什么是 superfish SSL 证书以及它的起源

Question

我最近买了一台新笔记本电脑，每次我连接到任何网站时，无论浏览器如何，都会将 https:// 链接回“superfish, inc”颁发的根证书。我搜索了一番，但似乎找不到证书的来源，而且我从未授权将“superfish”根证书添加到我的本地证书存储中。

我的想法是，它可能是机器附带的预打包安全应用程序之一，用于生成证书，以便可以扫描 https:// 流量，但我对此并不完全放心，而且我从未授权过它。我似乎找不到 superfish SSL 证书与任何扫描软件之间的关联，所以我有点困惑。

有没有其他人遇到过这种情况，知道它来自哪里以及如何删除它，以便我的所有 https:// 流量链接到它们各自正确的根证书？ - 除了直接从 MMC 中拔出它。

Answer 1

仅供参考，这款 Superfish 软件现在重大新闻标题。

它由联想预装（可能有其他供应商）。您必须卸载它，但那将不会删除证书。要删除证书，您必须执行以下操作：

1. 运行 mmc.exe
2. 转到文件 -> 添加/删除管理单元
3. 选择证书，点击添加
4. 选择计算机帐户，单击下一步
5. 选择本地计算机，单击完成
6. 单击“确定”
7. 查看“受信任的根证书颁发机构”->“证书”
8. 查找颁发给 Superfish 或 Visual Discovery 的所有证书并将其删除。
9. 另请查看中级证书颁发机构 -> 证书

请注意，如果您安装了 Firefox，您还必须清理其证书存储（以上链接适用于 IE/Chrome）。请参见此处：http://support.lenovo.com/us/en/product_security/superfish_uninstall

如果你真的很偏执，最好的解决方案就是重新格式化你的笔记本电脑，并使用 Microsoft 媒体安装 Windows，不是工厂恢复工具。

请注意，人们已经攻击 Superfish 证书，因此如果您开始看到使用其证书造成破坏的恶意软件，请不要感到惊讶。如果您的联想 PC 装有此软件，则应尽快将其删除。

编辑： 以下是更多带有图片的详细说明。

Answer 2

Superfish 是一种恶意软件，它对您的所有 SSL 流量执行中间人攻击，以便它可以注入广告、跟踪流量、插入联盟跟踪链接......等等。

由于 Superfish 加密证书是根证书，因此无法删除。由于 Superfish 共享其私钥，预计本周末将看到签名的恶意软件。

这是联想对您的 Windows 安装安全性的彻底损害。