Pembaca situs web besar seperti Vice News , CNET , The Verge , Neowin dan banyak lagi, telah menghadapi risiko keamanan sejak 2015 karena iklan yang mereka jalankan dari platform ^{(platform use)}periklanan PowerLinks^{(PowerLinks advertising)} menggunakan sertifikat SSL yang kedaluwarsa . Inilah yang terjadi, apa yang Anda hadapi saat membaca publikasi yang menyertakan iklan PowerLinks dan apa yang dapat Anda lakukan untuk tetap aman:

Iklan yang ditayangkan melalui PowerLinks memiliki sertifikat SSL yang kedaluwarsa pada Oktober 2015^{(October 2015)}

Saat membaca beberapa situs web di komputer pribadi saya, saya perhatikan bahwa solusi keamanan^{(security solution)} saya mengeluh bahwa browser saya mencoba berkomunikasi melalui saluran yang dienkripsi dengan sertifikat yang tidak tepercaya. Antivirus saya tidak dapat menjamin keaslian domain tempat koneksi terenkripsi dibuat, dan ini menimbulkan risiko keamanan^{(security risk)} bagi saya. Awalnya, saya mengabaikan peringatan ini dan terus membaca. Namun, setelah melihatnya di beberapa situs besar, saya mulai memperhatikan dan mempelajarinya lebih detail.

Saya terkejut menemukan bahwa peringatan ini ditampilkan pada publikasi online besar dan selalu disebabkan oleh iklan yang ditayangkan dari pw.powerlinks.com. Semuanya memiliki sertifikat SSL^{(SSL certificate)} yang habis masa berlakunya pada Oktober 2015^{(October 2015)} , seperti yang bisa Anda lihat di bawah ini.

Untuk memeriksa ulang apakah ini benar dan bukan hanya alarm palsu, saya mencoba produk keamanan^{(security product)} terbaik lainnya , dan hasilnya sama. Saya menjelajahi lebih banyak situs web dan memperhatikan bahwa masalah yang sama berulang untuk beberapa nama besar di dunia penerbitan^{(publishing world)} .

Apa yang ditawarkan PowerLinks kepada^{(PowerLinks offer)} penerbit?

Menurut situs web resmi mereka, PowerLinks memiliki portofolio solusi dan layanan periklanan yang komprehensif. Mereka menawarkan Server Iklan^{(Ad Server)} untuk situs dalam portofolio klien mereka, platform Ad Exchange^{(Ad Exchange platform)} , iklan bawaan (iklan dalam teks, dalam video, dalam gambar, dalam umpan, dan dalam tampilan) dan banyak lagi.

Mengapa ini menjadi masalah? Masalah yang kami hadapi saat situs web menampilkan iklan dengan sertifikat SSL yang kedaluwarsa^(SSL)

Jika Anda tidak menginstal solusi keamanan^{(security solution)} yang baik , Anda mungkin tidak akan pernah melihat masalah ini. Namun, jika Anda menggunakan antivirus bagus yang memindai lalu lintas HTTP^{(HTTP traffic)} Anda secara real-time, maka Anda akan terganggu oleh perintah keamanan^{(security prompt)} di beberapa publikasi media besar yang menggunakan layanan periklanan yang disediakan oleh PowerLinks .

Mengesampingkan faktor gangguan^{(annoyance factor)} , kami bertanya kepada Catalin Patrascu (kepala Departemen Keamanan dan Pemantauan Informasi di ^{(Information Security and Monitoring Department)}Tim Respons Insiden Keamanan Komputer Nasional^{(National Computer Security Incident Response Team)} Rumania ) tentang risiko keamanan yang terkait dengan iklan ini, dan dia menyatakan sebagai berikut:

“Secara teoritis, verifikasi sertifikat SSL dapat dilakukan meskipun sudah kadaluwarsa. Bagi pengguna yang terbiasa dengan kesalahan ini dan tidak memeriksa sertifikat SSL setiap kali mendapatkan kesalahan, ada risiko dialihkan ke situs berbahaya. halaman dan menjadi target serangan man-in-the-middle"^{("Theoretically, the verification of SSL certificates can be done even though they are expired. For the users that get used to this error and don't check the SSL certificate each time they get the error, there is the risk of getting redirected to malicious pages and becoming the target of man-in-the-middle attacks")} .

Hal penting lainnya yang perlu dipertimbangkan adalah bahwa iklan ini juga melacak data pengguna dan perilaku pengguna. Data ini dikirim melalui saluran yang tidak aman^{(insecure channel)} , sehingga rentan terhadap intersepsi oleh pihak yang tidak diinginkan.

Situs web yang terpengaruh oleh masalah ini meliputi: The Verge , Vice News , CNET , dan banyak lagi

Kami tidak tahu persis daftar situs web yang terpengaruh oleh masalah ini. Kami berasumsi bahwa semua pelanggan PowerLinks berisiko. Sejauh ini, kami telah mengidentifikasi masalah ini pada publikasi media besar seperti The Verge , Vice News , CNET , Neowin dan lainnya^{(Neowin and others)} . Situs web ini memiliki lusinan juta pembaca setiap bulan, dan keamanan audiens mereka terancam setiap hari mereka menjalankan iklan PowerLinks , sejak Oktober 2015^{(October 2015)} .

Masalah ini disebabkan oleh kelalaian pihak PowerLink

Apa yang kita hadapi di sini adalah kelalaian biasa. Sertifikat SSL^(SSL) ini belum kedaluwarsa selama beberapa hari atau sebulan. Mereka telah kedaluwarsa sejak 2015 dan PowerLinks tidak melakukan tugas mereka dalam menawarkan solusi periklanan yang aman untuk publikasi online dan pembaca publikasi tersebut. Tim teknis mereka tidak menyadari bahwa platform periklanan^{(advertising platform)} mereka menggunakan sertifikat SSL yang telah kedaluwarsa selama bertahun-tahun dan tidak melakukan apa pun untuk memecahkan masalah ini sambil membahayakan jutaan pembaca. Apakah pembuat malware^{(Did malware)} mengeksploitasi masalah ini? Itu pertanyaan yang bagus, dan kami tidak yakin apakah PowerLinks dapat menjawabnya. Pada akhirnya, mereka bahkan tidak mengurus dasar-dasar seperti tanggal kedaluwarsa.

Produk keamanan mana^{(Which security)} yang membantu saya menemukan masalah ini?

Pertama kali saya menemukan masalah ini adalah ketika saya menavigasi beberapa situs web yang saya sebutkan sebelumnya dan menggunakan ESET Smart Security sebagai antivirus saya.

Masalah ini juga dikonfirmasi oleh Kaspersky Total Security , seperti yang Anda lihat di bawah.

Kami senang bahwa produk ini melakukan tugasnya dalam memberi tahu kami dan menjaga kami tetap aman dari kerentanan keamanan platform iklan PowerLinks dan membantu kami mengungkap apa yang sedang terjadi. Ini bukti lebih lanjut bahwa Anda harus selalu menginstal produk antivirus^{(antivirus product)} pihak ketiga dan berhenti menjelajah web, tanpa jaminan. Jika Anda penasaran untuk mempelajari lebih lanjut tentang risiko yang terkait dengan penjelajahan web tanpa perlindungan, baca eksperimen yang telah kami lakukan ini: Cara menginfeksi PC Windows^{(Windows PC)} Anda saat menjelajahi web untuk mendapatkan barang gratis.

Apa yang kami lakukan untuk membantu pembaca dan publikasi yang terpengaruh oleh masalah keamanan^{(security issue)} ini ?

Pertama^(First) -tama, kami menulis artikel ini untuk memberi tahu semua orang tentang masalah ini. Kami juga meminta PowerLinks untuk memberikan komentar resmi. Namun, email kontak resmi mereka tidak berfungsi, dan yang kami terima hanyalah Kegagalan Pemberitahuan Status^{(Status Notification Failure)} Pengiriman , yang dapat Anda lihat di bawah.

Kami mengirimkan artikel ini ke semua publikasi media yang kami temukan terpengaruh, serta ke PowerLinks , menggunakan saluran media sosial mereka. Kami berharap mereka tidak mengabaikan pesan kami dan akan mengambil tindakan untuk memperbaiki masalah ini.

UPDATE (03/21/2017): Kami akhirnya berhasil mengirim pesan kami ke PowerLinks , dan kami menerima jawaban berikut dari Branden Smythe , VP Business Development :

"Saya menerima pemberitahuan bahwa Anda telah menghubungi PowerLinks. Kami akan segera mengatasi masalah yang Anda posting."^{("I received notice that you reached out to PowerLinks. We will address the concerns you posted shortly.")}

Hari ini, kami memeriksa kembali situs web tempat kami menemukan masalah yang kami jelaskan dan semuanya sekarang berfungsi dengan baik. Tampaknya PowerLinks telah melakukan langkah-langkah yang diperlukan untuk mengamankan penayangan iklan^{(ad delivery)} mereka di semua situs web, yang sangat bagus. Mudah- mudahan^(Hopefully) , mereka akan belajar dari masalah ini dan lebih memperhatikan dasar-dasar keamanan seperti tanggal kedaluwarsa^{(expiration date)} sertifikat SSL .

Apa yang dapat Anda lakukan untuk melindungi diri Anda dari iklan PowerLinks yang tidak aman ?

Jika solusi keamanan^{(security solution)} Anda mengeluh tentang sertifikat SSL kedaluwarsa yang digunakan oleh iklan ^(SSL)PowerLinks , Anda harus memblokirnya. Jika Anda tidak memiliki antivirus yang memindai lalu lintas HTTP^{(HTTP traffic)} real-time Anda, maka Anda harus menjalankan situs web ini menggunakan mode penjelajahan pribadi yang juga memblokir iklan yang tidak aman atau menemukan cara lain untuk memblokirnya. Kami bukan penggemar pemblokiran iklan di situs web yang telah kami sebutkan karena iklanlah yang membuat publikasi ini mampu menyediakan konten yang bagus untuk semua orang. Semoga masalah ini segera teratasi, dan kita semua dapat menikmati publikasi favorit kita dengan aman, tanpa menghalangi iklan mereka dan memungkinkan mereka memperoleh penghasilan dari pekerjaan mereka.

PowerLinks ads put millions of readers at risk, from major publications like The Verge, Vice News and more

Readers of major websites like Vice Newѕ, CNET, The Vergе, Neowin and more, have been exposed to securitу risks sinсe 2015 because the ads they run from the PowerLinks аdvertiѕing platform use expirеd SSL certificates. Here's what is going on, what you are exposing yourself to when reading publicationѕ that include PowerLinks ads and what уou cаn do to stay safe:

The ads served through PowerLinks have SSL certificates that expired in October 2015

While reading several websites on my personal computer, I have noticed that my security solution was complaining that my browser is trying to communicate over a channel that is encrypted with an untrusted certificate. My antivirus could not guarantee the authenticity of the domain to which the encrypted connection was established, and this posed a security risk for me. Initially, I ignored this warning and just kept reading. However, after seeing it on several big websites, I started paying attention and studied things in more detail.

I was surprised to find that this warning is shown on large online publications and it is always caused by ads served from pw.powerlinks.com. All of them have an SSL certificate that expired in October 2015, as you can see below.

To double check whether this was true and not just a false alarm, I tried another top-notch security product, and the results were the same. I navigated more websites and noticed that the same problem was repeating for some big names in the publishing world.

What does PowerLinks offer publishers?

According to their official website, PowerLinks has a comprehensive portfolio of advertising solutions and services. They offer an Ad Server for the sites in their portfolio of clients, an Ad Exchange platform, native ads (in-text, in-video, in-image, in-feed and in-display ads) and more.

Why is this an issue? The problems we're exposed to when websites display ads with expired SSL certificates

If you don't have a good security solution installed, you might never notice this issue. However, if you use a good antivirus which scans your HTTP traffic in real-time, then you will be annoyed by a security prompt on several large media publications that use advertising services provided by PowerLinks.

Leaving the annoyance factor aside, we asked Catalin Patrascu (head of the Information Security and Monitoring Department at the Romanian National Computer Security Incident Response Team) about the security risks involved with these ads, and he stated the following:

"Theoretically, the verification of SSL certificates can be done even though they are expired. For the users that get used to this error and don't check the SSL certificate each time they get the error, there is the risk of getting redirected to malicious pages and becoming the target of man-in-the-middle attacks".

Another important thing to consider is that these ads also track user data and user behavior. This data is sent through an insecure channel, leaving it vulnerable to interception by unwanted parties.

The websites that are affected by this issue include: The Verge, Vice News, CNET, and more

We don't know the exact list of websites that are impacted by this issue. We assume that all PowerLinks customers are at risk. So far, we have identified this problem on large media publications like The Verge, Vice News, CNET, Neowin and others. These websites have dozens of millions of readers each month, and the security of their audience has been put at risk every day they have run PowerLinks ads, since October 2015.

This problem is caused by plain negligence on PowerLink's part

What we are dealing here is plain negligence. These SSL certificates have not been expired for a couple of days or a month. They have been expired since 2015 and PowerLinks are not doing their job of offering secure advertising solutions to both online publications and readers of those publications. Their technical team did not notice that their advertising platform uses SSL certificates that have been expired for years and did nothing to solve this problem while putting millions of readers at risk. Did malware creators exploit this issue? That's a good question, and we're not sure whether PowerLinks can answer. In the end, they did not even take care of basics like expiration dates.

Which security products helped me discover this issue?

The first time I found this problem was when I was navigating some of the websites I mentioned earlier and used ESET Smart Security as my antivirus.

This issue was also confirmed by Kaspersky Total Security, as you can see below.

We're pleased that these products did their job in informing us and keeping us safe from the security vulnerabilities of the PowerLinks ads platform and helps us unravel what is going on. It's further proof that you should always install a third-party antivirus product and stop browsing the web, unsecured. If you are curious to learn more about the risks involved with browsing the web unprotected, read this experiment that we have run: How to infect your Windows PC while browsing the web for free stuff.

What did we do to help readers and publications that are affected by this security issue?

First of all, we wrote this article to inform everyone on this matter. We also asked PowerLinks for an official comment. However, their official contact e-mail doesn't work, and all we received is a Delivery Status Notification Failure, which you can see below.

We sent this article to all the media publications that we've found that are affected, as well as to PowerLinks, using their social media channels. We hope that they won't ignore our message and will take measures to fix this problem.

UPDATE (03/21/2017): We finally managed to get our message sent to PowerLinks, and we received the following answer from Branden Smythe, VP Business Development:

"I received notice that you reached out to PowerLinks. We will address the concerns you posted shortly."

Today, we checked again the websites where we have found the issues that we described and things are now working well. It seems that PowerLinks has performed the necessary steps to secure their ad delivery on all websites, which is great. Hopefully, they will learn from this problem and take better care of security basics like the expiration date of SSL certificates.

What can you do to protect yourself from insecure PowerLinks ads?

If your security solution is complaining about the expired SSL certificates used by PowerLinks ads, you should block them. If you don't have an antivirus which scans your real-time HTTP traffic, then you should run these websites using private browsing modes that also block the insecure ads or find some other way of blocking them. We are not fans of blocking ads on the websites that we have mentioned because advertising is what keeps these publications able to provide everyone with great content. Hopefully, this problem will be solved soon, and we can all enjoy our favorite publications, safely, without blocking their advertising and allowing them to earn revenue from their work.

Related posts

• Jamey Heary dari Cisco: Organisasi yang bekerja dengan informasi sensitif, menggunakan WiFi terenkripsi, VPN, dan aplikasi terenkripsi

• Keamanan siber melalui pendidikan: Simulasi Perlindungan Interaktif Kaspersky

• Penghargaan - Produk antivirus paling populer tahun 2017

• Apa yang baru di Pembaruan Windows 10 November 2019?

• Fitur baru datang ke Windows Defender di Windows 10 Creators Update

• 10 hal hebat tentang Chrome OS, Chromebook, dan Chromebox

• 7 alasan mengapa Anda harus mendapatkan Pembaruan Windows 10 Oktober 2018

• 8 alasan mengapa Cyberghost VPN adalah salah satu VPN terbaik di pasaran

• 15+ alasan mengapa Anda harus mendapatkan Windows 10 Fall Creators Update

• Synology DiskStation Manager 7: BETA tersedia, pembaruan gratis datang pada tahun 2021

• Cara mengedit, menghapus, dan menghapus variabel lingkungan di Windows

• Cara memberi tahu apa Windows yang saya miliki (11 cara)

• Cara membuka, unmount, atau lampirkan secara permanen VHD file di Windows 10

• Penghargaan: Produk antivirus paling populer tahun 2018

• Sebelum menginstal Windows 10 S, pertimbangkan masalah penting ini

• 8 hal yang dapat Anda lakukan dengan ESET EndPoint Encryption (DESlock+)

• 9 kriteria penting untuk digunakan saat memilih perangkat lunak antivirus Anda

• Cara menggunakan Windows USB/DVD Download Tool

• Fitur Terbaik Windows 11: 8 hal hebat tentang itu

• Keamanan untuk semua orang - Review ESET Smart Security Premium