W rozmowie z izraelskim badaczem bezpieczeństwa Amihai Neiderman z Equus Software, płyta główna mówi nam, że obecnie istnieje 40 niezgłoszonych luk w zabezpieczeniach, które umożliwiłyby zdalne wykonanie i zhakowanie każdego telewizora, zegarka lub telefonu Samsung, który używa Tizen jako systemu operacyjnego. Poważniejsze są pewne zarzuty dotyczące tego, jak i dlaczego kryje się za nimi wiele takich exploitów.
To może być najgorszy kod, jaki kiedykolwiek widziałem.
Podczas gdy Samsung może nie myśleć o zastąpieniu Androida Tizenem na swoich telefonach i tabletach, obecny ekosystem wkrótce zostanie znacznie rozszerzony: Samsung zobowiązuje się do używania Tizen na większości każdego inteligentnego urządzenia, które sprzedaje w przyszłości. Inteligentne lodówki brzmią jak świetny pomysł, dopóki ktoś nie włamie się na Twój e-mail.
To może być najgorszy kod, jaki kiedykolwiek widziałem, mówi Neiderman dla płyty głównej. Robią to wszystko, co można zrobić źle. Widać, że nikt nie rozumiejący bezpieczeństwa nie przejrzał tego kodu ani go nie napisał. To tak, jakby wziąć licencjata i pozwolić mu zaprogramować oprogramowanie.
Każdy duży projekt oprogramowania będzie miał uczciwy udział błędów i exploitów. Chociaż niektórzy są poważniejsi niż inni, większość badaczy nie patrzy na Tizen w ten sam sposób, w jaki koncentruje się na Androidzie, iOS i Windows. Wynika to głównie z faktu, że Samsung będzie sprzedawał więcej telefonów Galaxy S8 w ciągu tygodnia, a prawdopodobnie będzie kiedykolwiek sprzedawał telefony z systemem Tizen. Ale to pomija kilka udanych linii produktów Samsung, w tym smartwatch Gear S3, który wielu z nas ma teraz na nadgarstku. Neiderman kontynuuje poważny cień w stosunku do zespołu programistów Samsunga dla Tizen.
mówi, że znaczna część kodu Tizen jest stara i zapożycza się z poprzednich projektów kodowania Samsung, w tym Bada, wcześniejszego systemu operacyjnego telefonu komórkowego, którego Samsung zaprzestał.
Ale większość luk, które znalazł, znajdowały się w nowym kodzie napisanym specjalnie dla Tizen w ciągu ostatnich dwóch lat. Wiele z nich to rodzaj błędów, które popełnili programiści dwadzieścia lat temu, co wskazuje, że Samsungowi brakuje podstawowych metod opracowywania i sprawdzania kodu, aby zapobiegać takim błędom i wychwytywać je.
Jest to szczególnie niepokojące z kilku powodów. Po pierwsze, kod, który Samsung dodaje do Androida, nie ma procesu recenzowania, ponieważ nie jest open source. Jeśli Samsung, jak twierdzono, brakuje technik kodowania i sprawdzania, te same rodzaje błędów mogą być obfite w jego portfolio Androida. Nawet jeśli tak nie jest, rodzina zegarków Samsung Gear jest podłączona do kilku urządzeń z Androidem i udostępnia wiele informacji, które mogą być dostępne dla kogoś z odpowiednimi narzędziami i odrobiną wiedzy.
Osoba atakująca może zainstalować dowolne oprogramowanie za pośrednictwem aplikacji TizenStore.
Nawet tokenizowane dane finansowe za pośrednictwem usługi Samsung Pay na pewnym poziomie muszą znajdować się na zegarku, nawet jeśli są wystarczająco długie, aby przesłać je do terminala płatniczego lub z powrotem do banku. Na szczęście jest przechowywany w sposób, który sprawia, że jest on w większości bezwartościowy bez kluczy do jego odszyfrowania i odniesienia do tego, do czego służy token.
Poza tym największym problemem jest problem ze sklepem z aplikacjami i instalatorem Tizen.
Jedna dziura w zabezpieczeniach, którą odkrył Neiderman, była szczególnie krytyczna. Dotyczy aplikacji Samsung TizenStore - wersji Google Play Store firmy Samsung - która dostarcza aplikacje i aktualizacje oprogramowania dla urządzeń Tizen. Neiderman twierdzi, że wada jego konstrukcji pozwoliła mu na przejęcie oprogramowania w celu dostarczenia złośliwego kodu do telewizora Samsung.
To jest korek pokazowy. Aplikacja TizenStore działa z absolutnymi uprawnieniami systemowymi i może instalować i uruchamiać wszystko bez dodatkowego wkładu użytkownika. Przejęcie tego procesu i użycie go do zainstalowania narzędzi do zdalnego dostępu i przyznania im uprawnień systemowych oznacza, że osoba atakująca może zrobić wszystko, co chce. Każde urządzenie z dostępem do TizenStore lub inny sposób instalowania aplikacji Tizen jest potencjalnie zagrożone, w tym rodzina Samsung Gear.
Nie zalecamy, aby ktokolwiek wyrzucał zegarek lub telewizję. Dotarliśmy do Samsunga, który mówi płycie głównej, że współpracuje z Neiderman, aby wszystko ukształtować i zaktualizujemy, gdy coś usłyszymy.
Na razie zachowaj tę samą ostrożność, co na komputerze z systemem Windows lub podczas bocznego ładowania aplikacji na Androida podczas korzystania z gadżetów opartych na Tizen.
