Che cosa hanno trovato i ricercatori nello store

La società norvegese di sicurezza Mnemonic ha esaminato le app distribuite sulla piattaforma smart TV di Samsung e ha trovato software che costruisce una rete di proxy residenziale. Quando una di queste app è in esecuzione, un soggetto esterno può instradare il proprio traffico internet attraverso la connessione domestica o d'ufficio del televisore. Il ritrovamento più scomodo riguarda il punto in cui è comparso il codice: un titolo di Pac-Man che Samsung stessa aveva promosso nella sezione Editor's Choice delle app consigliate, con codice di Bright Data, fornitore di proxy con sede in Israele. Alcune delle app coinvolte dichiaravano installazioni su centinaia di milioni di smart TV.

La risposta di Samsung è insolitamente precisa per una dichiarazione di un produttore. L'azienda ha affermato di aver già limitato le nuove registrazioni di app che incorporano funzioni proxy sulla propria piattaforma smart TV, di stare applicando politiche rigorose per gli sviluppatori su tutta la piattaforma che vietano esplicitamente gli SDK di proxy residenziale, e di essere al lavoro per individuare e rimuovere tutte le app attualmente nello store che contengono questi componenti. Tre impegni, ciascuno verificabile nel tempo, il che è più di quanto queste dichiarazioni offrano di solito.

Non è nemmeno la prima piattaforma a intervenire. LG ha dichiarato a luglio che avrebbe sospeso le app in grado di trasformare il televisore di un cliente in un proxy residenziale, dopo ricostruzioni che indicavano circa il 42 per cento delle app della sua piattaforma dotate di quella funzione. È su quella cifra che vale la pena fermarsi. Quando due tra le maggiori piattaforme televisive del mondo sono coinvolte a quella scala, la conclusione corretta non è che un produttore sia stato disattento.

Perché un televisore è l'ospite ideale

La meccanica: un servizio di proxy residenziale vende accesso a indirizzi IP che sembrano di normali consumatori, perché il traffico proveniente da un indirizzo domestico supera controlli che il traffico da data center non supera. Gli acquirenti lo usano per la verifica pubblicitaria e la raccolta dei prezzi, ma anche per il credential stuffing, le frodi e l'aggiramento delle restrizioni geografiche. Il problema sta dal lato dell'offerta: qualcuno deve fornire gli indirizzi, e il modo più economico è inserire un SDK in software gratuito che gli utenti installano volontariamente.

Uno smart TV è quasi l'ospite perfetto per questo assetto. È acceso o in standby quasi sempre, quindi disponibile ventiquattro ore su ventiquattro. Le sue app si aggiornano secondo un calendario proprio e il firmware riceve poche correzioni, spesso nessuna dopo qualche anno. Ha una connessione veloce e nessun utente che guardi un gestore attività. Soprattutto, in azienda nessuno lo considera un computer, quindi non compare in alcun registro dei beni, in alcuna scansione delle vulnerabilità e in alcuna lista di dismissione. Sta dentro la rete fidata perché qualcuno della manutenzione lo ha collegato alla presa più vicina.

La versione onesta del rischio: qui non c'è un aggressore che entra. C'è un servizio gestito commercialmente che usa uno schermo comprato da voi, tramite un'app installata da qualcuno, e fa esattamente ciò per cui il codice è stato scritto. Questo lo rende assai più duraturo di un'intrusione, perché non c'è alcuna violazione da rilevare e nulla in rete che appaia anomalo. È semplicemente traffico in uscita da un dispositivo autorizzato a produrre traffico in uscita.

Il conto arriva sotto forma del vostro indirizzo IP

Per una famiglia la questione riguarda soprattutto banda e consenso. Per un'impresa riguarda l'attribuzione, ed è un problema di altro ordine. Ogni richiesta che un estraneo instrada attraverso la vostra connessione esce con il vostro indirizzo IP pubblico. Quell'indirizzo è vostro in ogni senso pratico: è registrato alla vostra società, compare nei log dei vostri partner ed è ciò che vede un investigatore.

Le modalità di guasto sono poco appariscenti e costose. Il vostro indirizzo finisce su una lista di blocco reputazionale e la vostra posta legittima comincia a cadere nello spam per ragioni che nessuno riesce a ricostruire. Un fornitore di pagamenti o il web application firewall di un cliente inizia a limitare o rifiutare il vostro traffico perché quell'indirizzo è stato visto fare credential stuffing. Il team di sicurezza di un partner vi chiede di spiegare un'attività che non potete spiegare, perché non proviene da alcun sistema che conoscete. Nel caso peggiore il traffico instradato è criminale, l'indirizzo riconduce alla vostra azienda, e siete voi a tenere in mano la corrispondenza.

Nessuno di questi eventi arriva etichettato come problema di smart TV. Arriva come difficoltà di recapito, come blocco inspiegato di un WAF, come domanda di conformità durante una verifica dei fornitori. Le aziende passano tipicamente settimane a inseguire la causa sbagliata, perché il dispositivo che genera il traffico non figura in alcun elenco di apparati che credono di gestire. Quel divario diagnostico è il costo reale, ed è la ragione per cui il passaggio di inventario descritto sotto conta più della pulizia di un singolo produttore.

Che cosa fare con gli schermi che già possedete

Partite dal presupposto che la soluzione del produttore non arrivi fino a voi. L'azione di Samsung governa nuove pubblicazioni, politiche per sviluppatori e rimozioni dallo store. Il televisore montato nella vostra accoglienza, nelle sale riunioni, nello showroom, nella sala d'attesa o nella mensa ha già l'app installata, e che la rimozione lo raggiunga dipende dal fatto che il dispositivo si colleghi e applichi la modifica. Date per scontato che non lo abbia fatto.

Tre passi, in ordine di utilità: primo, annotate ogni schermo connesso a internet che possedete, comprese le sale che nessuno prenota e quelli ereditati con un contratto di locazione. Secondo, metteteli su una VLAN separata o su una rete ospiti con traffico in uscita limitato a ciò che serve davvero, che per un display con un'app di cartellonistica o di streaming è un elenco breve. Terzo, verificate i vostri intervalli di IP pubblici sulle comuni banche dati di abuso e di blocco, perché se il traffico è passato potreste già esservi elencati senza aver collegato i due fatti.

Applicate poi la regola generale che questo caso illustra. Se un dispositivo connesso esegue software gratuito, non mostra pubblicità e non chiede abbonamento, il ricavo arriva da qualche parte, e le due cose che può vendere sono i vostri dati e il vostro indirizzo. È una domanda da porre in fase di acquisto, prima che lo schermo sia a parete. Dove il budget lo consente, un display privo di piattaforma smart pilotato da un lettore gestito che controllate voi è più economico da mettere in sicurezza e più facile da capire, ed elimina in modo permanente un'intera categoria di questo problema.

Da leggere ora: I prezzi della memoria hanno fatto ciò che il Note 7 non fece  |  Samsung divide il Fold in due forme