除了電腦預載廣告軟體 其他應用軟體也可能被綑綁，你應該怎麼注意？ - 就是教不落

這陣子聯想的新聞鬧的轟轟烈烈，原因在於聯想特定的幾款機種（G、U、Y、Z、S、Flex、MIIX及Yoga等系列）預裝間諜軟體 Superfish，而 Superfish可以在未經使用者同意之下，監控使用者並將搜尋結果中插入廣告，但是 Superfish 不單如此，還會以假冒的HTTPS憑證欺騙瀏覽器，原本應該是安全的SSL/TLS連線，因為如此讓使用者有可能被 HTTPS 中間人攻擊，讓安全的網站變的不再安全。

圖說：聯想用戶表示被廣告軟體綁架。來源：聯想論壇

聯想於春節後除道歉外，停止預載Superfish 並關閉伺服器連線，另外還提供移除 Superfish工具，希望幫助用戶解決有關 Superfish 的疑慮，但其實可悲的事實是，很多廣告軟件Wajam、Geniusbox, Content Explorer，也都在做同樣的事情，在您的電腦安裝自己的憑證，並讓所有瀏覽行為（包括HTTPS加密），通過他們的代理服務器來顯示廣告，也讓您暴露在中間人攻擊危險之中。

圖說：從Download.com 下載KMplayer直接被Chrome 封鎖。

更可怕的是連全球排名129名的網站CNET，前十名下載排行榜的所提供的 KMPlayer 和YTD 程式也被發現捆綁有兩種不同類型的 HTTPS –hijacking 廣告軟件，以它的流量來計算每月將有100萬人感染廣告軟體，在國外網站的研究，大多數其他免費的網站都在做同樣的事情，詭譎的是在下載程式上綁定軟體是困難的，我們也無法知道是哪些人將廣告軟體和程式打包在一起。

圖說：您的HTTPS是否仍然安全？

國外網站測試了前面提到的廣告軟體，他們都完全禁用HTTPS驗證，這表示著，一旦你被廣告軟體裝了假的憑證，如果您去到一個偽造的網站，他們可以讀取你提交的在網站使用的每一件事，您的信用卡、個人資料、密碼等都將暴露在危險之中等，但你永遠不會知道，因為你的瀏覽器會告訴你，您的連結是安全的。

圖說：測試憑證安全。

最後告訴各位，我們要如何保護自己，讓自己減少被惡意廣告軟體影響的風險，國外網站提供下面的方式給我們參考：

1. 到 Superfish / Komodia 憑證測試網站，確認自己是否安全。

2. 在瀏覽器中啟用的點擊播放(Click-To-Play)的插件，這將有助於保護您免受所有那些零時差攻擊或和其他插件的安全漏洞。

3. 小心注意每一次的軟體下載。

4. 確保所有的軟體，插件，和防毒軟體更新，包括您的Windows更新。

5. 檢查憑證，移除不良的憑證授權。