ผู้อ่านเว็บไซต์สำคัญๆ เช่นVice News , CNET , The Verge , Neowinและอื่นๆ ได้รับความเสี่ยงด้านความปลอดภัยมาตั้งแต่ปี 2015 เนื่องจากโฆษณาที่เรียกใช้จากแพลตฟอร์ม^{(platform use)}โฆษณาของ PowerLinks^{(PowerLinks advertising)} ใช้ ใบรับรองSSL ที่ หมดอายุ นี่คือสิ่งที่เกิดขึ้น สิ่งที่คุณเปิดเผยเมื่ออ่านสิ่งพิมพ์ที่มี โฆษณา PowerLinksและสิ่งที่คุณทำได้เพื่อความปลอดภัย:

โฆษณาที่แสดงผ่าน PowerLinks มีใบรับรอง SSL^(SSL)ที่หมดอายุในเดือนตุลาคม 2015^{(October 2015)}

ขณะอ่านเว็บไซต์หลายแห่งบนคอมพิวเตอร์ส่วนตัวของฉัน ฉันสังเกตเห็นว่าโซลูชันด้านความปลอดภัย^{(security solution)} ของฉัน กำลังบ่นว่าเบราว์เซอร์ของฉันพยายามสื่อสารผ่านช่องทางที่เข้ารหัสด้วยใบรับรองที่ไม่น่าเชื่อถือ โปรแกรมป้องกันไวรัสของฉันไม่สามารถรับประกันความถูกต้องของโดเมนที่สร้างการเชื่อมต่อที่เข้ารหัสได้ และสิ่งนี้ทำให้เกิดความเสี่ยงด้านความปลอดภัย^{(security risk)}สำหรับฉัน ตอนแรกฉันเพิกเฉยต่อคำเตือนนี้และอ่านต่อไป อย่างไรก็ตาม หลังจากที่ได้ดูมันในเว็บไซต์ใหญ่ๆ หลายแห่ง ผมก็เริ่มให้ความสนใจและศึกษาสิ่งต่างๆ อย่างละเอียดมากขึ้น

ฉันรู้สึกประหลาดใจที่พบว่าคำเตือนนี้แสดงบนสื่อสิ่งพิมพ์ออนไลน์ขนาดใหญ่ และมักเกิดจากโฆษณาที่แสดงจาก pw.powerlinks.com ทั้งหมดมีใบรับรอง SSL^{(SSL certificate)}ที่หมดอายุในเดือนตุลาคม 2015^{(October 2015)}ดังที่คุณเห็นด้านล่าง

เพื่อตรวจสอบอีกครั้งว่านี่เป็นความจริงและไม่ใช่แค่การแจ้งเตือนที่ผิดพลาด ฉันได้ลองใช้ผลิตภัณฑ์รักษาความปลอดภัย^{(security product)} ชั้นยอดอีกตัวหนึ่ง และผลลัพธ์ก็เหมือนเดิม ฉันสำรวจเว็บไซต์จำนวนมากขึ้นและสังเกตเห็นว่าปัญหาเดียวกันนี้เกิดขึ้นซ้ำแล้วซ้ำเล่าสำหรับชื่อใหญ่ๆ ใน โลก ของสำนักพิมพ์^{(publishing world)}

PowerLinks เสนอ^{(PowerLinks offer)}อะไร ให้ ผู้เผยแพร่?

ตามเว็บไซต์อย่างเป็นทางการของพวกเขาPowerLinksมีโซลูชั่นและบริการการโฆษณาที่ครอบคลุม พวกเขาเสนอเซิร์ฟเวอร์โฆษณา^{(Ad Server)}สำหรับไซต์ในกลุ่มลูกค้าแพลตฟอร์ม Ad Exchange^{(Ad Exchange platform)}โฆษณาเนทีฟ (ในข้อความ ในวิดีโอ โฆษณาในรูปภาพ ในฟีด และโฆษณาบนหน้าจอ) และอื่นๆ

เหตุใดจึงเป็นปัญหา ปัญหาที่เราพบเมื่อเว็บไซต์แสดงโฆษณาที่มีใบรับรองSSL ที่หมดอายุ^(SSL)

หากคุณไม่ได้ ติดตั้ง ระบบรักษาความปลอดภัย^{(security solution)} ที่ดี คุณอาจไม่เคยสังเกตเห็นปัญหานี้ อย่างไรก็ตาม หากคุณใช้โปรแกรมป้องกันไวรัสที่ดีซึ่งสแกนการรับส่งข้อมูลHTTP^{(HTTP traffic)} ของคุณ ในแบบเรียลไทม์ คุณจะรู้สึกรำคาญกับข้อความแจ้งความปลอดภัย^{(security prompt)}ในสื่อสิ่งพิมพ์ขนาดใหญ่หลายแห่งที่ใช้บริการโฆษณาของPowerLinks

นอกจากปัจจัยที่สร้างความรำคาญ^{(annoyance factor)}แล้ว เราได้ถามCatalin Patrascu (หัวหน้าแผนกรักษาความปลอดภัยข้อมูลและการตรวจสอบ ที่ ^{(Information Security and Monitoring Department)}ทีมตอบสนองเหตุการณ์ด้านความปลอดภัยคอมพิวเตอร์แห่งชาติ^{(National Computer Security Incident Response Team)}ของโรมาเนีย) เกี่ยวกับความเสี่ยงด้านความปลอดภัยที่เกี่ยวข้องกับโฆษณาเหล่านี้ และเขาระบุดังต่อไปนี้:

“ในทางทฤษฎี การตรวจสอบใบรับรอง SSL สามารถทำได้แม้ว่าจะหมดอายุแล้ว สำหรับผู้ใช้ที่คุ้นเคยกับข้อผิดพลาดนี้และไม่ตรวจสอบใบรับรอง SSL ทุกครั้งที่ได้รับข้อผิดพลาด มีความเสี่ยงที่จะถูกเปลี่ยนเส้นทางไปยังอันตราย^{("Theoretically, the verification of SSL certificates can be done even though they are expired. For the users that get used to this error and don't check the SSL certificate each time they get the error, there is the risk of getting redirected to malicious pages and becoming the target of man-in-the-middle attacks")} หน้าและกลายเป็นเป้าหมายของการโจมตี แบบคนกลาง"

สิ่งสำคัญอีกประการที่ควรพิจารณาคือโฆษณาเหล่านี้ติดตามข้อมูลผู้ใช้และพฤติกรรมของผู้ใช้ด้วย ข้อมูลนี้ถูกส่งผ่านช่องทางที่ไม่ปลอดภัย^{(insecure channel)}ทำให้เสี่ยงต่อการถูกสกัดกั้นโดยบุคคลที่ไม่ต้องการ

เว็บไซต์ที่ได้รับผลกระทบจากปัญหานี้ ได้แก่ The Verge , Vice News , CNETและอีกมากมาย

เราไม่ทราบรายชื่อเว็บไซต์ที่ได้รับผลกระทบจากปัญหานี้ เราคิดว่า ลูกค้า PowerLinks ทั้งหมด มีความเสี่ยง จนถึงตอนนี้ เราได้ระบุปัญหานี้ในสื่อสิ่งพิมพ์ขนาดใหญ่เช่น The Verge , Vice News , CNET , Neowin และอื่น^{(Neowin and others)}ๆ เว็บไซต์เหล่านี้มีผู้อ่านหลายสิบล้านคนในแต่ละเดือน และความปลอดภัยของผู้ชมได้รับความเสี่ยงทุกวันที่พวกเขาเรียกใช้ โฆษณา PowerLinksตั้งแต่เดือนตุลาคม 2015^{(October 2015)}

ปัญหานี้เกิดจากความประมาทเลินเล่อในส่วนของPowerLink

สิ่งที่เรากำลังทำอยู่ที่นี่คือความประมาทเลินเล่อ ใบรับรอง SSL^(SSL)เหล่านี้ยังไม่หมดอายุในสองสามวันหรือหนึ่งเดือน หมดอายุแล้วตั้งแต่ปี 2015 และ PowerLinks ไม่ได้ทำงานเพื่อนำเสนอโซลูชันการโฆษณาที่ปลอดภัยแก่ทั้งสิ่งพิมพ์ออนไลน์และผู้อ่านสิ่งพิมพ์เหล่านั้น ทีมเทคนิคของพวกเขาไม่ได้สังเกตว่าแพลตฟอร์มโฆษณา^{(advertising platform)} ของพวกเขา ใช้ใบรับรอง SSL^(SSL)ที่หมดอายุมาหลายปีแล้วและไม่ได้ทำอะไรเพื่อแก้ปัญหานี้ในขณะที่ทำให้ผู้อ่านหลายล้านคนตกอยู่ในความเสี่ยง ผู้สร้าง มัลแวร์^{(Did malware)}ใช้ประโยชน์จากปัญหานี้หรือไม่ นั่นเป็นคำถามที่ดี และเราไม่แน่ใจว่า PowerLinks สามารถตอบได้หรือไม่ ในท้ายที่สุดพวกเขาไม่ได้ดูแลพื้นฐานเช่นวันหมดอายุด้วยซ้ำ

ผลิตภัณฑ์ ความปลอดภัยใด^{(Which security)}ช่วยให้ฉันค้นพบปัญหานี้

ครั้งแรกที่ฉันพบปัญหานี้คือตอนที่ฉันกำลังนำทางไปยังบางเว็บไซต์ที่ฉันกล่าวถึงก่อนหน้านี้ และใช้ESET Smart Securityเป็นโปรแกรมป้องกันไวรัสของฉัน

ปัญหานี้ได้รับการยืนยันโดยKaspersky Total Securityดังที่คุณเห็นด้านล่าง

เรายินดีที่ผลิตภัณฑ์เหล่านี้ทำงานในการแจ้งให้เราทราบและทำให้เราปลอดภัยจากช่องโหว่ด้านความปลอดภัยของ แพลตฟอร์มโฆษณา PowerLinksและช่วยให้เราคลี่คลายสิ่งที่เกิดขึ้น เป็นข้อพิสูจน์เพิ่มเติมว่าคุณควรติดตั้งผลิตภัณฑ์ป้องกันไวรัส^{(antivirus product)} ของบริษัทอื่นเสมอ และหยุดการท่องเว็บโดยไม่ปลอดภัย หากคุณอยากทราบข้อมูลเพิ่มเติมเกี่ยวกับความเสี่ยงที่เกี่ยวข้องกับการท่องเว็บโดยไม่มีการป้องกัน โปรดอ่านการทดลองนี้ที่เราดำเนินการ: วิธีแพร่เชื้อพีซีที่ใช้ Windows^{(Windows PC)} ของคุณ ขณะเรียกดูเว็บเพื่อรับข้อมูลฟรี

เราทำอะไรเพื่อช่วยผู้อ่านและสิ่งพิมพ์ที่ได้รับผลกระทบจากปัญหาด้านความปลอดภัยนี้^{(security issue)} ?

ก่อนอื่น^(First)เราเขียนบทความนี้เพื่อแจ้งให้ทุกคนทราบในเรื่องนี้ นอกจากนี้เรายังขอความคิดเห็นอย่างเป็นทางการจากPowerLinks อย่างไรก็ตาม อีเมลติดต่ออย่างเป็นทางการของพวกเขาใช้ไม่ได้ และทั้งหมดที่เราได้รับคือ การแจ้งเตือนสถานะการจัดส่งล้มเหลว^{(Status Notification Failure)}ซึ่งคุณสามารถดูได้ด้านล่าง

เราส่งบทความนี้ไปยังสื่อสิ่งพิมพ์ทั้งหมดที่เราพบว่าได้รับผลกระทบ เช่นเดียวกับPowerLinksโดยใช้ช่องทางโซเชียลมีเดีย เราหวังว่าพวกเขาจะไม่เพิกเฉยต่อข้อความของเราและจะใช้มาตรการเพื่อแก้ไขปัญหานี้

UPDATE (03/21/2017):ในที่สุดเราก็สามารถส่งข้อความของเราไปที่PowerLinksและเราได้รับคำตอบต่อไปนี้จากBranden Smytheรองประธานฝ่ายพัฒนาธุรกิจ^{(VP Business Development)} :

"ฉันได้รับแจ้งว่าคุณติดต่อ PowerLinks เราจะแก้ไขข้อกังวลที่คุณโพสต์ในไม่ช้า"^{("I received notice that you reached out to PowerLinks. We will address the concerns you posted shortly.")}

วันนี้ เราได้ตรวจสอบเว็บไซต์ที่เราพบปัญหาที่เราอธิบายอีกครั้ง และตอนนี้สิ่งต่างๆ ก็ทำงานได้ดี ดูเหมือนว่าPowerLinksได้ทำตามขั้นตอนที่จำเป็นเพื่อรักษาความปลอดภัยในการแสดงโฆษณา^{(ad delivery)}บนเว็บไซต์ทั้งหมด ซึ่งถือว่าดีมาก หวังว่า^(Hopefully)พวกเขาจะได้เรียนรู้จากปัญหานี้และดูแลพื้นฐานความปลอดภัยให้ดีขึ้น เช่นวันหมดอายุ^{(expiration date)}ของใบรับรองSSL

คุณสามารถทำอะไรได้บ้างเพื่อป้องกันตัวเองจากโฆษณาPowerLinks ที่ไม่ปลอดภัย^(PowerLinks)

หากโซลูชันการรักษาความปลอดภัย^{(security solution)} ของคุณ บ่นเกี่ยวกับใบรับรอง SSL^(SSL) ที่หมดอายุซึ่ง ใช้โดย โฆษณา PowerLinksคุณควรบล็อกพวกเขา หากคุณไม่มีโปรแกรมป้องกันไวรัสที่สแกนการรับส่งข้อมูล HTTP^{(HTTP traffic)} แบบเรียลไทม์ คุณควรเรียกใช้เว็บไซต์เหล่านี้โดยใช้โหมดการเรียกดูแบบส่วนตัวที่บล็อกโฆษณาที่ไม่ปลอดภัยหรือหาวิธีอื่นในการบล็อก เราไม่ได้เป็นแฟนของการบล็อกโฆษณาบนเว็บไซต์ที่เรากล่าวถึงเพราะการโฆษณาเป็นสิ่งที่ทำให้สิ่งตีพิมพ์เหล่านี้สามารถให้เนื้อหาที่ยอดเยี่ยมแก่ทุกคนได้ หวังว่าปัญหานี้จะได้รับการแก้ไขในเร็วๆ นี้ และเราทุกคนสามารถเพลิดเพลินกับสิ่งพิมพ์ที่เราชื่นชอบได้อย่างปลอดภัย โดยไม่ปิดกั้นโฆษณาของพวกเขา และปล่อยให้พวกเขาได้รับรายได้จากการทำงานของพวกเขา

PowerLinks ads put millions of readers at risk, from major publications like The Verge, Vice News and more

Readers of major websites like Vice News, CNEΤ, The Verge, Neowin and more, have been exposed to securitу risks since 2015 because the аds they run from the PowerLinks advertising platform use expired SSL certificates. Here's what іs going on, what you are exposing yourself to when reading publications that include PowerLinks ads and what you can do to stay safe:

The ads served through PowerLinks have SSL certificates that expired in October 2015

While reading several websites on my personal computer, I have noticed that my security solution was complaining that my browser is trying to communicate over a channel that is encrypted with an untrusted certificate. My antivirus could not guarantee the authenticity of the domain to which the encrypted connection was established, and this posed a security risk for me. Initially, I ignored this warning and just kept reading. However, after seeing it on several big websites, I started paying attention and studied things in more detail.

I was surprised to find that this warning is shown on large online publications and it is always caused by ads served from pw.powerlinks.com. All of them have an SSL certificate that expired in October 2015, as you can see below.

To double check whether this was true and not just a false alarm, I tried another top-notch security product, and the results were the same. I navigated more websites and noticed that the same problem was repeating for some big names in the publishing world.

What does PowerLinks offer publishers?

According to their official website, PowerLinks has a comprehensive portfolio of advertising solutions and services. They offer an Ad Server for the sites in their portfolio of clients, an Ad Exchange platform, native ads (in-text, in-video, in-image, in-feed and in-display ads) and more.

Why is this an issue? The problems we're exposed to when websites display ads with expired SSL certificates

If you don't have a good security solution installed, you might never notice this issue. However, if you use a good antivirus which scans your HTTP traffic in real-time, then you will be annoyed by a security prompt on several large media publications that use advertising services provided by PowerLinks.

Leaving the annoyance factor aside, we asked Catalin Patrascu (head of the Information Security and Monitoring Department at the Romanian National Computer Security Incident Response Team) about the security risks involved with these ads, and he stated the following:

"Theoretically, the verification of SSL certificates can be done even though they are expired. For the users that get used to this error and don't check the SSL certificate each time they get the error, there is the risk of getting redirected to malicious pages and becoming the target of man-in-the-middle attacks".

Another important thing to consider is that these ads also track user data and user behavior. This data is sent through an insecure channel, leaving it vulnerable to interception by unwanted parties.

The websites that are affected by this issue include: The Verge, Vice News, CNET, and more

We don't know the exact list of websites that are impacted by this issue. We assume that all PowerLinks customers are at risk. So far, we have identified this problem on large media publications like The Verge, Vice News, CNET, Neowin and others. These websites have dozens of millions of readers each month, and the security of their audience has been put at risk every day they have run PowerLinks ads, since October 2015.

This problem is caused by plain negligence on PowerLink's part

What we are dealing here is plain negligence. These SSL certificates have not been expired for a couple of days or a month. They have been expired since 2015 and PowerLinks are not doing their job of offering secure advertising solutions to both online publications and readers of those publications. Their technical team did not notice that their advertising platform uses SSL certificates that have been expired for years and did nothing to solve this problem while putting millions of readers at risk. Did malware creators exploit this issue? That's a good question, and we're not sure whether PowerLinks can answer. In the end, they did not even take care of basics like expiration dates.

Which security products helped me discover this issue?

The first time I found this problem was when I was navigating some of the websites I mentioned earlier and used ESET Smart Security as my antivirus.

This issue was also confirmed by Kaspersky Total Security, as you can see below.

We're pleased that these products did their job in informing us and keeping us safe from the security vulnerabilities of the PowerLinks ads platform and helps us unravel what is going on. It's further proof that you should always install a third-party antivirus product and stop browsing the web, unsecured. If you are curious to learn more about the risks involved with browsing the web unprotected, read this experiment that we have run: How to infect your Windows PC while browsing the web for free stuff.

What did we do to help readers and publications that are affected by this security issue?

First of all, we wrote this article to inform everyone on this matter. We also asked PowerLinks for an official comment. However, their official contact e-mail doesn't work, and all we received is a Delivery Status Notification Failure, which you can see below.

We sent this article to all the media publications that we've found that are affected, as well as to PowerLinks, using their social media channels. We hope that they won't ignore our message and will take measures to fix this problem.

UPDATE (03/21/2017): We finally managed to get our message sent to PowerLinks, and we received the following answer from Branden Smythe, VP Business Development:

"I received notice that you reached out to PowerLinks. We will address the concerns you posted shortly."

Today, we checked again the websites where we have found the issues that we described and things are now working well. It seems that PowerLinks has performed the necessary steps to secure their ad delivery on all websites, which is great. Hopefully, they will learn from this problem and take better care of security basics like the expiration date of SSL certificates.

What can you do to protect yourself from insecure PowerLinks ads?

If your security solution is complaining about the expired SSL certificates used by PowerLinks ads, you should block them. If you don't have an antivirus which scans your real-time HTTP traffic, then you should run these websites using private browsing modes that also block the insecure ads or find some other way of blocking them. We are not fans of blocking ads on the websites that we have mentioned because advertising is what keeps these publications able to provide everyone with great content. Hopefully, this problem will be solved soon, and we can all enjoy our favorite publications, safely, without blocking their advertising and allowing them to earn revenue from their work.

Related posts

• Jamey Heary จาก Cisco: องค์กรที่ทำงานกับข้อมูลที่ละเอียดอ่อน ใช้ WiFi, VPN ที่เข้ารหัส และแอปที่เข้ารหัส

• ความปลอดภัยทางไซเบอร์ผ่านการศึกษา: Kaspersky Interactive Protection Simulation

• รางวัล - ผลิตภัณฑ์แอนตี้ไวรัสที่ได้รับความนิยมมากที่สุดแห่งปี 2017

• มีอะไรใหม่ในการอัปเดต Windows 10 พฤศจิกายน 2019

• ฟีเจอร์ใหม่ที่จะมาใน Windows Defender ใน Windows 10 Creators Update

• ค้นหาเมื่อติดตั้ง Windows install date ดั้งเดิมคืออะไร

• วิธีการแก้ไขล้างและลบตัวแปรสภาพแวดล้อมใน Windows

• 12+ เหตุผลที่คุณควรได้รับการอัปเดต Windows 10 เมษายน 2018

• วินโดวส์ 10 May 2021 ปรับปรุง: มีอะไรใหม่และลบหรือไม่

• แนวทางปฏิบัติที่น่ารำคาญ 5 อันดับแรกของผู้จำหน่ายโปรแกรมป้องกันไวรัส

• Windows 10 Sucks! นี่คือเหตุผล 12 ประการที่ทำไม!

• การเปรียบเทียบ: แอนตี้ไวรัสตัวไหนดีที่สุดสำหรับอุปกรณ์ Windows ในปี 2018?

• รางวัล: ผลิตภัณฑ์แอนตี้ไวรัสฟรีที่ดีที่สุดแห่งปี 2018

• Mode ปลอดภัยคืออะไร

• 6 วิธีออกจากระบบ Windows 11

• 13 สิ่งที่ดีที่สุดเกี่ยวกับ Windows 10

• 10 สิ่งที่ยอดเยี่ยมเกี่ยวกับ Chrome OS, Chromebooks และ Chromeboxes

• คุณสมบัติที่ดีที่สุดของ Windows 11: 8 สิ่งที่ดีเกี่ยวกับมัน

• 9 เกณฑ์สำคัญที่จะใช้เมื่อเลือกซอฟต์แวร์ป้องกันไวรัสของคุณ

• 8 เหตุผลที่ Cyberghost VPN เป็นหนึ่งใน VPN ที่ดีที่สุดในตลาด