Czeka nas fala ataków na… telewizory?

Nadchodzi czas ataków na telewizory smart, które są dla przestępców wymarzonym celem. Podłączone do sieci, dostępne przez większość czasu i podatne na ataki bo stosunkowo powoli aktualizowane.

Przez lata głównym celem internetowych przestępców były komputery PC, później stały się nimi również smartfony i tablety. Teraz, zdaniem specjalistów, nadchodzi czas ataków na telewizory smart, które są łatwym celem podłączonym do sieci, dostępnym przez większość czasu oraz podatnym na ataki, bo ich oprogramowanie jest rzadko aktualizowane.

Współczesne telewizory, szczególnie te zaliczane do grupy urządzeń smart, to de facto komputery multimedialne, w których często wykorzystywane są klasyczne systemy operacyjne, znane z innych typów urządzeń (np. Android). Problem z nimi polega na tym, że choć mają większość funkcji i podatności typowych dla komputerów, to jednocześnie ich producenci mniej lub bardziej świadomie rezygnują ze stosowania w nich odpowiednich zabezpieczeń często przedkładając ponad bezpieczeństwo wygodę użytkowania.

Zobacz również:

  • Dzięki nowym przepisom, walka z nadużyciami w komunikacji elektronicznej będzie łatwiejsza

Problem nie dotyczy wyłącznie gospodarstw domowych, bo telewizory smart coraz częściej goszczą również w firmach – w salach konferencyjnych, gabinetach, ośrodkach szkoleniowych itp. Będzie on też narastał. Z analiz firmy Research and Markets wynika, że sprzedaż takich urządzeń co najmniej do 2019 r. będzie rosła na poziomie 20% rocznie.

Przestępcy widzą potencjał

Na razie ataki na telewizory nie są poważnym problemem, ale specjaliści ds. bezpieczeństwa prognozują, że ich liczba będzie w najbliższym czasie szybko rosła, bo przestępcy zaczynają uświadamiać sobie, jak duży „potencjał” tkwi w telewizorach smart i jak efektywne mogą być ataki na te urządzenia.

“Wielu producentów takich urządzeń nawet nie próbuje stosować metod zabezpieczania sprzętu, wypracowanych w segmencie IT. Ekosystem oprogramowania jest silnie pofragmentowany, a firmy kładą nacisk przede wszystkim na jak najszybsze dostarczenie produktów na rynek” – wyjaśnia Phil Marshall, CRO (chief research oficer) firmy Tolaga Research.

“Nowoczesne telewizory smart to generalnie komputery, wyposażone w porty USB, systemy operacyjne i funkcje sieciowe tyle, że w przeciwieństwie do komputerów czy urządzeń mobilnych, nie mają zabezpieczeń i na przykład nie wymagają żadnej formy uwierzytelniania. Każdy, kto weźmie do ręki pilota, jest traktowany przez urządzenia jako jego właściciel” – dodaje Craig Young, specjalista ds. bezpieczeństwa z firmy Tripwire.

Craig Young przeprowadził szereg analiz z zakresu bezpieczeństwa urządzeń typu smart TV i wykazał m.in., że niektóre modele nie potrafią rozróżnić, czy osoba wysyłająca im polecenia przez sieć jest tą samą osobą, która fizycznie kontroluje telewizor. To oznacza, że nieautoryzowany użytkownik może skutecznie podszyć się pod właściciela i wykonać niepożądane operacje. Na przykład wyświetlić na ekranie podczas ważnej prezentacji biznesowej coś mniej stosownego, niż wyniki finansowe. „Wyobraźmy sobie poważne spotkanie z kontrahentem, podczas którego na ekranie pojawia się obraz prezentujący coś zupełnie niepasującego do tematu….” – wskazuje przedstawiciel Tripwire.

Groźne aplikacje

Wielu spośród czołowych producentów telewizorów typu smart, m.in. Samsung, LG oraz Sony oferują użytkownikom możliwość korzystania z serwisów z dodatkowymi aplikacjami dla tych urządzeń wykorzystując model podobny do tego, jaki na potrzeby iPhone’a stworzyła firma Apple. Często możliwe jest jednak również instalowanie aplikacji z alternatywnych źródeł, co szeroko otwiera bramę do wprowadzania do telewizorów złośliwego oprogramowania.

Taki scenariusz jest jak najbardziej realny. Candid Wueest, specjalista ds. zagrożeń z firmy Symantec, celowo „zaraził” swój telewizor z Androidem aplikacją typu ransomware czyli złośliwym programem, który blokuje część funkcji systemu, a za ich odblokowanie żąda „okupu” – w tym przypadku w bitcoinach. Ten eksperyment był dość złożony i do skutecznego działania wymagał m.in. zmodyfikowania ustawień DNS (było to niezbędne do przekierowania przeglądarki telewizora na stronę WWW, na której osadzono malware) i przeprowadzenia klasycznego ataku man-in-the-midlle – ale praktyka pokazuje, że przestępcy chętnie sięgają po takie metody.

Candid Wueest zwraca również uwagę na fakt, że wiele telewizorów typu smart korzysta z mało bezpiecznych metod dostarczania aktualizacji. W niektórych przypadkach podczas ich pobierania nie jest używane żadne szyfrowanie transmisji (SSL/TLS), co teoretycznie pozwala przestępcom na podszycie się pod dostawcę aktualizacji i wprowadzenie do telewizora złośliwego kodu.

Tele-zakupy

Problem jest o tyle poważny, że coraz częściej używamy telewizorów do wielu innych celów niż tylko do “konsumpcji treści” – wbudowane do nich przeglądarki internetowe stały się na tyle dopracowane, że wiele osób dokonuje z ich poziomu zakupów w e-sklepach. A gdy w grę wchodzi przesyłanie za pomocą telewizora danych dot. płatności internetowych, zagrożenie automatycznie staje się znacznie poważniejsze. „W telewizorach nie mamy na razie oprogramowania antywirusowego. Wydaje się zresztą, że ciężko byłoby je do nich skutecznie zaimplementować, bez narażania się np. na ograniczenie wydajności. Nikt nie zaakceptuje antywirusa, który sprawia, że Netflix zaczyna się przycinać” – komentuje Scott Wu, współzałożyciel firmy 0xID, specjalizującej się w bezpieczeństwie urządzeń mobilnych.

Widać już pierwsze oznaki tego, że z problemu tego zdają sobie sprawę producenci. Na przykład Samsung Electronics zapowiedział wprowadzenie GAIA, trójwarstwowego rozwiązania w zakresie bezpieczeństwa. Będzie on instalowany w modelach Smart TV z 2016 roku pracujących przy wykorzystaniu systemu Tizen.

Oprogramowanie GAIA ma zapewnić ochronę danych osobowych dzięki wirtualnej barierze zapewniającej ochronę podstawowych operacji serwisu m.in. wrażliwych informacji wprowadzanych przez użytkownika przy wykorzystaniu wirtualnej klawiatury. GAIA szyfruje również dane przesyłane między telewizorem, a serwerami świadczącymi usługi oraz ma wbudowany system anti-malware wykrywający i blokujący nieautoryzowane programy, które mogą służyć do włamań do systemu. Ponadto w układzie sprzętowym zapisany jest klucz publiczny służący do weryfikacji danych osobowych.

Specjaliści podkreślają, że na razie trudno wskazać jednolite, dostępne dla wszystkich smart TV rozwiązanie, które mogłoby skutecznie zabezpieczać je przed atakami przestępców. Jednym z wariantów może być działające nie na poziomie telewizora, lecz raczej na poziomie domowej sieci oprogramowanie analizujące ruch sieciowy pod kątem wszelkich podejrzanych aktywności. Nad takimi produktami pracują już m.in. firmy F-Secure oraz Dojo-Labs.

W celu komercyjnej reprodukcji treści Computerworld należy zakupić licencję. Skontaktuj się z naszym partnerem, YGS Group, pod adresem [email protected]

TOP 200