Độc giả của các trang web lớn như Vice News , CNET , The Verge , Neowin và hơn thế nữa, đã phải đối mặt với rủi ro bảo mật kể từ năm 2015 vì quảng cáo mà họ chạy từ nền tảng ^{(platform use)}quảng cáo PowerLinks sử dụng chứng chỉ ^{(PowerLinks advertising)} SSL đã hết hạn . Đây là những gì đang diễn ra, những gì bạn đang tiếp xúc khi đọc các ấn phẩm có quảng cáo PowerLinks và những gì bạn có thể làm để giữ an toàn:

Các quảng cáo được phân phát qua PowerLinks có chứng chỉ SSL đã hết hạn vào tháng 10 năm 2015^{(October 2015)}

Trong khi đọc một số trang web trên máy tính cá nhân của mình, tôi nhận thấy rằng giải pháp bảo mật^{(security solution)} của tôi đã phàn nàn rằng trình duyệt của tôi đang cố gắng giao tiếp qua một kênh được mã hóa bằng chứng chỉ không đáng tin cậy. Phần mềm chống vi-rút của tôi không thể đảm bảo tính xác thực của miền mà kết nối được mã hóa được thiết lập và điều này gây ra rủi ro bảo mật^{(security risk)} cho tôi. Ban đầu, tôi bỏ qua cảnh báo này và chỉ tiếp tục đọc. Tuy nhiên, sau khi xem nó trên một số trang web lớn, tôi bắt đầu chú ý và nghiên cứu mọi thứ chi tiết hơn.

Tôi rất ngạc nhiên khi thấy rằng cảnh báo này được hiển thị trên các ấn phẩm trực tuyến lớn và nó luôn do quảng cáo được phân phát từ pw.powerlinks.com. Tất cả chúng đều có chứng chỉ SSL^{(SSL certificate)} hết hạn vào tháng 10 năm 2015^{(October 2015)} , như bạn có thể thấy bên dưới.

Để kiểm tra kỹ xem đây có phải là sự thật và không chỉ là một báo động giả hay không, tôi đã thử một sản phẩm bảo mật^{(security product)} hàng đầu khác và kết quả vẫn tương tự. Tôi điều hướng nhiều trang web hơn và nhận thấy rằng vấn đề tương tự đang lặp lại đối với một số tên tuổi lớn trong thế giới xuất bản^{(publishing world)} .

PowerLinks cung cấp cho^{(PowerLinks offer)} nhà xuất bản những gì?

Theo trang web chính thức của họ, PowerLinks có một danh mục các giải pháp và dịch vụ quảng cáo toàn diện. Họ cung cấp Máy chủ quảng cáo^{(Ad Server)} cho các trang web trong danh mục khách hàng, nền tảng Ad Exchange^{(Ad Exchange platform)} , quảng cáo gốc (quảng cáo trong văn bản, trong video, trong hình, trong nguồn cấp dữ liệu và trong hiển thị) và hơn thế nữa.

Tại sao điều này là một vấn đề? Các vấn đề mà chúng tôi gặp phải khi các trang web hiển thị quảng cáo với chứng chỉ SSL hết hạn^(SSL)

Nếu bạn không cài đặt một giải pháp bảo mật^{(security solution)} tốt , bạn có thể không bao giờ nhận thấy vấn đề này. Tuy nhiên, nếu bạn sử dụng một phần mềm chống vi-rút tốt quét lưu lượng HTTP^{(HTTP traffic)} của bạn trong thời gian thực, thì bạn sẽ khó chịu bởi lời nhắc bảo mật^{(security prompt)} trên một số ấn phẩm truyền thông lớn sử dụng dịch vụ quảng cáo do PowerLinks cung cấp .

Bỏ yếu tố khó chịu^{(annoyance factor)} sang một bên, chúng tôi đã hỏi Catalin Patrascu (người đứng đầu Bộ phận Giám sát và An ninh Thông tin tại ^{(Information Security and Monitoring Department)}Nhóm Ứng phó Sự cố An ninh Máy tính Quốc gia^{(National Computer Security Incident Response Team)} Romania ) về những rủi ro bảo mật liên quan đến những quảng cáo này và anh ấy đã nói như sau:

"Về mặt lý thuyết, việc xác minh chứng chỉ SSL có thể được thực hiện ngay cả khi chúng đã hết hạn. Đối với những người dùng quen với lỗi này và không kiểm tra chứng chỉ SSL mỗi khi họ gặp lỗi, sẽ có nguy cơ bị chuyển hướng sang phần mềm độc hại. trang và trở thành mục tiêu của các cuộc tấn công man-in-the-middle "^{("Theoretically, the verification of SSL certificates can be done even though they are expired. For the users that get used to this error and don't check the SSL certificate each time they get the error, there is the risk of getting redirected to malicious pages and becoming the target of man-in-the-middle attacks")} .

Một điều quan trọng khác cần xem xét là những quảng cáo này cũng theo dõi dữ liệu người dùng và hành vi của người dùng. Dữ liệu này được gửi qua một kênh không an toàn^{(insecure channel)} nên dễ bị các bên không mong muốn đánh chặn.

Các trang web bị ảnh hưởng bởi sự cố này bao gồm: The Verge , Vice News , CNET , v.v.

Chúng tôi không biết danh sách chính xác các trang web bị ảnh hưởng bởi sự cố này. Chúng tôi giả định rằng tất cả khách hàng của PowerLinks đều gặp rủi ro. Cho đến nay, chúng tôi đã xác định vấn đề này trên các ấn phẩm truyền thông lớn như The Verge , Vice News , CNET , Neowin và những người khác^{(Neowin and others)} . Các trang web này có hàng chục triệu độc giả mỗi tháng và tính bảo mật của đối tượng của họ đã bị đe dọa hàng ngày khi họ chạy quảng cáo PowerLinks , kể từ tháng 10 năm 2015^{(October 2015)} .

Sự cố này là do sơ suất rõ ràng của phần PowerLink

Những gì chúng tôi đang giải quyết ở đây là sơ suất rõ ràng. Các chứng chỉ SSL này chưa hết hạn trong vài ngày hoặc một tháng. Chúng đã hết hạn sử dụng kể từ năm 2015 và PowerLinks không thực hiện công việc cung cấp các giải pháp quảng cáo an toàn cho cả các ấn phẩm trực tuyến và độc giả của các ấn phẩm đó. Đội ngũ kỹ thuật của họ đã không nhận thấy rằng nền tảng quảng cáo^{(advertising platform)} của họ sử dụng chứng chỉ SSL đã hết hạn trong nhiều năm và không làm gì để giải quyết vấn đề này trong khi khiến hàng triệu độc giả gặp rủi ro. Người^{(Did malware)} tạo phần mềm độc hại có khai thác vấn đề này không? Đó là một câu hỏi hay và chúng tôi không chắc liệu PowerLinks có thể trả lời hay không. Cuối cùng, họ thậm chí không quan tâm đến những điều cơ bản như ngày hết hạn.

Sản phẩm bảo mật nào^{(Which security)} đã giúp tôi phát hiện ra vấn đề này?

Lần đầu tiên tôi phát hiện ra sự cố này là khi tôi đang điều hướng một số trang web mà tôi đã đề cập trước đó và sử dụng ESET Smart Security làm phần mềm chống vi-rút của mình.

Vấn đề này cũng đã được Kaspersky Total Security xác nhận , như bạn có thể thấy bên dưới.

Chúng tôi rất vui vì các sản phẩm này đã thực hiện công việc của chúng trong việc thông báo cho chúng tôi và giữ cho chúng tôi an toàn khỏi các lỗ hổng bảo mật của nền tảng quảng cáo PowerLinks và giúp chúng tôi làm sáng tỏ những gì đang diễn ra. Đó là bằng chứng nữa cho thấy rằng bạn nên luôn cài đặt sản phẩm chống vi-rút^{(antivirus product)} của bên thứ ba và ngừng duyệt web, một cách không an toàn. Nếu bạn muốn tìm hiểu thêm về những rủi ro liên quan đến việc duyệt web không được bảo vệ, hãy đọc thử nghiệm này mà chúng tôi đã thực hiện: Cách lây nhiễm PC Windows^{(Windows PC)} của bạn khi duyệt web để tìm nội dung miễn phí.

Chúng tôi đã làm gì để giúp độc giả và các ấn phẩm bị ảnh hưởng bởi vấn đề bảo mật này^{(security issue)} ?

Trước^(First) hết, chúng tôi viết bài này để thông báo với mọi người về vấn đề này. Chúng tôi cũng đã yêu cầu PowerLinks đưa ra bình luận chính thức. Tuy nhiên, e-mail liên hệ chính thức của họ không hoạt động và tất cả những gì chúng tôi nhận được là Thông báo trạng thái^{(Status Notification Failure)} gửi không thành công , bạn có thể xem bên dưới.

Chúng tôi đã gửi bài viết này đến tất cả các ấn phẩm truyền thông mà chúng tôi nhận thấy bị ảnh hưởng, cũng như PowerLinks , sử dụng các kênh truyền thông xã hội của họ. Chúng tôi hy vọng rằng họ sẽ không bỏ qua thông báo của chúng tôi và sẽ thực hiện các biện pháp để khắc phục sự cố này.

UPDATE (03/21/2017): Cuối cùng thì chúng tôi cũng đã gửi được tin nhắn đến PowerLinks và chúng tôi đã nhận được câu trả lời sau từ Branden Smythe , VP Business Development :

"Tôi đã nhận được thông báo rằng bạn đã liên hệ với PowerLinks. Chúng tôi sẽ sớm giải quyết những thắc mắc mà bạn đã đăng."^{("I received notice that you reached out to PowerLinks. We will address the concerns you posted shortly.")}

Hôm nay, chúng tôi đã kiểm tra lại các trang web nơi chúng tôi đã tìm thấy các vấn đề mà chúng tôi đã mô tả và mọi thứ hiện đang hoạt động tốt. Có vẻ như PowerLinks đã thực hiện các bước cần thiết để đảm bảo việc phân phối quảng cáo^{(ad delivery)} của họ trên tất cả các trang web, điều này thật tuyệt. Hy vọng rằng^(Hopefully) họ sẽ rút ra được bài học từ vấn đề này và chăm sóc tốt hơn các vấn đề cơ bản về bảo mật như ngày hết hạn^{(expiration date)} của chứng chỉ SSL .

Bạn có thể làm gì để bảo vệ mình khỏi quảng cáo PowerLinks không an toàn ?

Nếu giải pháp bảo mật của bạn đang phàn nàn về chứng chỉ ^{(security solution)}SSL đã hết hạn được sử dụng bởi quảng cáo PowerLinks , bạn nên chặn chúng. Nếu bạn không có phần mềm chống vi-rút quét lưu lượng truy cập HTTP^{(HTTP traffic)} theo thời gian thực của mình , thì bạn nên chạy các trang web này bằng chế độ duyệt web riêng tư cũng chặn quảng cáo không an toàn hoặc tìm một số cách khác để chặn chúng. Chúng tôi không phải là người thích chặn quảng cáo trên các trang web mà chúng tôi đã đề cập bởi vì quảng cáo là thứ giúp các ấn phẩm này có thể cung cấp cho mọi người nội dung tuyệt vời. Hy vọng rằng vấn đề này sẽ sớm được giải quyết và tất cả chúng ta đều có thể thưởng thức các ấn phẩm yêu thích của mình một cách an toàn, không bị chặn quảng cáo và cho phép họ kiếm được doanh thu từ công việc của mình.

PowerLinks ads put millions of readers at risk, from major publications like The Verge, Vice News and more

Readers of major websіtes like Vice News, CNΕΤ, The Verge, Neowin and more, havе been exposed to securitу risks since 2015 because the ads they run frоm thе PowerLinks advertising platform use expired SSL certificates. Here's what is going on, whаt you are exposing yourself to when reading publіcations that include PowerLinks ads and what you can do to stay safе:

The ads served through PowerLinks have SSL certificates that expired in October 2015

While reading several websites on my personal computer, I have noticed that my security solution was complaining that my browser is trying to communicate over a channel that is encrypted with an untrusted certificate. My antivirus could not guarantee the authenticity of the domain to which the encrypted connection was established, and this posed a security risk for me. Initially, I ignored this warning and just kept reading. However, after seeing it on several big websites, I started paying attention and studied things in more detail.

I was surprised to find that this warning is shown on large online publications and it is always caused by ads served from pw.powerlinks.com. All of them have an SSL certificate that expired in October 2015, as you can see below.

To double check whether this was true and not just a false alarm, I tried another top-notch security product, and the results were the same. I navigated more websites and noticed that the same problem was repeating for some big names in the publishing world.

What does PowerLinks offer publishers?

According to their official website, PowerLinks has a comprehensive portfolio of advertising solutions and services. They offer an Ad Server for the sites in their portfolio of clients, an Ad Exchange platform, native ads (in-text, in-video, in-image, in-feed and in-display ads) and more.

Why is this an issue? The problems we're exposed to when websites display ads with expired SSL certificates

If you don't have a good security solution installed, you might never notice this issue. However, if you use a good antivirus which scans your HTTP traffic in real-time, then you will be annoyed by a security prompt on several large media publications that use advertising services provided by PowerLinks.

Leaving the annoyance factor aside, we asked Catalin Patrascu (head of the Information Security and Monitoring Department at the Romanian National Computer Security Incident Response Team) about the security risks involved with these ads, and he stated the following:

"Theoretically, the verification of SSL certificates can be done even though they are expired. For the users that get used to this error and don't check the SSL certificate each time they get the error, there is the risk of getting redirected to malicious pages and becoming the target of man-in-the-middle attacks".

Another important thing to consider is that these ads also track user data and user behavior. This data is sent through an insecure channel, leaving it vulnerable to interception by unwanted parties.

The websites that are affected by this issue include: The Verge, Vice News, CNET, and more

We don't know the exact list of websites that are impacted by this issue. We assume that all PowerLinks customers are at risk. So far, we have identified this problem on large media publications like The Verge, Vice News, CNET, Neowin and others. These websites have dozens of millions of readers each month, and the security of their audience has been put at risk every day they have run PowerLinks ads, since October 2015.

This problem is caused by plain negligence on PowerLink's part

What we are dealing here is plain negligence. These SSL certificates have not been expired for a couple of days or a month. They have been expired since 2015 and PowerLinks are not doing their job of offering secure advertising solutions to both online publications and readers of those publications. Their technical team did not notice that their advertising platform uses SSL certificates that have been expired for years and did nothing to solve this problem while putting millions of readers at risk. Did malware creators exploit this issue? That's a good question, and we're not sure whether PowerLinks can answer. In the end, they did not even take care of basics like expiration dates.

Which security products helped me discover this issue?

The first time I found this problem was when I was navigating some of the websites I mentioned earlier and used ESET Smart Security as my antivirus.

This issue was also confirmed by Kaspersky Total Security, as you can see below.

We're pleased that these products did their job in informing us and keeping us safe from the security vulnerabilities of the PowerLinks ads platform and helps us unravel what is going on. It's further proof that you should always install a third-party antivirus product and stop browsing the web, unsecured. If you are curious to learn more about the risks involved with browsing the web unprotected, read this experiment that we have run: How to infect your Windows PC while browsing the web for free stuff.

What did we do to help readers and publications that are affected by this security issue?

First of all, we wrote this article to inform everyone on this matter. We also asked PowerLinks for an official comment. However, their official contact e-mail doesn't work, and all we received is a Delivery Status Notification Failure, which you can see below.

We sent this article to all the media publications that we've found that are affected, as well as to PowerLinks, using their social media channels. We hope that they won't ignore our message and will take measures to fix this problem.

UPDATE (03/21/2017): We finally managed to get our message sent to PowerLinks, and we received the following answer from Branden Smythe, VP Business Development:

"I received notice that you reached out to PowerLinks. We will address the concerns you posted shortly."

Today, we checked again the websites where we have found the issues that we described and things are now working well. It seems that PowerLinks has performed the necessary steps to secure their ad delivery on all websites, which is great. Hopefully, they will learn from this problem and take better care of security basics like the expiration date of SSL certificates.

What can you do to protect yourself from insecure PowerLinks ads?

If your security solution is complaining about the expired SSL certificates used by PowerLinks ads, you should block them. If you don't have an antivirus which scans your real-time HTTP traffic, then you should run these websites using private browsing modes that also block the insecure ads or find some other way of blocking them. We are not fans of blocking ads on the websites that we have mentioned because advertising is what keeps these publications able to provide everyone with great content. Hopefully, this problem will be solved soon, and we can all enjoy our favorite publications, safely, without blocking their advertising and allowing them to earn revenue from their work.

Related posts

• Jamey Heary từ Cisco: Các tổ chức làm việc với thông tin nhạy cảm, sử dụng WiFi được mã hóa, VPN và các ứng dụng được mã hóa

• An ninh mạng thông qua giáo dục: Mô phỏng Bảo vệ Tương tác Kaspersky

• Giải thưởng - Sản phẩm diệt virus phổ biến nhất năm 2017

• Bản cập nhật Windows 10 tháng 11 năm 2019 có gì mới?

• Các tính năng mới sắp có trên Windows Defender trong Windows 10 Creators Update

• 15+ lý do tại sao bạn nên tải Windows 10 Fall Creators Update

• Cách mở, ngắt kết nối hoặc gắn vĩnh viễn VHD file bằng Windows 10

• Windows 10 hút! Dưới đây là 12 lý do tại sao!

• Giải thưởng - Sản phẩm diệt virus sáng tạo nhất năm 2017

• Windows 11 Sucks: 7 lý do tại sao bạn không thích nó

• ReadyBoost có hoạt động không? Nó có cải thiện hiệu suất cho PC chạy chậm hơn không?

• Windows 10 Creators Update là gì và tại sao bạn nên cài đặt nó?

• 6 cách để đăng xuất Windows 11

• 12+ lý do tại sao bạn nên nhận Bản cập nhật Windows 10 tháng 4 năm 2018

• Giải thưởng: Sản phẩm diệt virus tốt nhất năm 2018

• 13 điều tốt nhất về Windows 10

• Làm thế nào để mở Disk Defragmenter trong Windows (12 cách)

• 8 điều bạn có thể làm với ESET EndPoint Encryption (DESlock +)

• 5 thực hành gây phiền nhiễu hàng đầu của các nhà cung cấp phần mềm chống vi-rút

• Bảo mật cho mọi người - Cách chúng tôi đánh giá các sản phẩm bảo mật