パスワードを忘れた? アカウント作成
12372468 story
Windows

Lenovo、ノートPCにWindowsを再インストールしても復活するダウンローダを仕込んでいた 73

ストーリー by hylom
何度でも蘇るのだ 部門より
あるAnonymous Coward 曰く、

2015年8月3日、ノートPC「Lenovo Y40-80」のBIOSがクリーンインストールされたWindowsのファイルシステムに対しブート前に変更を加えていることが発見された(Ars TechnicaThe Next Web NewsSlashdotHacker News)。

この変更により、Windowsの起動時にBIOSによって仕込まれたアプリケーションが実行され、特定のサーバーから非セキュアな方法でデータがダウンロードされるという。Lenovoはこれを受けて、修正パッチの配布を開始した(Lenovo)。

Slashdotやhacker newsでは、Lenovoに対する不満を述べる声や不買キャンペーンを起こす者がいる一方で、これはWindowsが提供している「Windows Platform Binary Table」(Microsoftによるドキュメント。注:Word形式)という仕組みを使っただけと擁護する声もあるようだ。

この機能の是非は置いておいても、実行されるソフトウェアはセキュリティ上不味いと言わざるを得ない。

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。
  • by Anonymous Coward on 2015年08月13日 12時03分 (#2863770)

    使う使わないは企業の判断だし、Lenovoはそういう判断をする企業だということだ。
    # Lenovo製品は絶対に使いたくないな

  • by jzkey (47353) on 2015年08月13日 12時37分 (#2863788)

    ドキュメントを見る限り、BIOS/UEFIがやるのは、WBPTっていうACPIテーブルに「このパスで、このバイナリを書いといて」という項目(とバイナリ)を用意しておく事。すると、立ち上がってきたWindowsがWBPTテーブルを見て、その通りファイルを作成してくれる、って流れ。
    BIOSがNTFSを書き換えるようなイメージを受けるけど、そういう話では少なくとも無いよね。

  • by Anonymous Coward on 2015年08月14日 0時11分 (#2864188)

    Phoenix BIOSの入ったマザーで、Windows98をインストールしたらデスクトップにPhoenix.netみたいなショートカットが作られてて、起動したらIEを立ち上げられてPhoenixにアクセスさせられました。
    BIOSがFATを解析してショートカットやスタートアップを仕込むので、消しても復活するというものでした。
    幸い、NTFSには対応してなかったのでWindows2000に移行しました。

  • 今さら (スコア:2, すばらしい洞察)

    by Anonymous Coward on 2015年08月13日 21時46分 (#2864140)

    Superfishの時点で見限らなかった奴に今さら何言っても無駄だろ。

  • by Anonymous Coward on 2015年08月13日 18時13分 (#2864029)

    superfishの時もこの件も実装がタコで脆弱性が生じてるわけではなく
    意図した実装で傍から見たら頭おかしいとしかおもえない挙動をしているわけで
    社内的にこれにOKが出る風土の会社の製品はちょっとさすがに対象外だから買いますというわけにはいかないですね。。。

  • by Anonymous Coward on 2015年08月13日 12時31分 (#2863784)

    「ソニーのUSBメモリに「rootkit的」技術」 http://srad.jp/story/07/08/28/118230/ [srad.jp]

    批判はされるべきだが、前代未聞ってほどでもない。

  • by Anonymous Coward on 2015年08月13日 12時47分 (#2863796)

    本質的には、セキュアな方法でダウンロードされるならおk?

    • by Anonymous Coward on 2015年08月13日 12時57分 (#2863807)

      技術的にはそうかも。
      後はLenovoが信頼できるという問題になるけど、それは今更だし。
      別に他でも一緒だしね。

      親コメント
    • by Anonymous Coward on 2015年08月13日 14時11分 (#2863844)

      セキュアを保障するにはCA局で認証しないといけないし、仮にそうしても証明書が切れたらとかいろいろ考えると
      外からダウンロードするな』でFAじゃない?
      外部のサーバからダウンロードするって時点で筋が悪い。
      好意的に解釈するなら、いつインストールしても最新ドライバを使えるようにってことなんだろうけど。

      親コメント
      • by Anonymous Coward

        だって、MicrosoftがリリースするWindowsのインストールイメージに、世に存在するありとあらゆるデバイス用の
        デバイスドライバを含めろというのは、現実的に無理でしょ。
        そのインストールイメージが作られた後に、世に出たデバイスなどもあるだろうし。

        Windowsのインストールイメージには規格に沿ってデバイスの基本機能を使うための汎用デバイスドライバは含まれているけど、
        デバイスの性能を100%引き出すためには、そのデバイス専用に作られたデバイスドライバが必要になる。
        インストールイメージは、いくつかのメジャーなデバイス向けの専用デバイスドライバは持っているが、「世のすべての」
        というわけには行かない。

        だから、インストール時に外部からデバイスドライバを引っ張ってくるのは仕方がない。
        しかし、そこはセキュアなやり取りで行われる必要がある。

        • by Anonymous Coward

          固有のドライバはローカルドライブに持っておけば良いじゃない。HDDの一部をリカバリ領域にしてる製品はいまどき普通ですよ。
          バージョンは時間とともに古くなるだろうけど、それで立ち上がってから改めて最新に更新すればいい。
          融通の利かないところにいろいろ詰め込むことは無い。CAルート証明書をインストールする必要がでたらどうするの。

          • by Anonymous Coward

            > それで立ち上がってから改めて最新に更新すればいい。

            それは結局外部から持ってくるということなんだけど、インストール時にそれをやっちゃダメなの?

            • by Anonymous Coward

              ユーザーが意識できないところで勝手にセキュアを保障できないファイルをインストールしたらだめでしょ。
              それもドライバーなんて特権レベルで動くかもしれないのに。
              Windows立ち上げていろいろとセキュアを確保できるようにしてからでいい。

              • by Anonymous Coward

                セキュアな通信なんて現状確保されてないし。
                確保する手間を考えたら静的なリカバリ領域をローカルに持たせる一般的な方法でいい。

              • by 90 (35300) on 2015年08月13日 18時38分 (#2864053) 日記

                ちょっと整理したいんだけど、静的なリカバリ領域をローカルに持たせる一般的な方法っていうのは、このACPIテーブルに書き込んだドライバ実行バイナリを読み出させる方法を指してるっていうことで合ってる?

                親コメント
              • by 90 (35300) on 2015年08月13日 20時27分 (#2864105) 日記

                言い方によっちゃこの勝手に入ってくるプログラムもLenovoが発行した改竄されていないファイルで、メーカーが最低限必要と判断したものだよね。そこからメーカーが十分信頼できると考える方法で、動作するのに必要と思われるものをインストールしているよね。

                これがダメなんだったら、問題はセキュアな方法でダウンロードされるかどうかじゃないんじゃない?
                Windows Updateに入っているWHQLドライバについてくるタスクトレイ常駐とかもあるけど、これもたぶん"ダメ"だよね?

                親コメント
      • by Anonymous Coward

        いや、別に何が入っていても良いとは思うんだよ。
        Windows 側がカーネルで署名検証でも行うようになっていれば、別にダウンロード経路なんてどうでも良いと思う。ネットに繫がらなくても、Windowsは標準でカーネルによるクロス署名の検証が出来るわけで。

        ということで、 Windows 側がちゃんとしてれば問題無いとは思う。

        • by Anonymous Coward

          Windowsに証明書のチェックまでやらせたとして、そこで安全を確認できませんでしたと出たらどこからドライバ持ってくるの?

    • by Anonymous Coward

      Lenovoが悪用していたということではなくて、このLenovoの機能が脆弱で悪用される可能性があるってのが問題なわけ。

  • by Anonymous Coward on 2015年08月13日 14時37分 (#2863862)

    スパイウェアを仕込んでいたことがバレて、「もうしません。余計なソフトを一切排除します」的な
    ことを宣言していたの思うのですが、結局あれはその場しのぎの嘘だったんですかね。

    • by Anonymous Coward on 2015年08月13日 15時10分 (#2863883)

      「Lenovo、純正ソフトやドライバ、セキュリティソフト以外のソフトのプリインストールを廃止へ」 [it.srad.jp]

      組み込まれるのはLenovoの純正ソフトウェアだから、約束通りじゃない?

      内容を読むと他のメーカーでも普通にやってそうなことだと思うんだけど。今回Lenovoが最初に見つかったというだけで。
      こういう仕組みがないと、クリーンインストールしたとき、適切なデバイスドライバがインストールされずに性能を発揮できないとか、
      最悪うんともすんとも言わないPCが出来上がる可能性がある。

      親コメント
      • by Anonymous Coward

        他の人も書いてるけど、発売時に最初から入ってるやつで十分でしょ
        少なくとも購入時の状態に戻す、という目的は完璧にはたせるし

        • by Anonymous Coward

          ドライバがないと困る。ないとインターネットからドライバを拾えないこともある。

          • by Anonymous Coward

            リカバリなら今回の仕組みみたいなものを使わなくても入るんじゃ?

        • by Anonymous Coward

          クリーンインストールする場合のことを話してるんだから、HDDはフォーマットされてるでしょ。
          ユーザーがリカバリー用パーティションを残したままクリーンインストールするかどうかなど、わかりようがないし保証もない。

          たとえユーザーがHDDを完全にまっさらの状態にしてクリーンインストールをする選択をしても、
          PCが高価な漬物石にならないようにという配慮でしょ。

typodupeerror

最初のバージョンは常に打ち捨てられる。

読み込み中...