Czytelnicy głównych witryn, takich jak Vice News , CNET , The Verge , Neowin i innych, są narażeni na zagrożenia bezpieczeństwa od 2015 roku, ponieważ reklamy, które wyświetlają z platformy reklamowej PowerLinks , wykorzystują wygasłe certyfikaty SSL . Oto, co się dzieje, na co narażasz się czytając publikacje zawierające reklamy PowerLinks i co możesz zrobić, aby zachować bezpieczeństwo:

Reklamy wyświetlane przez PowerLinks mają certyfikaty SSL , które wygasły w październiku 2015^{(October 2015)}

Czytając kilka witryn na moim komputerze osobistym, zauważyłem, że moje rozwiązanie bezpieczeństwa skarżyło się, że moja przeglądarka próbuje komunikować się przez kanał zaszyfrowany niezaufanym certyfikatem. Mój program antywirusowy nie mógł zagwarantować autentyczności domeny, z którą nawiązano szyfrowane połączenie, co stanowiło dla mnie zagrożenie bezpieczeństwa. Początkowo zignorowałem to ostrzeżenie i po prostu czytałem dalej. Jednak po obejrzeniu go na kilku dużych stronach internetowych zacząłem zwracać uwagę i studiować rzeczy bardziej szczegółowo.

Zaskoczyło mnie, że to ostrzeżenie pojawia się w dużych publikacjach internetowych i zawsze jest spowodowane reklamami wyświetlanymi z pw.powerlinks.com. Wszystkie posiadają certyfikat SSL , który wygasł w październiku 2015^{(October 2015)} r. , jak widać poniżej.

Aby dokładnie sprawdzić, czy to prawda, a nie tylko fałszywy alarm, wypróbowałem inny najwyższej klasy produkt zabezpieczający i wyniki były takie same. Przeglądałem kolejne strony i zauważyłem, że ten sam problem powtarza się w przypadku niektórych wielkich nazwisk w świecie wydawniczym.

Co PowerLinks oferuje wydawcom?

Zgodnie z ich oficjalną stroną internetową, PowerLinks posiada kompleksowe portfolio rozwiązań i usług reklamowych. Oferują serwer reklam dla witryn z portfolio klientów, platformę Ad Exchange , reklamy natywne (in-text, in-video, in-image, in-feed i in-display) i wiele innych.

Dlaczego jest to problem? Problemy, na jakie narażamy się, gdy witryny wyświetlają reklamy z wygasłymi certyfikatami SSL

Jeśli nie masz zainstalowanego dobrego rozwiązania zabezpieczającego, możesz nigdy nie zauważyć tego problemu. Jeśli jednak używasz dobrego programu antywirusowego, który skanuje Twój ruch HTTP w czasie rzeczywistym, zirytuje Cię monit dotyczący bezpieczeństwa w kilku dużych publikacjach medialnych, które korzystają z usług reklamowych dostarczanych przez PowerLinks .

Pomijając czynnik irytacji, zapytaliśmy Catalina Patrascu^{(Catalin Patrascu)} (kierownika Departamentu Bezpieczeństwa Informacji^{(Information Security)} i Monitorowania^{(Monitoring Department)} w rumuńskim Krajowym Zespole Reagowania na Incydenty Komputerowe^{(National Computer Security Incident Response Team)} ) o zagrożenia bezpieczeństwa związane z tymi reklamami, a on stwierdził, co następuje:

„Teoretycznie weryfikację certyfikatów SSL można przeprowadzić nawet wtedy, gdy wygasły. W przypadku użytkowników, którzy przyzwyczaili się do tego błędu i nie sprawdzają certyfikatu SSL za każdym razem, gdy otrzyma błąd, istnieje ryzyko przekierowania do złośliwego strony i stając się celem ataków typu man-in-the-middle”^{("Theoretically, the verification of SSL certificates can be done even though they are expired. For the users that get used to this error and don't check the SSL certificate each time they get the error, there is the risk of getting redirected to malicious pages and becoming the target of man-in-the-middle attacks")} .

Inną ważną rzeczą do rozważenia jest to, że te reklamy śledzą również dane i zachowanie użytkowników. Dane te są przesyłane niezabezpieczonym kanałem, co naraża je na przechwycenie przez niepożądane strony.

Witryny, których dotyczy ten problem, to: The Verge , Vice News , CNET i inne

Nie znamy dokładnej listy witryn, których dotyczy ten problem. Zakładamy, że wszyscy klienci PowerLinks są zagrożeni. Do tej pory zidentyfikowaliśmy ten problem w dużych publikacjach medialnych, takich jak The Verge , Vice News , CNET , Neowin i innych. Strony te mają dziesiątki milionów czytelników każdego miesiąca, a od października 2015^{(October 2015)} roku bezpieczeństwo ich odbiorców jest zagrożone każdego dnia, w którym wyświetlają reklamy PowerLinks .

Ten problem jest spowodowany zwykłym zaniedbaniem ze strony PowerLink

Mamy tu do czynienia z czystym zaniedbaniem. Te certyfikaty SSL nie straciły ważności od kilku dni lub miesiąca. Wygasły od 2015 r., a PowerLinks nie wykonuje swojej pracy polegającej na oferowaniu bezpiecznych rozwiązań reklamowych zarówno publikacjom internetowym, jak i czytelnikom tych publikacji. Ich zespół techniczny nie zauważył, że ich platforma reklamowa korzysta z wygasłych od lat certyfikatów SSL i nie zrobił nic, aby rozwiązać ten problem, jednocześnie narażając miliony czytelników na ryzyko. ^(SSL)Czy^(Did) twórcy złośliwego oprogramowania wykorzystali ten problem? To dobre pytanie i nie jesteśmy pewni, czy PowerLinks może na nie odpowiedzieć. W końcu nie zajęli się nawet podstawami, takimi jak daty ważności.

Które^(Which) produkty zabezpieczające pomogły mi wykryć ten problem?

Po raz pierwszy napotkałem ten problem, gdy nawigowałem po niektórych stronach internetowych, o których wspomniałem wcześniej, i używałem programu ESET Smart Security jako mojego programu antywirusowego.

Problem ten został również potwierdzony przez Kaspersky Total Security , jak widać poniżej.

Cieszymy się, że te produkty wykonały swoją pracę, informując nas i chroniąc nas przed lukami w zabezpieczeniach platformy reklamowej PowerLinks oraz pomagając nam odkryć, co się dzieje. To kolejny dowód na to, że zawsze należy instalować produkt antywirusowy innej firmy i przestać przeglądać sieć bez zabezpieczenia. Jeśli chcesz dowiedzieć się więcej o zagrożeniach związanych z przeglądaniem sieci bez ochrony, przeczytaj ten eksperyment, który przeprowadziliśmy: Jak zainfekować komputer z systemem Windows podczas przeglądania sieci w poszukiwaniu bezpłatnych materiałów^{(How to infect your Windows PC while browsing the web for free stuff)} .

Co zrobiliśmy, aby pomóc czytelnikom i publikacjom, których dotyczy ten problem z zabezpieczeniami?

Przede^(First) wszystkim napisaliśmy ten artykuł, aby poinformować wszystkich w tej sprawie. Poprosiliśmy również PowerLinks o oficjalny komentarz. Jednak ich oficjalny kontaktowy adres e-mail nie działa, a wszystko, co otrzymaliśmy, to błąd powiadomienia o statusie^{(Status Notification Failure)} dostawy , który możesz zobaczyć poniżej.

Wysłaliśmy ten artykuł do wszystkich publikacji w mediach, które znaleźliśmy i których to dotyczy, a także do PowerLinks , korzystając z ich kanałów w mediach społecznościowych. Mamy nadzieję, że nie zignorują naszej wiadomości i podejmą działania, aby rozwiązać ten problem.

UPDATE (03/21/2017): W końcu udało nam się wysłać naszą wiadomość do PowerLinks i otrzymaliśmy następującą odpowiedź od Brandena Smythe^{(Branden Smythe)} , wiceprezesa ds. rozwoju biznesu^{(VP Business Development)} :

„Otrzymałem powiadomienie, że skontaktowałeś się z PowerLinks. Wkrótce zajmiemy się przesłanymi przez Ciebie problemami”.^{("I received notice that you reached out to PowerLinks. We will address the concerns you posted shortly.")}

Dzisiaj ponownie sprawdziliśmy strony, na których znaleźliśmy opisane przez nas problemy i teraz wszystko działa dobrze. Wygląda na to, że firma PowerLinks wykonała niezbędne kroki, aby zabezpieczyć dostarczanie reklam na wszystkich stronach internetowych, co jest świetne. Mamy nadzieję^(Hopefully) , że nauczą się tego problemu i lepiej zadbają o podstawy bezpieczeństwa, takie jak data wygaśnięcia certyfikatów SSL .

Co możesz zrobić, aby uchronić się przed niezabezpieczonymi reklamami PowerLinks ?

Jeśli Twoje rozwiązanie bezpieczeństwa narzeka na wygasłe certyfikaty SSL używane przez reklamy PowerLinks , powinieneś je zablokować. Jeśli nie masz programu antywirusowego, który skanuje ruch HTTP w czasie rzeczywistym , powinieneś uruchamiać te witryny w trybach przeglądania prywatnego^{(private browsing modes)} , które również blokują niezabezpieczone reklamy lub znaleźć inny sposób ich blokowania. Nie jesteśmy fanami blokowania reklam w witrynach, o których wspomnieliśmy, ponieważ reklama sprawia, że ​​te publikacje są w stanie zapewnić każdemu świetne treści. Mamy nadzieję, że ten problem zostanie wkrótce rozwiązany i wszyscy będziemy mogli cieszyć się naszymi ulubionymi publikacjami, bezpiecznie, bez blokowania ich reklam i zarabiania na ich pracy.

PowerLinks ads put millions of readers at risk, from major publications like The Verge, Vice News and more

Readers of major wеbsites like Vice Newѕ, CNET, The Verge, Neowіn and more, have been exposed to security risks since 2015 because the ads they run from the PowerLinks advertіsing platform use expired SSL certificates. Here's what is going оn, what you are exposing yourself to when reading publications thаt include PowerLinks ads and what you can do to stay sаfe:

The ads served through PowerLinks have SSL certificates that expired in October 2015

While reading several websites on my personal computer, I have noticed that my security solution was complaining that my browser is trying to communicate over a channel that is encrypted with an untrusted certificate. My antivirus could not guarantee the authenticity of the domain to which the encrypted connection was established, and this posed a security risk for me. Initially, I ignored this warning and just kept reading. However, after seeing it on several big websites, I started paying attention and studied things in more detail.

I was surprised to find that this warning is shown on large online publications and it is always caused by ads served from pw.powerlinks.com. All of them have an SSL certificate that expired in October 2015, as you can see below.

To double check whether this was true and not just a false alarm, I tried another top-notch security product, and the results were the same. I navigated more websites and noticed that the same problem was repeating for some big names in the publishing world.

What does PowerLinks offer publishers?

According to their official website, PowerLinks has a comprehensive portfolio of advertising solutions and services. They offer an Ad Server for the sites in their portfolio of clients, an Ad Exchange platform, native ads (in-text, in-video, in-image, in-feed and in-display ads) and more.

Why is this an issue? The problems we're exposed to when websites display ads with expired SSL certificates

If you don't have a good security solution installed, you might never notice this issue. However, if you use a good antivirus which scans your HTTP traffic in real-time, then you will be annoyed by a security prompt on several large media publications that use advertising services provided by PowerLinks.

Leaving the annoyance factor aside, we asked Catalin Patrascu (head of the Information Security and Monitoring Department at the Romanian National Computer Security Incident Response Team) about the security risks involved with these ads, and he stated the following:

"Theoretically, the verification of SSL certificates can be done even though they are expired. For the users that get used to this error and don't check the SSL certificate each time they get the error, there is the risk of getting redirected to malicious pages and becoming the target of man-in-the-middle attacks".

Another important thing to consider is that these ads also track user data and user behavior. This data is sent through an insecure channel, leaving it vulnerable to interception by unwanted parties.

The websites that are affected by this issue include: The Verge, Vice News, CNET, and more

We don't know the exact list of websites that are impacted by this issue. We assume that all PowerLinks customers are at risk. So far, we have identified this problem on large media publications like The Verge, Vice News, CNET, Neowin and others. These websites have dozens of millions of readers each month, and the security of their audience has been put at risk every day they have run PowerLinks ads, since October 2015.

This problem is caused by plain negligence on PowerLink's part

What we are dealing here is plain negligence. These SSL certificates have not been expired for a couple of days or a month. They have been expired since 2015 and PowerLinks are not doing their job of offering secure advertising solutions to both online publications and readers of those publications. Their technical team did not notice that their advertising platform uses SSL certificates that have been expired for years and did nothing to solve this problem while putting millions of readers at risk. Did malware creators exploit this issue? That's a good question, and we're not sure whether PowerLinks can answer. In the end, they did not even take care of basics like expiration dates.

Which security products helped me discover this issue?

The first time I found this problem was when I was navigating some of the websites I mentioned earlier and used ESET Smart Security as my antivirus.

This issue was also confirmed by Kaspersky Total Security, as you can see below.

We're pleased that these products did their job in informing us and keeping us safe from the security vulnerabilities of the PowerLinks ads platform and helps us unravel what is going on. It's further proof that you should always install a third-party antivirus product and stop browsing the web, unsecured. If you are curious to learn more about the risks involved with browsing the web unprotected, read this experiment that we have run: How to infect your Windows PC while browsing the web for free stuff.

What did we do to help readers and publications that are affected by this security issue?

First of all, we wrote this article to inform everyone on this matter. We also asked PowerLinks for an official comment. However, their official contact e-mail doesn't work, and all we received is a Delivery Status Notification Failure, which you can see below.

We sent this article to all the media publications that we've found that are affected, as well as to PowerLinks, using their social media channels. We hope that they won't ignore our message and will take measures to fix this problem.

UPDATE (03/21/2017): We finally managed to get our message sent to PowerLinks, and we received the following answer from Branden Smythe, VP Business Development:

"I received notice that you reached out to PowerLinks. We will address the concerns you posted shortly."

Today, we checked again the websites where we have found the issues that we described and things are now working well. It seems that PowerLinks has performed the necessary steps to secure their ad delivery on all websites, which is great. Hopefully, they will learn from this problem and take better care of security basics like the expiration date of SSL certificates.

What can you do to protect yourself from insecure PowerLinks ads?

If your security solution is complaining about the expired SSL certificates used by PowerLinks ads, you should block them. If you don't have an antivirus which scans your real-time HTTP traffic, then you should run these websites using private browsing modes that also block the insecure ads or find some other way of blocking them. We are not fans of blocking ads on the websites that we have mentioned because advertising is what keeps these publications able to provide everyone with great content. Hopefully, this problem will be solved soon, and we can all enjoy our favorite publications, safely, without blocking their advertising and allowing them to earn revenue from their work.

Related posts

• Jamey Heary z Cisco: Organizacje, które pracują z poufnymi informacjami, korzystają z zaszyfrowanego Wi-Fi, VPN i zaszyfrowanych aplikacji

• Cyberbezpieczeństwo poprzez edukację: Kaspersky Interactive Protection Simulation

• Nagrody - Najpopularniejszy produkt antywirusowy roku 2017

• Co nowego w aktualizacji systemu Windows 10 z listopada 2019 r.?

• Nowe funkcje w Windows Defender w aktualizacji Windows 10 Creators Update

• 4 aplikacje, które pomogą Ci zdiagnozować stan Twojego urządzenia z Androidem

• Windows 10 jest do bani! Oto 12 powodów, dlaczego!

• 8 rzeczy, które możesz zrobić dzięki ESET EndPoint Encryption (DESlock+)

• Porównanie: jaki jest najlepszy program antywirusowy dla urządzeń z systemem Windows w 2018 roku?

• Jak zainfekować komputer z systemem Windows podczas przeglądania sieci w poszukiwaniu bezpłatnych rzeczy

• 8 kroków, aby zmaksymalizować bezpieczeństwo routera ASUS lub sieci WiFi ASUS Lyra

• 6 sposobów na wylogowanie się z systemu Windows 11 —

• Aktualizacja systemu Windows 10 maja 2021: co nowego i co zostało usunięte? -

• Co nowego w aktualizacji systemu Windows 10 z maja 2019 r.? 13 nowych funkcji!

• 13 najlepszych rzeczy o Windows 10

• Przed zainstalowaniem systemu Windows 10 S weź pod uwagę te ważne kwestie

• Dowiedz się, kiedy zainstalowano system Windows. Jaka jest pierwotna data instalacji?

• Jak edytować, czyścić i usuwać zmienne środowiskowe w systemie Windows —

• Nagrody — Najlepszy produkt antywirusowy roku 2017

• Nagrody - Najbardziej innowacyjny produkt antywirusowy 2017 roku