春節期間，中國人都在享受愉快的假期，本來不應該有什么大新聞。但是中國IT的巨頭級企業聯想卻遇到了麻煩。媒體稱聯想的消費級筆記本電腦中預裝了一款“Superfish”的廣告軟件，存在嚴重安全漏洞，引發整個社會輿論的大嘩。

[[128054]]

這幾天隨著事件的持續發酵，聯想的CTO出面道并且解釋了與Superfish的合作，表示聯想也是受害者。但是消費者不依不饒，昨天，聯想官方網站遭到黑客攻擊，疑似與“Superfish”事件有關。

這個“Superfish”事件到底是怎么回事?聯想應該吸取什么教訓呢?

一、聯想的初衷

從聯想CTO的解釋看，聯想的初衷其實很簡單。在用戶做互聯網搜索的時候，提供給用戶相關的內容，提升用戶使用聯想的體驗，增強產品的的競爭力。當用戶搜索椅子的信息時，就通過廣告軟件給用戶提供可選擇的椅子，如果恰好有用戶喜歡的樣式，用戶可以通過廣告直接購買。

當然，這個解釋是官方的說法。其實聯想的這個舉動和現在小米的MIUI很類似，硬件附帶軟件服務，獲得收益。這個不是個例，三星前一段甚至在智能電視上都安裝了廣告插件。

聯想無非是要做一個軟硬件服務的結合。你買了聯想的硬件，聯想只能賺一次錢。而聯想與“Superfish”合作，除了所謂的用戶體驗提升以外，還有廣告分成的好處，后續收入源源不斷。

這個和買了小米手機，你還會買小米的主題，買了OPPO手機，就玩OPPO手機里面的游戲是一個道理。通過軟件和服務，硬件廠商可以持續賺錢。

硬件是一個入口，聯想以前沒有把這個入口利用好賺錢，現在開始利用了。只是聯想現在先從廣告開始，選了一個不太靠譜的Superfish，造成了今天的麻煩。

二、Superfish做錯了什么?

Superfish成立于2006年，在經過了四年的研發后才發布了自己的首款產品。去年，該公司剛剛開始進軍全新的應用開發領域。

Superfish在廣告應用中所使用的技術是非常先進的，它內置的算法可以幫助用戶找到和發現產品，并且可以在搜索引擎中對購物進行圖片分析、搜索以找到更低的價格。其實算是廣告軟件中比較優秀的。

Superfish依賴于搜索引擎，而谷歌去年默認開啟了SSL連接協議，Superfish無法繼續在谷歌搜索結果中顯示自己的廣告內容。于是它開始耍流氓，以中間人的方式劫持SSL鏈接。

Superfish采用了komodia公司的SDK，將一個自簽名數字證書植入到用戶計算機。這不僅僅可以顯示廣告內容，還可以在用戶不知情的情況下截獲所有基于TLS的加密通訊內容，或許是IMAPS協議收取郵箱時的密碼，或許是一次HTTPS銀行登錄表單。這是非常非常危險的，用戶的隱私和密碼都可能泄露。而更糟的是證書私鑰選擇了統一的密碼(公司名：komodia)，這個極其簡單的密碼現在被破解并且到處流傳。

這意味著，不僅僅是Superfish公司可以窺探用戶的隱私，而是任何人都可以在同一網絡獲得用戶隱私信息。這個簡直就是要逆天。

本來是為了顯示廣告，采用的手段卻是耍流氓，而結果是恐怖的隱私和密碼泄露。而聯想偏偏在自己的筆記本電腦里面預裝了它……，消費者的憤怒就不難理解了。雖然聯想本身就是最大的受害者(廣告分成恐怕還沒拿到手，信任危機就來了)，但是責任還是要承擔的，CTO出來道歉也就在所難免了。

三、Superfish事件的教訓是什么?

從小米之后，軟硬件一體體系化，賺取綜合利潤就是業界的共識，無論是硬件還是軟件，都拼命給用戶增加各種各樣的服務，試圖獲取后續的利潤。

但是在這個過程中，消費者的隱私和選擇權被漠視了。用戶花錢買到了一款硬件產品，附帶了一大堆軟件和服務，而消費者并不知道這些軟件和服務是否安全。

硬件廠商即使想做體系，也有責任幫助用戶把關，尊重用戶的選擇權，尊重用戶的隱私，保護用戶是數據安全。選擇靠譜的軟件和服務。

而在隱私權淡漠的中國，廠商往往的利益優先，不去做這些工作的。我們看看自己的智能手機，里面預裝了多少東西，這些APP涉及哪些權限?

什么通話記錄、短信內容、通訊錄，錄音、拍照、位置、攝像頭，連個手電筒軟件都要用戶這些隱私，你是想干什么?

這種思路到了注重隱私權的國外，自然要摔跟頭。聯想在與Superfish合作前，沒把對方的底摸清，沒把對方的技術徹底弄明白，把風險評估清楚，就貿然預裝，挨了板子也就不冤枉了。本來聯想、華為這些中國企業在海外就被歧視，這次事件只會讓聯想更困難，真是因小失大。芝麻沒撿到，西瓜卻反而丟了.......

硅谷究竟有多遠?點擊此處了解詳情，和我們一起上硅谷!