Ce que les chercheurs ont trouvé dans le magasin
La société norvégienne de sécurité Mnemonic a examiné des applications diffusées sur la plateforme téléviseurs de Samsung et y a trouvé un logiciel qui constitue un réseau de proxy résidentiel. Dès qu'une telle application s'exécute, un tiers peut faire transiter son trafic internet par la connexion domestique ou professionnelle du téléviseur. La découverte la plus gênante tient à l'endroit où le code est apparu: un titre Pac-Man que Samsung avait elle-même mis en avant dans la rubrique Editor's Choice de ses applications recommandées, comportant du code de Bright Data, un fournisseur de proxy établi en Israël. Certaines des applications concernées revendiquaient des installations sur des centaines de millions de téléviseurs.
La réponse de Samsung est inhabituellement précise pour une déclaration de constructeur. L'entreprise a indiqué avoir déjà restreint les nouveaux dépôts d'applications intégrant des fonctions de proxy sur sa plateforme, mettre en œuvre des règles strictes pour les développeurs à l'échelle de la plateforme interdisant explicitement les SDK de proxy résidentiel, et travailler à identifier et retirer toutes les applications actuellement en magasin contenant ces composants. Trois engagements, chacun vérifiable avec le temps, ce qui est plus que ce que ces communiqués offrent d'ordinaire.
Ce n'est pas non plus la première plateforme à réagir. LG a annoncé en juillet la suspension des applications capables de transformer le téléviseur d'un client en proxy résidentiel, après des informations indiquant qu'environ 42 pour cent des applications de sa plateforme embarquaient cette fonction. C'est sur ce chiffre qu'il faut s'arrêter. Lorsque deux des plus grandes plateformes télévisuelles du monde sont touchées à cette échelle, la conclusion correcte n'est pas qu'un fabricant a été négligent.
Pourquoi un téléviseur est l'hôte idéal
Le mécanisme: un service de proxy résidentiel vend l'accès à des adresses IP qui ressemblent à celles de particuliers, car le trafic issu d'une adresse résidentielle passe des contrôles que le trafic de centre de données échoue. Les acheteurs s'en servent pour la vérification publicitaire et la collecte de prix, mais aussi pour le bourrage d'identifiants, la fraude et le contournement des restrictions géographiques. Le problème est du côté de l'offre: quelqu'un doit fournir les adresses, et le moyen le moins cher consiste à glisser un SDK dans un logiciel gratuit que les utilisateurs installent volontairement.
Un téléviseur connecté approche de l'hôte parfait pour ce montage. Il est allumé ou en veille presque en permanence, donc disponible en continu. Ses applications se mettent à jour à leur propre rythme et son micrologiciel est rarement corrigé, souvent plus du tout au bout de quelques années. Il dispose d'une connexion rapide et d'aucun utilisateur surveillant un gestionnaire de tâches. Surtout, personne dans l'organisation ne le considère comme un ordinateur, de sorte qu'il ne figure dans aucun inventaire d'actifs, aucun scan de vulnérabilités et aucune procédure de sortie. Il siège dans le réseau de confiance parce que quelqu'un des services généraux l'a branché sur la prise la plus proche.
La version honnête du risque: il n'y a pas ici d'attaquant qui pénètre. Il y a un service exploité commercialement qui utilise un écran que vous avez acheté, via une application que quelqu'un a installée, et qui fait exactement ce pour quoi son code a été écrit. C'est bien plus durable qu'une intrusion, car il n'y a aucune brèche à détecter et rien sur le réseau qui paraisse anormal. C'est simplement du trafic sortant émis par un appareil autorisé à en émettre.
La facture arrive sous la forme de votre adresse IP
Pour un foyer, il s'agit surtout de bande passante et de consentement. Pour une entreprise, il s'agit d'imputation, et c'est un problème d'un autre ordre. Chaque requête qu'un inconnu fait transiter par votre connexion en sort avec votre adresse IP publique. Cette adresse est la vôtre à tous égards pratiques: elle est enregistrée au nom de votre société, elle apparaît dans les journaux de vos partenaires, et c'est ce que voit un enquêteur.
Les scénarios de défaillance sont peu spectaculaires et coûteux. Votre adresse se retrouve sur une liste de blocage de réputation, et vos courriels légitimes commencent à tomber en indésirables sans que personne remonte la cause. Un prestataire de paiement ou le pare-feu applicatif d'un client se met à limiter ou refuser votre trafic parce que cette adresse a été vue en train de faire du bourrage d'identifiants. L'équipe sécurité d'un partenaire vous demande d'expliquer une activité que vous ne pouvez pas expliquer, parce qu'elle ne vient d'aucun système que vous connaissez. Au pire, le trafic acheminé est délictueux, l'adresse renvoie à votre société, et c'est vous qui tenez la correspondance.
Rien de tout cela n'arrive étiqueté problème de téléviseur. Cela arrive comme un souci de délivrabilité, comme un blocage inexpliqué de pare-feu applicatif, comme une question de conformité lors d'une revue fournisseurs. Les entreprises passent alors typiquement des semaines à chercher la mauvaise cause, car l'appareil qui produit le trafic ne figure sur aucune liste des équipements qu'elles pensent exploiter. Cet écart de diagnostic est le coût réel, et c'est pourquoi l'étape d'inventaire ci-dessous compte davantage que le nettoyage d'un fabricant donné.
Que faire des écrans que vous possédez déjà
Partez du principe que le correctif du fabricant ne vous atteint pas. L'action de Samsung régit les nouveaux dépôts, la politique développeurs et les retraits du magasin. Le téléviseur installé à votre accueil, dans vos salles de réunion, votre salle d'exposition, votre salle d'attente ou votre cantine a déjà l'application, et que le retrait l'atteigne dépend du fait que l'appareil se connecte et applique la modification. Considérez qu'il ne l'a pas fait.
Trois étapes, par ordre d'utilité: d'abord, recensez chaque écran connecté que vous possédez, y compris ceux des salles que personne ne réserve et ceux hérités avec un bail. Ensuite, placez-les sur un VLAN séparé ou un réseau invité dont le trafic sortant est limité à ce dont ils ont réellement besoin, ce qui pour un écran d'affichage dynamique ou de streaming tient en peu de lignes. Enfin, vérifiez vos plages d'IP publiques auprès des bases d'abus et de blocage courantes, car si le trafic circulait vous y figurez peut-être déjà sans avoir relié les deux faits.
Appliquez ensuite la règle générale qu'illustre cet épisode. Si un appareil connecté exécute un logiciel gratuit, n'affiche pas de publicité et ne facture aucun abonnement, la recette vient bien de quelque part, et les deux choses qu'il peut vendre sont vos données et votre adresse. C'est une question à poser aux achats, avant que l'écran soit au mur. Quand le budget le permet, un écran sans plateforme connectée piloté par un lecteur administré que vous maîtrisez est à la fois moins coûteux à sécuriser et plus simple à raisonner, et il supprime définitivement toute une catégorie de ce problème.
À lire ensuite: Les prix de la mémoire ont fait ce que le Note 7 n'a pas fait | Samsung scinde le Fold en deux formes
