori che di microsoft. ma a tutta la gente serve necessariamente questo sistema proprietario oppure deve usare per forza questo?

usare linux è l'unico modo per sfuggire a queste vergognose politiche

Vedila un po' in questo modo, se non preinstalli Windows i tuoi laptop rimangono nei magazzini.
Non so a te, ma a me sembra un ottimo incentivo per preinstallare l'OS Microsoft e metterci pure il bollino

Teniamo presente che alla gran parte delle persone non interessano minimente le questioni su software proprietario o free, open o meno.
Per loro è uno strumento, come tale deve funzionare, e volente o nolente Windows funziona. Per la gran parte di essi non esiste altro sistema operativo, e se anche esistesse ne farebbero benissimo a meno, perchè Windows risponde benissimo alle loro esigenze, cambiare significherebbe spendere tempo e fatica (quindi denaro) per reimparare a fare qualcosa che già sanno fare senza alcun beneficio (dal loro punto di vista, dato che la licenza di Windows è "affogata" nel prezzo del pc).

[calabar]

Originariamente inviato da Pier2204;

Ma te non vai mai in ferie?

Vabbè, perchè Microsoft in tutto questo non c'entra nulla, vero?
Per una volta che dice una cosa sensata, lo riprendi?

Francamente aggiungere una caratteristica del genere mi sembra una follia. Ovvio che possa essere sfruttata per fare esattamente il contrario di quanto dichiarato relativamente allo scopo della funzionalità.

[kalgan]

@Tasslehoff quel che dici è sacrosanto, io non mi riferivo all'installazione di base windows, chiaro che un sistema ci deve pur essere a pc comprato. le politiche assurde e scorrette sono altre come quelle della lenovo trattata nell'articolo. poi insomma la gente comune può fregarsene, ma non capisco tutti quelli che col pc ci lavorano sul serio, che effettuano transazioni rilevanti o che hanno in memoria dati di importanti, da cui dipende la loro vita professionale, come fanno a sentirsi sicuri con sistemi del genere? cioè è come bere una bevanda che è buonissima ma che su cui non è mai stato effettuato nessun controllo, né sono presenti gli ingredienti....

[LMCH]

Originariamente inviato da Marci

Che io sappia tutte le società cinesi hanno una quota di partecipazione statale

No. Non in tutte, ma di solito hanno minimo qualche banca a controllo statale che gli fornisce finanziamenti e/o fidejussioni. Inoltre se un agenzia governativa gli chiede qualcosa, esiste una sola risposta (a meno che non abbiano nel board qualcuno con agganci più in alto che preferisce un altra risposta).

Originariamente inviato da Marci

Non credo proprio che sia stata una "svista"

È una svista nel senso che rischia di costargli più cara di quanto possano pensare se non fanno in modo che tale funzionalità sia disabilitabile alla svelta.

[WarDuck]

Originariamente inviato da acerbo

fantastico, grazie a microsoft il bloatware sarà possibile pure a basso livello

O forse è "merito" di EFI/UEFI

[WarDuck]

Originariamente inviato da calabar

Vabbè, perchè Microsoft in tutto questo non c'entra nulla, vero?

C'entra perché usa una caratteristica dei nuovi firmware UEFI/ACPI?

Non è affatto una cattiva cosa di per se. Come tutte le cose bisogna vedere come vengono usate.

[rockroll]

Originariamente inviato da WarDuck

C'entra perché usa una caratteristica dei nuovi firmware UEFI/ACPI?

Non è affatto una cattiva cosa di per se. Come tutte le cose bisogna vedere come vengono usate.

E' una cosa che permette a tua insaputa e teoricamente senza poterlo evitare, di far fare al tuo PC, prima di ogni altra cosa, quello che interessa a chi il PC te lo fornisce, essenzialmente per i suoi scopi di controllo, di politica di adversiting commerciale e magari di lucro alle tue spalle.
A pensar male ci si coglie, conoscendo la bestia. O no?

Accetterei una possibilità del genere solo se ne fossi IO utente perfettamente edotto (quindi cod. e doc. open) e di conseguenza completamente padrone di agire e di sfruttare o castrare la "feature" come megio credo. O no?

Dopo le imposizioni di UEFI e SecureBoot e Updates obbligati ... ci voleva anche questa... (per ora... poi chi sa quante ne scopriremo ancora...).

Brava Giovanna... ehm... Brava M$, brava!
(ma almeno Giovanna era una figona disponibile a venire incontro alle nostre ... esigenze).

[calabar]

Originariamente inviato da WarDuck;

C'entra perché usa una caratteristica dei nuovi firmware UEFI/ACPI?

Esatto. Perché quando apri una porta, devi ben valutare le conseguenze. E questo al di la del fatto che possano esserci o meno dei secondi fini.
Un sistema del genere può essere una vera tragedia dal punto di vista della sicurezza, e a mio parere farebbero bene a chiudere subito questa porta.

[Tasslehoff]

Originariamente inviato da kalgan

@Tasslehoff quel che dici è sacrosanto, io non mi riferivo all'installazione di base windows, chiaro che un sistema ci deve pur essere a pc comprato. le politiche assurde e scorrette sono altre come quelle della lenovo trattata nell'articolo. poi insomma la gente comune può fregarsene, ma non capisco tutti quelli che col pc ci lavorano sul serio, che effettuano transazioni rilevanti o che hanno in memoria dati di importanti, da cui dipende la loro vita professionale, come fanno a sentirsi sicuri con sistemi del genere? cioè è come bere una bevanda che è buonissima ma che su cui non è mai stato effettuato nessun controllo, né sono presenti gli ingredienti....

Tranquillo che la maggior parte di essi ce la fa benissimo a dormire sonni tranquilli.

Buona parte ce la fa per ignoranza, perchè non arriva nemmeno a concepire quali rischi stia correndo, e non parlo solo di chi maneggia i dati della propria azienda, pensa anche solo alla pubblica amministrazione che maneggia dati (spesso rilevanti dal punto di vista della "privacy") per conto della collettività (e qui ci sarebbe anche una responsabilità etica oltre che oggettiva).

Poi c'è chi lavora in questi ambiti che magari ha le conoscenze e la sensibilità per rendersi conto di quali rischi corra, e questi in parte ci convivono, in parte cercano di tamponare il rischio, di ridurlo il più possibile.

Originariamente inviato da LucaNoize

hai troppa fiducia in chi 'con il pc ci lavora sul serio'
backup inesistenti, antivirus scaduti, ignoranza totale sulle basilari norme di sicurezza informatica...
basta vedere le vittime dei ransomware...

Però se vai a sentire chi li difende vengono fuori sempre le stesse cose...non hanno tempo, o
non gli interessa, o hanno cose più importanti a cui pensare, o basta che funzioni...

manca una corretta informazione, e soprattutto manca la volontà delle persone, di informarsi
e di capire come funzionano le cose in questo ambito.

...però se gli chiedi quali sono i vincitori delle ultime edizioni del grande fratello, o il capocannoniere
del campionato spagnolo, o anche i finalisti di x-factor...beh vedrai che con un sorriso di compiacimento
sapranno soddisfare la tua richiesta

Beh dai non per tutti è così, è un tema molto complesso che non può essere liquidato così su due piedi.

Di base c'è un aspetto che si tende sempre a ignorare, la sicurezza costa.
Che sia "semplice" (tra virgolette perchè non è mai tale) in/formazione, oppure attività pratica, comunque impatta in modo significativo dal punto di vista economico (in termini di costi vivi e di interruzione della attività/minore efficienza dovuta al transitorio verso una politica più solida) e questo le aziende o non lo accettano oppure lo ignorano.
Nelle realtà piccole l'IT viene ancora considerato come una scocciatura, necessaria ma sempre una scocciatura, pertanto ogni costo legato ad esso (seppur ridicolo rispetto ad altri costi, pensate a quanto costa un server o una consulenza di poche giornate rispetto ad un macchinario industriale gargantuesco) è visto come risorsa persa e che non genera profitto.
Nelle realtà grandi l'IT è fin troppo coccolato, ma diretto magari da personaggi professionalmente nati all'epoca delle schede perforate, con magari grande attenzione agli aspetti formali e poco o niente su quelli sostanziali; senza contare la tendenza di queste realtà a dirottare fiumi di risorse verso le tecnologie che fanno moda (es SAP, mega portaloni Oracle o IBM, pantani applicativi MS, database enterprise quando serve qualche banale tabella) e che li rendono schiavi spesso esternalizzando i loro processi di business.

Gli aspetti che citi (antivirus, backup, e aggiungo altro, sicurezza perimetrale, policy di accesso etc etc...) sono solo la punta dell'iceberg, sono la parte più semplice e banale (installi una appliance, configuri un software o implementi una feature), la realtà è che gran parte degli attacchi non sfrutta queste cose (semmai la loro mancanza viene usata per spammare o appunto come giustamente citavi per ricattare con i ransomware) ma sfrutta le vulnerabilità nel codice.
Rendiamoci conto che le aziende sono STRACOLME di codice custom, applicazioni spesso scritte con i piedi (nel 95% dei casi non per colpa degli sviluppatori ma dei committenti, che cambiano requisiti da un giorno con l'altro ma non spostano di una virgola le scadenze), esposte peggio, quasi mai manutenute (nessuno che controlla i log, vengono semmai riprese solo quando c'è qualche evoluzione), con cicli di vita giurassici (della serie "non si butta via niente", così ti ritrovi nel 2015 ad avere a che fare con pezzi di codice scritti negli anni '80 e non pensiate che sia così raro, specialmente nei grossi enti o aziende), che non validano nulla (figuriamoci le action delle form, tanto chi vuoi che faccia una sql injection? ) e spesso affogate in mezzo a cms noti a tutti con vulnerabilità pubbliche e mai aggiornati (vedi sopra).

Capisci bene che fatto 100 il costo di una soluzione di sicurezza perimetrale (firewall, IDS, proxy etc etc) o di un antivirus centralizzato con tutti i crismi, il costo di analisi, bonifica, aggiornamento, correzione applicativa cuberà 1000, 10000, 100000 e più, e questo costo è tanto più alto quanto più si usano "polpettoni" enterprise (vedi sopra riguardo alla tendenza delle aziende/enti di medie/grosse dimensioni), arrivando a salire di ordini e ordini di grandezza.

[sbudellaman]

Lenovo sta proprio scadendo. Dopo il virus preinstallato di superfish adesso questo. Meno male che aveva promesso di rimettersi in riga, a questo punto rientra nelle marche di portatili da evitare ad ogni costo

[kalgan]

@tasslehoff complimenti per la disamina! quoto tutto.