Čitatelia veľkých webových stránok ako Vice News , CNET , The Verge , Neowin a ďalšie sú od roku 2015 vystavení bezpečnostným rizikám, pretože reklamy, ktoré spúšťajú z reklamnej platformy PowerLinks , používajú certifikáty ^(PowerLinks)SSL , ktorých platnosť vypršala . Tu je to, čo sa deje, čomu sa vystavujete pri čítaní publikácií, ktoré obsahujú reklamy PowerLinks , a čo môžete urobiť, aby ste zostali v bezpečí:

Reklamy zobrazované prostredníctvom PowerLinks majú certifikáty SSL , ktorých platnosť vypršala v októbri 2015^{(October 2015)}

Pri čítaní niekoľkých webových stránok na svojom osobnom počítači som si všimol, že moje bezpečnostné riešenie sa sťažovalo, že sa môj prehliadač pokúša komunikovať cez kanál, ktorý je zašifrovaný nedôveryhodným certifikátom. Môj antivírus nevedel zaručiť pravosť domény, ku ktorej bolo nadviazané šifrované spojenie, a to pre mňa predstavovalo bezpečnostné riziko. Spočiatku som toto varovanie ignoroval a len som pokračoval v čítaní. Po zhliadnutí na viacerých veľkých weboch som si však začal dávať pozor a študoval veci podrobnejšie.

Bol som prekvapený, keď som zistil, že toto varovanie sa zobrazuje vo veľkých online publikáciách a je vždy spôsobené reklamami zobrazovanými z pw.powerlinks.com. Všetky majú certifikát SSL , ktorého platnosť vypršala v októbri 2015^{(October 2015)} , ako môžete vidieť nižšie.

Aby som si overil, či je to pravda a nie len falošný poplach, vyskúšal som iný špičkový bezpečnostný produkt a výsledky boli rovnaké. Prechádzal som viacerými webmi a všimol som si, že rovnaký problém sa opakuje pri niektorých veľkých menách vo vydavateľskom svete.

Čo PowerLinks ponúka vydavateľom?

Podľa ich oficiálnej webovej stránky má PowerLinks komplexné portfólio reklamných riešení a služieb. Ponúkajú reklamný server pre stránky vo svojom portfóliu klientov, platformu Ad Exchange , natívne reklamy (reklamy v texte, vo videu, v obrázkoch, v kanáloch a v reklame) a ďalšie.

Prečo je to problém? Problémy, ktorým čelíme, keď webové stránky zobrazujú reklamy s certifikátmi SSL , ktorých platnosť vypršala^(SSL)

Ak nemáte nainštalované dobré bezpečnostné riešenie, možno si tento problém nikdy nevšimnete. Ak však používate dobrý antivírus, ktorý skenuje vašu HTTP prevádzku v reálnom čase, potom vás bude otravovať bezpečnostná výzva na niekoľkých veľkých mediálnych publikáciách, ktoré využívajú reklamné služby poskytované PowerLinks .

Odhliadnuc od faktora nepríjemnosti, opýtali sme sa Catalina Patrascu^{(Catalin Patrascu)} (vedúceho oddelenia informačnej bezpečnosti^{(Information Security)} a monitorovania^{(Monitoring Department)} v rumunskom národnom tíme pre reakciu na incidenty počítačovej bezpečnosti^{(National Computer Security Incident Response Team)} ) na bezpečnostné riziká spojené s týmito reklamami a uviedol nasledovné:

"Teoreticky je možné overenie SSL certifikátov vykonať aj vtedy, keď ich platnosť vypršala. Pre používateľov, ktorí si na túto chybu zvyknú a nekontrolujú SSL certifikát zakaždým, keď sa im chyba zobrazí, existuje riziko, že budú presmerovaní na škodlivé stránky a stať sa terčom útokov typu man-in-the-middle“^{("Theoretically, the verification of SSL certificates can be done even though they are expired. For the users that get used to this error and don't check the SSL certificate each time they get the error, there is the risk of getting redirected to malicious pages and becoming the target of man-in-the-middle attacks")} .

Ďalšou dôležitou vecou, ​​ktorú je potrebné zvážiť, je, že tieto reklamy sledujú aj údaje používateľov a ich správanie. Tieto údaje sa odosielajú cez nezabezpečený kanál, čím sú zraniteľné voči zachyteniu nežiaducimi stranami.

Medzi webové stránky, ktorých sa tento problém týka, patria: The Verge , Vice News , CNET a ďalšie

Nepoznáme presný zoznam webových stránok, ktorých sa tento problém týka. Predpokladáme, že všetci zákazníci PowerLinks sú ohrození. Doteraz sme tento problém identifikovali na veľkých mediálnych publikáciách ako The Verge , Vice News , CNET , Neowin a ďalších. Tieto webové stránky majú každý mesiac desiatky miliónov čitateľov a od októbra 2015^{(October 2015)} je každý deň, keď spúšťajú reklamy PowerLinks , ohrozená bezpečnosť ich publika .

Tento problém je spôsobený obyčajnou nedbalosťou zo strany PowerLink

To, čo tu riešime, je obyčajná nedbalosť. Platnosť týchto certifikátov SSL nevypršala niekoľko dní alebo mesiacov. Ich platnosť vypršala od roku 2015 a PowerLinks neplní svoju prácu, ktorou je ponúkanie bezpečných reklamných riešení online publikáciám aj čitateľom týchto publikácií. Ich technický tím si nevšimol, že ich reklamná platforma používa certifikáty SSL , ktorých platnosť uplynula roky, a neurobil nič na vyriešenie tohto problému, pričom ohrozil milióny čitateľov. Využili^(Did) tvorcovia škodlivého softvéru tento problém? To je dobrá otázka a nie sme si istí, či PowerLinks dokáže odpovedať. Nakoniec sa nepostarali ani o základné veci, ako sú dátumy spotreby.

Ktoré^(Which) bezpečnostné produkty mi pomohli odhaliť tento problém?

Prvýkrát som na tento problém narazil, keď som prechádzal niektorými stránkami, ktoré som spomenul vyššie, a ako antivírus som používal ESET Smart Security .

Tento problém potvrdila aj spoločnosť Kaspersky Total Security , ako môžete vidieť nižšie.

Sme radi, že tieto produkty splnili svoju úlohu, informovali nás a chránili nás pred bezpečnostnými chybami reklamnej platformy PowerLinks a pomohli nám odhaliť, čo sa deje. Je to ďalší dôkaz toho, že by ste si mali vždy nainštalovať antivírusový produkt tretej strany a prestať nezabezpečene prehliadať web. Ak sa chcete dozvedieť viac o rizikách spojených s nechráneným prehliadaním webu, prečítajte si tento experiment, ktorý sme spustili: Ako infikovať počítač so systémom Windows pri prehliadaní webu zadarmo^{(How to infect your Windows PC while browsing the web for free stuff)} .

Čo sme urobili, aby sme pomohli čitateľom a publikáciám, ktorých sa týka tento bezpečnostný problém?

V prvom^(First) rade sme napísali tento článok, aby sme o tejto záležitosti informovali všetkých. O oficiálny komentár sme požiadali aj PowerLinks . Ich oficiálny kontaktný e-mail však nefunguje a všetko, čo sme dostali, je zlyhanie oznámenia o stave^{(Status Notification Failure)} doručenia , ktoré si môžete pozrieť nižšie.

Tento článok sme poslali do všetkých mediálnych publikácií, ktoré sme našli a ktoré sú ovplyvnené, ako aj do PowerLinks pomocou ich kanálov sociálnych médií. Dúfame, že nebudú ignorovať našu správu a prijmú opatrenia na vyriešenie tohto problému.

UPDATE (03/21/2017): Konečne sa nám podarilo poslať našu správu do PowerLinks a dostali sme nasledujúcu odpoveď od Brandena Smythea^{(Branden Smythe)} , viceprezidenta pre rozvoj podnikania^{(VP Business Development)} :

"Dostal som oznámenie, že ste sa obrátili na PowerLinks. Čoskoro sa budeme zaoberať obavami, ktoré ste zverejnili."^{("I received notice that you reached out to PowerLinks. We will address the concerns you posted shortly.")}

Dnes sme znova skontrolovali webové stránky, kde sme našli problémy, ktoré sme opísali, a veci už fungujú dobre. Zdá sa, že spoločnosť PowerLinks vykonala potrebné kroky na zabezpečenie zobrazovania reklám na všetkých webových stránkach, čo je skvelé. Dúfajme^(Hopefully) , že sa z tohto problému poučia a lepšie sa postarajú o základy zabezpečenia, ako je dátum vypršania platnosti certifikátov SSL .

Čo môžete urobiť, aby ste sa ochránili pred nezabezpečenými reklamami PowerLinks ?

Ak sa vaše bezpečnostné riešenie sťažuje na expirované certifikáty SSL používané reklamami PowerLinks , mali by ste ich zablokovať. Ak nemáte antivírus, ktorý kontroluje váš prenos HTTP v reálnom čase , mali by ste tieto webové stránky spúšťať pomocou režimov súkromného prehliadania^{(private browsing modes)} , ktoré tiež blokujú nezabezpečené reklamy, alebo nájsť nejaký iný spôsob ich blokovania. Nie sme fanúšikmi blokovania reklám na webových stránkach, ktoré sme spomenuli, pretože vďaka reklame sú tieto publikácie schopné poskytnúť každému skvelý obsah. Dúfajme, že tento problém bude čoskoro vyriešený a všetci si budeme môcť bezpečne užívať svoje obľúbené publikácie bez toho, aby sme im blokovali reklamu a umožňovali im zarábať príjmy z ich práce.

PowerLinks ads put millions of readers at risk, from major publications like The Verge, Vice News and more

Reаders of major wеbsіtes like Vice News, СNET, The Verge, Nеowin аnd more, have been exposed to security risks since 2015 because the ads they run from the PowerLіnks advertising platform use expired SSL certificates. Here'ѕ what is going on, what you are exposing yourself to when reading publications that inclυde PowerLinks ads and what yоu can do to stay safe:

The ads served through PowerLinks have SSL certificates that expired in October 2015

While reading several websites on my personal computer, I have noticed that my security solution was complaining that my browser is trying to communicate over a channel that is encrypted with an untrusted certificate. My antivirus could not guarantee the authenticity of the domain to which the encrypted connection was established, and this posed a security risk for me. Initially, I ignored this warning and just kept reading. However, after seeing it on several big websites, I started paying attention and studied things in more detail.

I was surprised to find that this warning is shown on large online publications and it is always caused by ads served from pw.powerlinks.com. All of them have an SSL certificate that expired in October 2015, as you can see below.

To double check whether this was true and not just a false alarm, I tried another top-notch security product, and the results were the same. I navigated more websites and noticed that the same problem was repeating for some big names in the publishing world.

What does PowerLinks offer publishers?

According to their official website, PowerLinks has a comprehensive portfolio of advertising solutions and services. They offer an Ad Server for the sites in their portfolio of clients, an Ad Exchange platform, native ads (in-text, in-video, in-image, in-feed and in-display ads) and more.

Why is this an issue? The problems we're exposed to when websites display ads with expired SSL certificates

If you don't have a good security solution installed, you might never notice this issue. However, if you use a good antivirus which scans your HTTP traffic in real-time, then you will be annoyed by a security prompt on several large media publications that use advertising services provided by PowerLinks.

Leaving the annoyance factor aside, we asked Catalin Patrascu (head of the Information Security and Monitoring Department at the Romanian National Computer Security Incident Response Team) about the security risks involved with these ads, and he stated the following:

"Theoretically, the verification of SSL certificates can be done even though they are expired. For the users that get used to this error and don't check the SSL certificate each time they get the error, there is the risk of getting redirected to malicious pages and becoming the target of man-in-the-middle attacks".

Another important thing to consider is that these ads also track user data and user behavior. This data is sent through an insecure channel, leaving it vulnerable to interception by unwanted parties.

The websites that are affected by this issue include: The Verge, Vice News, CNET, and more

We don't know the exact list of websites that are impacted by this issue. We assume that all PowerLinks customers are at risk. So far, we have identified this problem on large media publications like The Verge, Vice News, CNET, Neowin and others. These websites have dozens of millions of readers each month, and the security of their audience has been put at risk every day they have run PowerLinks ads, since October 2015.

This problem is caused by plain negligence on PowerLink's part

What we are dealing here is plain negligence. These SSL certificates have not been expired for a couple of days or a month. They have been expired since 2015 and PowerLinks are not doing their job of offering secure advertising solutions to both online publications and readers of those publications. Their technical team did not notice that their advertising platform uses SSL certificates that have been expired for years and did nothing to solve this problem while putting millions of readers at risk. Did malware creators exploit this issue? That's a good question, and we're not sure whether PowerLinks can answer. In the end, they did not even take care of basics like expiration dates.

Which security products helped me discover this issue?

The first time I found this problem was when I was navigating some of the websites I mentioned earlier and used ESET Smart Security as my antivirus.

This issue was also confirmed by Kaspersky Total Security, as you can see below.

We're pleased that these products did their job in informing us and keeping us safe from the security vulnerabilities of the PowerLinks ads platform and helps us unravel what is going on. It's further proof that you should always install a third-party antivirus product and stop browsing the web, unsecured. If you are curious to learn more about the risks involved with browsing the web unprotected, read this experiment that we have run: How to infect your Windows PC while browsing the web for free stuff.

What did we do to help readers and publications that are affected by this security issue?

First of all, we wrote this article to inform everyone on this matter. We also asked PowerLinks for an official comment. However, their official contact e-mail doesn't work, and all we received is a Delivery Status Notification Failure, which you can see below.

We sent this article to all the media publications that we've found that are affected, as well as to PowerLinks, using their social media channels. We hope that they won't ignore our message and will take measures to fix this problem.

UPDATE (03/21/2017): We finally managed to get our message sent to PowerLinks, and we received the following answer from Branden Smythe, VP Business Development:

"I received notice that you reached out to PowerLinks. We will address the concerns you posted shortly."

Today, we checked again the websites where we have found the issues that we described and things are now working well. It seems that PowerLinks has performed the necessary steps to secure their ad delivery on all websites, which is great. Hopefully, they will learn from this problem and take better care of security basics like the expiration date of SSL certificates.

What can you do to protect yourself from insecure PowerLinks ads?

If your security solution is complaining about the expired SSL certificates used by PowerLinks ads, you should block them. If you don't have an antivirus which scans your real-time HTTP traffic, then you should run these websites using private browsing modes that also block the insecure ads or find some other way of blocking them. We are not fans of blocking ads on the websites that we have mentioned because advertising is what keeps these publications able to provide everyone with great content. Hopefully, this problem will be solved soon, and we can all enjoy our favorite publications, safely, without blocking their advertising and allowing them to earn revenue from their work.

Related posts

• Jamey Heary zo spoločnosti Cisco: Organizácie, ktoré pracujú s citlivými informáciami, používajú šifrované WiFi, VPN a šifrované aplikácie

• Kybernetická bezpečnosť prostredníctvom vzdelávania: Kaspersky Interactive Protection Simulation

• Ocenenia - Najpopulárnejší antivírusový produkt roku 2017

• Čo je nové v aktualizácii systému Windows 10 z novembra 2019?

• Nové funkcie prichádzajúce do programu Windows Defender v aktualizácii Windows 10 Creators Update

• Ako infikovať váš počítač so systémom Windows počas prehliadania webu a získať bezplatné veci

• Ako zistiť, aký systém Windows mám (11 spôsobov) -

• Najlepšie funkcie systému Windows 11: 8 skvelých vecí -

• Ocenenia: Najlepší antivírusový produkt roka 2018

• Pred inštaláciou systému Windows 10 S zvážte tieto dôležité otázky

• 6 spôsobov, ako sa odhlásiť zo systému Windows 11 -

• Synology DiskStation Manager 7: Beta k dispozícii, bezplatná aktualizácia prichádza v roku 2021 –

• Windows 10 je nanič! Tu je 12 dôvodov prečo!

• Zistite, kedy bol nainštalovaný systém Windows. Aký je pôvodný dátum inštalácie?

• 10 skvelých vecí o OS Chrome, Chromebookoch a Chromeboxoch

• 8 krokov na maximalizáciu zabezpečenia vášho routera ASUS alebo ASUS Lyra mesh WiFi

• Ako používať Windows USB/DVD Download Tool

• Bezpečnosť pre každého – Ako hodnotíme bezpečnostné produkty

• 7 dôvodov, prečo by ste si mali zaobstarať aktualizáciu Windows 10 z októbra 2018

• 3 dôvody, prečo je zahrnutie QR kódov do BSOD systému Windows 10 zlý nápad