Aplikacja Pac-Man wpuściła obcych do waszej sieci

Co badacze znaleźli w sklepie

Norweska firma bezpieczeństwa Mnemonic zbadała aplikacje rozprowadzane przez platformę telewizorów Samsunga i znalazła oprogramowanie tworzące sieć proxy rezydencjalnych. Gdy taka aplikacja działa, osoba z zewnątrz może kierować swój ruch internetowy przez domowe albo biurowe łącze telewizora. Najbardziej niewygodne było miejsce, w którym pojawił się kod: tytuł Pac-Man, który sam Samsung promował w sekcji Editor's Choice wśród polecanych aplikacji, z kodem firmy Bright Data, dostawcy proxy z siedzibą w Izraelu. Część z tych aplikacji deklarowała instalacje na setkach milionów telewizorów.

Odpowiedź Samsunga jest nietypowo konkretna jak na oświadczenie producenta. Firma podała, że już ograniczyła nowe rejestracje aplikacji z funkcjami proxy na swojej platformie telewizyjnej, że wdraża surowe zasady dla deweloperów w całej platformie, wprost zakazujące SDK proxy rezydencjalnych, oraz że pracuje nad wykryciem i usunięciem wszystkich obecnych w sklepie aplikacji zawierających te komponenty. Trzy zobowiązania, każde sprawdzalne z czasem, a to więcej, niż takie oświadczenia zwykle oferują.

Nie jest to też pierwsza reagująca platforma. LG oświadczyło w lipcu, że zawiesi aplikacje zdolne zamienić telewizor klienta w proxy rezydencjalne, po doniesieniach wskazujących, że około 42 procent aplikacji na jego platformie miało tę funkcję. To przy tej liczbie warto się zatrzymać. Gdy dwie z największych platform telewizyjnych świata są dotknięte w takiej skali, właściwym wnioskiem nie jest to, że jeden producent był niedbały.

Dlaczego telewizor jest idealnym gospodarzem

Mechanika: usługa proxy rezydencjalnego sprzedaje dostęp do adresów IP wyglądających jak adresy zwykłych konsumentów, ponieważ ruch z adresu domowego przechodzi kontrole, na których ruch z centrum danych przepada. Kupujący używają tego do weryfikacji reklam i zbierania cen, ale też do upychania danych logowania, oszustw i omijania ograniczeń geograficznych. Problem leży po stronie podaży: ktoś musi dostarczyć adresy, a najtańszą drogą jest wbudowanie SDK w darmowe oprogramowanie, które użytkownicy instalują dobrowolnie.

Telewizor z internetem jest bliski idealnego gospodarza dla takiego układu. Jest włączony albo w czuwaniu niemal bez przerwy, więc dostępny całą dobę. Jego aplikacje aktualizują się według własnego harmonogramu, a oprogramowanie układowe łatane jest rzadko, po kilku latach często wcale. Ma szybkie łącze i żadnego użytkownika patrzącego w menedżera zadań. Przede wszystkim nikt w organizacji nie uważa go za komputer, więc nie figuruje w żadnym rejestrze środków trwałych, skanie podatności ani liście wycofań. Siedzi w zaufanej sieci, bo ktoś z obsługi budynku wpiął go do najbliższego gniazda.

Uczciwa wersja ryzyka: tu nikt się nie włamuje. Tu komercyjnie prowadzona usługa korzysta z ekranu, który kupiliście, przez aplikację, którą ktoś zainstalował, i robi dokładnie to, do czego napisano jej kod. To znacznie trwalsze niż włamanie, bo nie ma naruszenia do wykrycia ani niczego w sieci, co wyglądałoby nietypowo. To po prostu ruch wychodzący z urządzenia, któremu wolno generować ruch wychodzący.

Rachunek przychodzi w postaci waszego adresu IP

Dla gospodarstwa domowego chodzi głównie o pasmo i zgodę. Dla firmy chodzi o przypisanie, a to problem innego rzędu. Każde żądanie, które obcy przepuszcza przez wasze łącze, wychodzi z waszym publicznym adresem IP. Ten adres jest wasz w każdym praktycznym sensie: jest zarejestrowany na waszą spółkę, pojawia się w logach waszych partnerów i to jego widzi śledczy.

Scenariusze awarii są mało widowiskowe i kosztowne. Wasz adres trafia na listę blokad reputacyjnych, a wasza uprawniona poczta zaczyna lądować w spamie z przyczyn, których nikt nie potrafi wyśledzić. Dostawca płatności albo zapora aplikacji internetowej klienta zaczyna dławić lub odrzucać wasz ruch, bo ten adres widziano przy upychaniu danych logowania. Zespół bezpieczeństwa partnera prosi o wyjaśnienie aktywności, której nie potraficie wyjaśnić, bo nie pochodzi z żadnego znanego wam systemu. W najgorszym razie przepuszczany ruch jest przestępczy, adres prowadzi do waszej firmy, i to wy trzymacie korespondencję.

Nic z tego nie przychodzi z etykietą problemu telewizora. Przychodzi jako kłopot z dostarczalnością poczty, jako niewyjaśniona blokada zapory, jako pytanie o zgodność przy przeglądzie dostawców. Firmy spędzają wtedy zwykle tygodnie, goniąc za niewłaściwą przyczyną, bo urządzenie generujące ruch nie figuruje na żadnej liście sprzętu, który wedle ich przekonania eksploatują. Ta luka diagnostyczna to prawdziwy koszt, i dlatego opisany niżej krok inwentaryzacji znaczy więcej niż porządki pojedynczego producenta.

Co zrobić z ekranami, które już macie

Wyjdźcie z założenia, że naprawa producenta do was nie dotrze. Działanie Samsunga obejmuje nowe zgłoszenia, politykę dla deweloperów i usunięcia ze sklepu. Telewizor w recepcji, w salach spotkań, w salonie wystawowym, w poczekalni albo w stołówce ma aplikację już zainstalowaną, a to, czy usunięcie do niego dotrze, zależy od tego, czy urządzenie się zgłosi i zastosuje zmianę. Przyjmijcie, że tego nie zrobiło.

Trzy kroki, w kolejności wartości: po pierwsze, spiszcie każdy podłączony do internetu ekran, jaki posiadacie, łącznie z tymi w salach, których nikt nie rezerwuje, i tymi odziedziczonymi wraz z najmem. Po drugie, umieśćcie je w wydzielonym VLAN-ie albo w sieci gościnnej z ruchem wychodzącym ograniczonym do tego, czego naprawdę potrzebują, a dla ekranu z aplikacją do sygnalizacji cyfrowej albo streamingu jest to krótka lista. Po trzecie, sprawdźcie swoje pule publicznych adresów IP w powszechnych bazach nadużyć i blokad, bo jeśli ruch już płynął, możecie już tam figurować i po prostu nie połączyliście obu faktów.

Potem zastosujcie ogólną regułę, którą ten przypadek ilustruje. Jeżeli podłączone urządzenie uruchamia darmowe oprogramowanie, nie wyświetla reklam i nie pobiera abonamentu, przychód skądś pochodzi, a dwie rzeczy, które ma na sprzedaż, to wasze dane i wasz adres. To pytanie, które należy zadać w zakupach, zanim ekran znajdzie się na ścianie. Tam gdzie pozwala budżet, ekran bez platformy smart sterowany zarządzanym odtwarzaczem, nad którym macie kontrolę, jest zarazem tańszy w zabezpieczeniu i łatwiejszy do ogarnięcia, i trwale usuwa całą kategorię tego problemu.

Czytaj dalej: Ceny pamięci zrobiły to, czego nie zrobił Note 7  |  Samsung dzieli Fold na dwa kształty