联想今天过得很糟糕。昨晚，该公司被要求植入破坏用户安全的广告软件。今天上午，研究人员发现了系统中的一个关键密码，让联想用户面临各种各样的恶意攻击。这是一个重大的、令人尴尬的安全性失败——但与诸如Heartbleed或Shellshock之类的漏洞不同，Superfish并不是协议中的缺陷或编程错误。这是一个经过深思熟虑的程序，在获得公司许可但未经用户同意的情况下，故意安装在联想电脑上。

一个经过深思熟虑的程序，在公司许可下安装

在它的核心，Superfish只是一个不寻常的垃圾软件，这种程序几十年来一直在廉价PC上乱放。**商将这些程序预装到低端机器上，以换取软件公司的少量费用。传统上，所有这些程序都会让你为升级付费，或者在桌面上弹出广告。但Superfish走得更远，绕过了网络加密技术，将广告**到受HTTPS保护的网站中，以获得webmail和网上银行等安全服务。这是对协议的重大违反，但也给许多研究人员敲响了警钟。垃圾软件的轻微烦恼已经变成了一个严重的安全缺陷——而这个缺陷可能只是一个开始。

问题不仅仅是用户没有选择安装软件（尽管这也是一个问题），在很大程度上，我们甚至不知道它在那里。我们看到广告出现在桌面或浏览器上，但我们看不到它们背后的结构。对于网页插页，我们不知道广告是由原始网站还是浏览器网站提供的。即使你知道它来自你电脑上的广告软件，你也很少知道程序的名字。该结构被设计成不可见的，不受用户控制。

隐形导致了一些奇怪的动机

隐形导致了一些奇怪的动机。例如，如果垃圾软件供应商想尝试一种新的广告定位方式，大多数用户都不会知道。供应商必须向硬件**商证明这些新功能的合理性，但这可以简单到多付一点钱。如果没有一个公开的检查，就没有什么可以阻止软件越来越具有侵略性，直到它像Superfish一样成为一个公开的尴尬。

硬件**往往也是无形的，这使得广告软件很容易溜进。很难判断一个**商是否在一个特定的设备上包含了恶意的东西——美国****局多年来一直在无情地利用这些东西。研究人员可以观察，但普通消费者必须通过信号来判断。我们不能单独进行安全审计，所以我们将复杂的隐私问题简化为我们是否信任某个品牌的问题。你信任联想吗？华为？苹果？这是一个粗略的衡量，但这是我们所有的。一旦这种信任消失，就很难取而代之。

SSL也不可见

Superfish越过了界限，因为它针对的是SSL，这是web最基本的安全保护。在这个充满政治色彩的加密世界里，SSL是所有人都认同的一件事——它是一个小小的绿锁，在密码和信用卡数据在网络上移动时保护密码和信用卡数据。几乎所有在互联****的人都依赖于消费者信任SSL，因此任何威胁SSL的举动都是存在的威胁。如果Superfish成为行业规范，那么不仅仅是用户会面临危险。从亚马逊到谷歌，每个人都必须争先恐后地保护自己的数据安全。

Superfish的攻击尤其危险，因为SSL也是不可见的。我们看到绿色的小锁，我们可以选择嗅出它背后的证书，但我们几乎从来没有这样做。我们相信有人帮我们查过了。当有一个证书黑客-像一个让果戈麻烦今年早些时候-它往往隐藏了几个月未被发现。这不是像PGP或它的开源姐妹一样的自我审查的加密。你不必为SSL工作；它为你工作。我们希望网络安全尽可能无痛，无痛到看不见。

Superfish的漏洞不会持续太久。联想已经发布了卸载软件的说明，用户开始着手解决更棘手的证书问题。由于攻击者利用窃取的密码和受感染的机器，这种损害将持续更长时间，但即使如此，与Heartbleed或Shellshock等全系统黑客相比，也可能相形见绌。更大的危险可能是隐形系统本身。对普通消费者来说，**业永远是看不见的，SSL永远不会超过20像素的挂锁图标。而对于任何试图以利益或****的名义突破的人来说，隐身将是一个强大的工具。