O que os investigadores encontraram na loja

A empresa norueguesa de segurança Mnemonic examinou aplicações distribuídas na plataforma de televisores da Samsung e encontrou software que constrói uma rede de proxy residencial. Quando uma dessas aplicações corre, alguém de fora pode encaminhar o seu tráfego de internet através da ligação doméstica ou de escritório do televisor. A descoberta mais incómoda foi o sítio onde o código apareceu: num título de Pac-Man que a própria Samsung tinha promovido na secção Editor's Choice das aplicações recomendadas, com código da Bright Data, um fornecedor de proxy sediado em Israel. Algumas das aplicações envolvidas declaravam instalações em centenas de milhões de televisores.

A resposta da Samsung é invulgarmente concreta para uma declaração de fabricante. A empresa afirmou já ter restringido novos registos de aplicações que incorporem funcionalidades de proxy na sua plataforma, estar a aplicar políticas rigorosas para programadores em toda a plataforma que proíbem expressamente os SDK de proxy residencial, e estar a trabalhar para identificar e remover todas as aplicações atualmente na loja que contenham estes componentes. Três compromissos, cada um verificável com o tempo, o que é mais do que estas declarações costumam oferecer.

Também não é a primeira plataforma a agir. A LG disse em julho que iria suspender aplicações capazes de transformar o televisor de um cliente num proxy residencial, na sequência de notícias que indicavam que cerca de 42 por cento das aplicações da sua plataforma tinham essa funcionalidade. É nesse número que vale a pena parar. Quando duas das maiores plataformas de televisão do mundo estão afetadas nessa escala, a conclusão correta não é que um fabricante foi descuidado.

Porque é que um televisor é o anfitrião ideal

A mecânica: um serviço de proxy residencial vende acesso a endereços IP que parecem de consumidores comuns, porque o tráfego vindo de uma morada doméstica passa verificações em que o tráfego de um centro de dados falha. Os compradores usam-no para verificação publicitária e recolha de preços, mas também para preenchimento de credenciais, fraude e contorno de restrições geográficas. O problema está do lado da oferta: alguém tem de fornecer os endereços, e a via mais barata é embutir um SDK em software gratuito que os utilizadores instalam por vontade própria.

Um televisor inteligente é quase o anfitrião perfeito para este arranjo. Está ligado ou em espera quase permanentemente, portanto disponível a toda a hora. As suas aplicações atualizam-se segundo o próprio calendário e o firmware recebe poucas correções e, passados alguns anos, muitas vezes nenhuma. Tem ligação rápida e nenhum utilizador a olhar para um gestor de tarefas. Acima de tudo, ninguém na organização o considera um computador, pelo que não consta de qualquer registo de ativos, análise de vulnerabilidades ou lista de desativação. Está dentro da rede de confiança porque alguém da manutenção o ligou à tomada mais próxima.

A versão honesta do risco: aqui não há um atacante a entrar. Há um serviço explorado comercialmente que usa um ecrã que o senhor comprou, através de uma aplicação que alguém instalou, a fazer exatamente aquilo para que o código foi escrito. Isso torna-o muito mais duradouro do que uma intrusão, porque não há violação a detetar nem nada na rede que pareça anómalo. É simplesmente tráfego de saída de um dispositivo autorizado a gerar tráfego de saída.

A conta chega sob a forma do seu endereço IP

Para uma família isto trata sobretudo de largura de banda e consentimento. Para uma empresa trata de imputação, e esse é um problema de outra ordem. Cada pedido que um estranho encaminha pela sua ligação sai com o seu endereço IP público. Esse endereço é seu em todos os sentidos práticos: está registado em nome da sua empresa, aparece nos registos dos seus parceiros e é o que um investigador vê.

Os modos de falha são pouco vistosos e caros. O seu endereço acaba numa lista de bloqueio por reputação e o seu correio legítimo começa a cair no spam por motivos que ninguém consegue rastrear. Um prestador de pagamentos ou a firewall de aplicações web de um cliente começa a limitar ou a recusar o seu tráfego porque esse endereço foi visto a fazer preenchimento de credenciais. A equipa de segurança de um parceiro pede-lhe que explique atividade que não consegue explicar, porque não veio de nenhum sistema que conheça. No pior caso o tráfego encaminhado é criminoso, o endereço remete para a sua empresa, e é o senhor que fica com a correspondência.

Nada disto chega rotulado como problema de televisores. Chega como dificuldade de entrega de correio, como bloqueio inexplicado de uma firewall, como pergunta de conformidade numa avaliação de fornecedores. As empresas passam tipicamente semanas atrás da causa errada, porque o aparelho que gera o tráfego não consta de qualquer lista de equipamentos que julgam operar. Essa lacuna de diagnóstico é o custo real, e é por isso que o passo de inventário abaixo importa mais do que a limpeza de qualquer fabricante em concreto.

O que fazer com os ecrãs que já tem

Parta do princípio de que a solução do fabricante não chega até si. A ação da Samsung rege novas submissões, política para programadores e remoções da loja. O televisor montado na sua receção, nas salas de reunião, no showroom, na sala de espera ou na cantina já tem a aplicação instalada, e saber se a remoção lhe chega depende de o aparelho se ligar e aplicar a alteração. Assuma que não o fez.

Três passos, por ordem de valor: primeiro, escreva todos os ecrãs ligados à internet que possui, incluindo os de salas que ninguém reserva e os herdados com um arrendamento. Segundo, coloque-os numa VLAN separada ou numa rede de convidados com a saída limitada ao que realmente precisam, o que para um ecrã com uma aplicação de sinalética ou de streaming é uma lista curta. Terceiro, verifique os seus intervalos de IP público nas bases de dados habituais de abuso e de bloqueio, porque se o tráfego já circulava pode já constar delas e simplesmente não ter ligado os dois factos.

Depois aplique a regra geral que este caso ilustra. Se um dispositivo ligado corre software gratuito, não mostra publicidade e não cobra subscrição, a receita vem de algum lado, e as duas coisas que ele tem para vender são os seus dados e o seu endereço. É uma pergunta que merece ser feita nas compras, antes de o ecrã estar na parede. Onde o orçamento permita, um ecrã sem plataforma inteligente comandado por um leitor gerido que o senhor controla é mais barato de proteger e mais fácil de compreender, e elimina de forma permanente toda uma categoria deste problema.

Leia a seguir: Os preços da memória fizeram o que o Note 7 não conseguiu  |  Samsung divide o Fold em duas formas