Was die Forscher im Store fanden

Die norwegische Sicherheitsfirma Mnemonic untersuchte Apps aus Samsungs Smart-TV-Plattform und fand Software, die ein Residential-Proxy-Netz aufbaut. Läuft eine solche App, kann ein Dritter seinen Internetverkehr über den Heim- oder Büroanschluss des Fernsehers leiten. Der unangenehmste Einzelfund war die Fundstelle: ein Pac-Man-Titel, den Samsung selbst im Bereich Editor's Choice seiner empfohlenen Apps beworben hatte, mit Code von Bright Data, einem Proxy-Anbieter mit Sitz in Israel. Einige der betroffenen Apps gaben Installationen auf Hunderten Millionen Smart-TVs an.

Samsungs Antwort ist für eine Herstellererklärung ungewöhnlich konkret. Das Unternehmen erklärte, es habe neue App-Registrierungen mit Proxy-Funktionen auf seiner Smart-TV-Plattform bereits eingeschränkt, es setze plattformweit strenge Entwicklerrichtlinien um, die Residential-Proxy-SDKs ausdrücklich verbieten, und es arbeite daran, alle Apps im Store mit diesen Komponenten zu identifizieren und zu entfernen. Drei Zusagen, jede mit der Zeit überprüfbar, und das ist mehr, als solche Erklärungen sonst bieten.

Es ist auch nicht die erste Plattform, die handelt. LG erklärte im Juli, Apps zu sperren, die den Fernseher eines Kunden in einen Residential Proxy verwandeln können, nachdem Berichte darauf hindeuteten, dass rund 42 Prozent der Apps auf seiner Plattform diese Funktion trugen. Bei dieser Zahl lohnt das Verweilen. Wenn zwei der größten Fernsehplattformen der Welt in dieser Größenordnung betroffen sind, lautet der richtige Schluss nicht, dass ein Hersteller nachlässig war.

Warum ein Fernseher der ideale Wirt ist

Die Mechanik: Ein Residential-Proxy-Dienst verkauft Zugriff auf IP-Adressen, die wie gewöhnliche Verbraucher aussehen, denn Verkehr von einer Haushaltsadresse besteht Prüfungen, an denen Rechenzentrumsverkehr scheitert. Käufer nutzen das für Werbeprüfung und Preisauslesen, ebenso aber für Credential Stuffing, Betrug und das Umgehen geografischer Sperren. Das Problem liegt auf der Angebotsseite: Jemand muss die Adressen liefern, und der billigste Weg dorthin ist ein SDK in kostenloser Software, die Nutzer freiwillig installieren.

Ein Smart-TV kommt dem idealen Wirt für dieses Arrangement sehr nahe. Er ist fast dauerhaft eingeschaltet oder im Bereitschaftsbetrieb und damit rund um die Uhr verfügbar. Seine Apps aktualisieren sich nach eigenem Zeitplan, seine Firmware wird selten gepflegt und nach einigen Jahren oft gar nicht mehr. Er hat eine schnelle Verbindung und niemanden, der einen Taskmanager beobachtet. Vor allem hält ihn niemand im Haus für einen Computer, weshalb er in keinem Anlagenverzeichnis, keinem Schwachstellenscan und keiner Abgangsliste auftaucht. Er sitzt im vertrauenswürdigen Netz, weil ihn jemand aus der Haustechnik in den nächstgelegenen Anschluss gesteckt hat.

Die ehrliche Fassung des Risikos: Hier bricht kein Angreifer ein. Hier nutzt ein kommerziell betriebener Dienst einen von Ihnen gekauften Bildschirm über eine von jemandem installierte App und tut genau das, wofür der Code geschrieben wurde. Das ist weit dauerhafter als ein Einbruch, denn es gibt keinen Vorfall zu entdecken und nichts im Netz, das auffällig aussieht. Es ist schlicht ausgehender Verkehr eines Geräts, das ausgehenden Verkehr erzeugen darf.

Die Rechnung kommt als Ihre IP-Adresse

Für einen Haushalt geht es hier vor allem um Bandbreite und Einwilligung. Für ein Unternehmen geht es um Zurechnung, und das ist eine andere Größenordnung. Jede Anfrage, die ein Fremder über Ihren Anschluss leitet, verlässt ihn mit Ihrer öffentlichen IP-Adresse. Diese Adresse gehört Ihnen in jeder praktischen Hinsicht: Sie ist auf Ihr Unternehmen registriert, sie erscheint in den Protokollen Ihrer Partner, und sie ist das, was ein Ermittler sieht.

Die Schadensbilder sind unspektakulär und teuer. Ihre Adresse landet auf einer Reputationssperrliste, und Ihre legitimen Mails landen im Spam, ohne dass jemand die Ursache findet. Ein Zahlungsdienstleister oder die Web Application Firewall eines Kunden drosselt oder blockiert Ihren Verkehr, weil diese Adresse beim Credential Stuffing gesehen wurde. Das Sicherheitsteam eines Partners bittet Sie um Erklärung für Aktivitäten, die Sie nicht erklären können, weil sie aus keinem Ihnen bekannten System stammen. Im schlimmsten Fall ist der geleitete Verkehr kriminell, die Adresse führt zu Ihrem Unternehmen, und Sie halten die Korrespondenz in der Hand.

Nichts davon trifft mit dem Etikett Smart-TV-Problem ein. Es trifft als Zustellproblem ein, als unerklärte WAF-Sperre, als Compliance-Frage in einer Lieferantenprüfung. Firmen verbringen dann typischerweise Wochen mit der falschen Ursache, weil das Gerät, das den Verkehr erzeugt, auf keiner Liste der Geräte steht, die sie zu betreiben glauben. Diese diagnostische Lücke ist der eigentliche Kostenfaktor, und deshalb zählt der Inventurschritt weiter unten mehr als die Aufräumaktion eines einzelnen Herstellers.

Was mit den Bildschirmen zu tun ist, die Sie schon haben

Gehen Sie davon aus, dass die Herstellerlösung Sie nicht erreicht. Samsungs Maßnahme betrifft neue Einreichungen, die Entwicklerrichtlinie und Entfernungen aus dem Store. Der Fernseher an Ihrem Empfang, in Ihren Besprechungsräumen, im Ausstellungsraum, im Wartebereich oder in der Kantine hat die App bereits installiert, und ob die Entfernung ihn erreicht, hängt davon ab, ob sich das Gerät meldet und die Änderung anwendet. Nehmen Sie an, dass es das nicht getan hat.

Drei Schritte, nach Nutzen geordnet: Erstens notieren Sie jeden internetfähigen Bildschirm, den Sie besitzen, auch die in Räumen, die niemand bucht, und die aus einem Mietvertrag übernommenen. Zweitens setzen Sie sie in ein eigenes VLAN oder ein Gastnetz mit ausgehendem Verkehr, der auf das tatsächlich Nötige beschränkt ist, und das ist bei einem Display mit Signage- oder Streaming-App eine kurze Liste. Drittens prüfen Sie Ihre öffentlichen IP-Bereiche gegen die gängigen Missbrauchs- und Sperrlisten, denn wenn der Verkehr bereits floss, stehen Sie womöglich schon darauf und haben die beiden Tatsachen nur nicht verbunden.

Wenden Sie dann die allgemeine Regel an, die dieser Fall zeigt. Wenn ein vernetztes Gerät kostenlose Software ausführt, keine Werbung zeigt und kein Abonnement verlangt, kommt der Erlös irgendwoher, und die zwei Dinge, die es verkaufen kann, sind Ihre Daten und Ihre Adresse. Diese Frage gehört in die Beschaffung, bevor der Bildschirm an der Wand hängt. Wo das Budget es erlaubt, ist ein Display ohne Smart-Plattform, angesteuert von einem verwalteten Player, den Sie kontrollieren, sowohl günstiger abzusichern als auch leichter zu durchschauen, und es beseitigt eine ganze Problemklasse dauerhaft.

Weiterlesen: Speicherpreise schafften, was das Note 7 nicht schaffte  |  Samsung teilt das Fold in zwei Formen