6896


StackExchange の Facebook タイムラインにも登場するなど、話題になっていたので参考になるかと思い以下の StackExchange
のポストとその Accept された回答を訳しました。  
[**How to detect if I am vulnerable to “Superfish,” and how to remove
it?**](https://security.stackexchange.com/questions/82056/how-to-detect-if-i-
am-vulnerable-to-superfish-and-how-to-remove-
it?utm_medium=social&utm_campaign=security-promo&utm_source=facebook.com)

ご参考：  
Superfish について、以下で出てくる声明や脆弱性についての日本語ニュース記事：  
nikkeibp : <http://itpro.nikkeibp.co.jp/atcl/news/15/022000616/>

訳は以下から

* * *

サイト(
[security.stackexchange.com](https://security.stackexchange.com/questions/82035/what-
security-risks-are-posed-by-software-vendors-deploying-ssl-intercepting-pro) )
では、`Superfish`のセキュリティリスクについてはもう議論されました。  
そこでの内容は、だれかの接続のビットデータを改変するものは全て悪い(bad) という話に見うけられます。TLS接続を改変するのなら、それは悪(evil)
だとも。

自分が Superfish に対して脆弱であると測定する方法を教えてください。

Lenovo は、Superfish について (すでに血だらけの手で捕まえられた後に)
もう無効にしたという[声明を出しました](http://news.lenovo.com/article_display.cfm?article_id=1929&cid=ww:social:147924660:147924659:TWITTER:lenovo:*%20Customer%20Service%20and%20Support&linkId=12450493)。  
そうはいっても私はもうLenovoを信用できません。システムドライブの初期化(`format c:`)以外に Superfish
を完全に削除する方法はありませんか？

Edit:  
上にリンクで貼った Lenovo の声明には、今はSuperfish がインストールされているかもしれないモデルの一覧が載っています。  
なんだけど・・・まるで PC から真夜中にこっそり持ち出される、なんというか「インストール」というよりは「出現する」みたいな言い方をしていますね。


CC BY-SA 3.0
2015-02-22T00:13:14.523
6895
2015-02-22T02:57:24.357
2017-03-17T10:46:11.453
-1
728
question
security ssl
「Superfish」に対する脆弱性の検出方法と削除方法を知りたい。


回答の原文: <https://security.stackexchange.com/a/82065>

* * *

あなたのマシンが脆弱であるかはこのサイトをブラウザで開いてみればチェックすることができます：  
<https://filippo.io/Badfish/>

サイトから引用すると

> (もしブラウザがあなたに「確認しろ」とか「信用するか」とか「受け入れるか」といったことをポップアップで尋ねてきたら、脆弱ではありません。
> **そしてそれらのポップに対して「はい／Yes」と答えることは危険で、安全なネット接続を自らあきらめることになります** )

(訳注:この時ブラウザはポップアップで「危険かもしれないけど続行しますか？」といった質問をしています。）

皆は、Windows の安全なバージョンを完全に再インストールする必要があると言い続けています。私はまず Superfish
を削除してみます。プログラム自体を取り除くには、Windows の一般機能である「プログラムの追加と削除」を使うといいでしょう。プログラムは「Visual
Discovery」という名前になっていると思います。

(訳注:今回の問題は Superfish 製の「Visual
Discovery」というアドウェアがプリインストールされているという問題で、「プログラムと機能」／「プログラムの追加と削除」では「Superfish
Inc. Visual Discovery」などの名前で一覧に出てくるようです。）

証明書の削除には [本家StackOverflow](https://superuser.com/questions/880062/what-is-the-
superfish-ssl-certificate-and-where-did-it-
originate#28607630)から引用した以下の手順を行います：

> ご参考までに、Superfishのソフトウェアはニュースヘッドラインにも登場する有名なものです：  
>  <http://arstechnica.com/security/2015/02/lenovo-pcs-ship-with-man-in-the-
> middle-adware-that-breaks-https-connections/>
>
> これはLenovoによりあらかじめ搭載される（ほかのベンダもあるかもしれない）。 **あなたがアンインストールしても、証明書が削除できていない。**
> 証明書を削除するには次のようにしなければならない：
>
>   1. `mmc.exe` を実行 (ファイル名を指定して実行／プログラムとファイルの検索／検索チャームなどから)
>   2. `ファイル`メニューから `スナップインの追加と削除`を選択する
>   3. 左のリストから`証明書`を選んで追加ボタンを押す
>   4. 証明書スナップインダイアログで `コンピューター アカウント` を選んで次へを押す
>   5. `ローカル コンピューター` を選んで完了を押す
>   6. OKを押す。（`スナップインの追加と削除`が閉じる）
>   7. ツリーから`信頼された証明書機関`＞`証明書`を選択  
>  ![mmctree](https://i.stack.imgur.com/TT3HZ.jpg)
>   8. `発行先`列がSuperfishになっているものを探し、削除
>

>
> もしそれでも不安でしょうがないのであれば一番良い解決方法はあなたのノートPCを再フォーマットして、（工場出荷状態にもどすリカバリーディスクではなく)
> Microsoft の インストールディスクで Windows をインストールすることだろう。

上記は、PC上のMicrosoftの証明書ストア領域から削除ますが、[このリンク](https://www.eff.org/deeplinks/2015/02/further-
evidence-lenovo-breaking-https-security-its-
laptops)はブラウザが独自の証明書ストアをもっていて、この削除作業までの間にそこにも注入される可能性を示しています。お使いのブラウザが
`Superfish Inc` の証明書を信頼していないこともチェックしましょう。 Chrome と IE に関しては Microsoftの証明書ストアの
信頼されたルート証明書を使います。もし FireFoxなら手動で削除する必要があります。

**信頼された CA (証明機関) を FireFox の証明書ストアから削除する**

  1. 左上のメニューボタンをクリックしてオプションを選びます
  2. タブの並びの上にある「詳細」ボタンをクリックします
  3. タブから証明書タブをクリックします
  4. 証明書を表示ボタンをクリックします
  5. 認証局証明書タブから Superfish Inc 証明書 がないか確認します
  6. もし見つかったら、その証明書をクリックして、それから「削除または信頼しない」をクリックします
  7. 最後に OK ボタンをクリックして、削除を確定します

（訳注： コメントによれば、現在では Bit defenderで検出されたり、 Firefox Update
で証明書が削除されたりするようになっているようです。私は未確認ですが。）


CC BY-SA 3.0
2015-02-22T00:13:14.523
6896
2015-02-22T00:13:14.523
2017-03-20T10:18:03.377
-1
728
6895
answer


一応、LenovoがSuperfishのアンインストールツールを公開しています。  
[Superfishのアンインストール方法（Lenovo公式）](http://support.lenovo.com/jp/ja/documents/ht102634)

影響範囲や問題点については下記ブログでまとめられていました。  
簡易チェックサイトや対応についても記載されています。

**経緯や影響範囲、対応等**  
[Lenovo製品にプリインストールされているアドウェアSuperfishに関連する情報をまとめてみた。](http://d.hatena.ne.jp/Kango/20150220/1424364815/)

対応等はほぼ全文引用になってしまうので避けますが、関連事象（とくにその２）が気になったので、ここだけ引用させていただきます。

> 関連事象 その１ KomodiaのWebサイトがDoS攻撃を受けダウン
>
> メディアの注意喚起後にDoS攻撃を受けWebサイトがオフラインになっているとアナウンスされている。  
>  「komodia」はSuperfishの証明書秘密鍵に使用されていたパスワード。
>
> 関連事象 その２ Komodia Redirectorの脆弱性によりSuperfishと同様に影響を受ける製品
>
>
> CERTよりLenovo、Superfish以外に以下ベンダの製品で影響が及ぶことが[発表されている](http://www.kb.cert.org/vuls/id/529496)。
>
>   * Atom Security
>   * KeepMyFamilySecure
>   * Komodia
>   * Kurupira
>   * Lavasoft
>   * Qustodio
>   * Websecure
>

**問題点等**  
[Superfishが危険な理由](http://d.hatena.ne.jp/nekoruri/20150220/superfish)


CC BY-SA 3.0
2015-02-22T02:39:56.957
6902
2015-02-22T02:57:24.357
2015-02-22T02:57:24.357
3516
3516
6895
answer