El mes pasado ya comentamos algunos problemas que existían en estos televisores y algunas de sus consecuencias, como el robo de datos de las unidades USB del usuario que están conectadas al televisor. Ahora hemos decidido entrar un poco más en detalle y analizar los principales problemas que nos podemos encontrar en los Samsung Smart TV, que a día de hoy es uno de los tipos de televisor inteligente más vendidos. ¿Son seguros este tipo de televisores?
Aunque parezca mentira, sólo el año pasado se vendieron más de 80 millones de televisores inteligentes por lo que es probable que cuando finalicemos este año, la cifra pueda llegar a superar la anterior. Si tenemos que hablar de televisores inteligentes es inevitable tener que hacer referencia en primer lugar a Samsung, que es el fabricante número 1 de este tipo de equipos, aunque fabricantes como LG y Sony comienzan a dejarse ver en este mercado que comienza a ganar usuarios en detrimento de los televisores convencionales.
Posibles formas de ataque
Antes de nada, vamos a analizar las superficies o los factores que posee el televisor y que podrían provocar que éste sufra un ataque por una tercera persona, bien de forma remota o recurriendo al acceso físico:
1.Las aplicaciones disponibles en las tienda virtual que poseen este tipo de dispositivos son una de las vías por las que una tercera persona podría lleva a cabo la infección del dispositivo con malware, pudiendo llegar a suceder algo que ya vimos en Google Play.
2.La conexión a internet también puede convertirse en un problema, o más que la conexión, la navegación por páginas que podrían estar infectadas con scripts que aprovechasen las vulnerabilidades del sistema operativo de los televisores para proceder al robo de información o la instalación de malware.
3.También podría ser una posible vía de ataque la utilización de unidades USB, ya que éstas podrían estar infectadas con algún tipo de malware que podría instalarse en el dispositivo.
Añadir que todas las aplicaciones que existen están desarrolladas en HTML, javascript y Flash, por lo que actualmente son los únicos formatos aceptados por los televisores Samsung Smart TV.
Análisis del sistema operativo
El sistema operativo que ha utilizado la firma coreana para sus televisores ha sido una versión de Linux modificada por los propios responsables de la compañía para adaptarlo a las necesidades de sus televisores inteligentes. Después de haber sido sometido a un análisis exhaustivo se ha podido comprobar que todas las aplicaciones y tareas que se ejecutan y se llevan a cabo en el televisor se hace desde un punto de vista de administrador, es decir, todo se hace utilizando root, algo que podría provocar un problema de seguridad ya que no existe una jerarquía de permisos que permitiría aislar las funciones y llamadas al sistema más críticas.
25 root 0 SW [mmcqd]
37 root 1692 S -/bin/sh
58 root 1692 S /bin/sh /mtd_exe/rc.local
67 root 1502m S ./exeDSP
88 root 0 SW [aeMsgTask]
149 root 0 SW [khubd]
247 root 0 SW [flush-179:0]
256 root 17692 S /mtd_cmmlib/BT_LIB/bsa_server -all=0 -diag=0 -hci=0
265 root 0 SW [usbhid_resumer]
458 root 234m S /mtd_appdata/Runtime/bin/X -logfile /mtd_rwarea/Xlog
579 root 486m S /mtd_appdata/InfoLink/lib/WidgetEngine 67 51982
1047 root 1688 S udhcpc -i ra11n0 -t 5 -T 5 -b
1067 root 3684 S N /mtd_exe/Comp_LIB/UEP.b
1075 root 10680 S ./MainServer /mtd_rwarea/yahoo
1079 root 10072 S ./PDSServer
1080 root 18656 S ./AppUpdate com.yahoo.connectedtv.updater
1112 root 18956 S ./BIServer com.yahoo.connectedtv.samsungbi
1133 root 361m T /mtd_down/emps/empWebBrowser/bin/BrowserLauncher
1368 root 9592 S Download 42060 -1
En la lista anterior se puede ver como cualquier aplicación se utiliza bajo los permisos de root. Sin embargo, los desarrolladores de Samsung tratan de prevenir ésto ubicando todos estos ficheros y los que se generen de la ejecución de estos en una sandbox permanente de la cual, es imposible de abandonar.
Errores en las API y en las aplicaciones pre-instaladas
La desventaja y el problema de seguridad que tiene la ejecución de las aplicaciones como root, es que en el caso de que las API del televisor tengan fallos de seguridad, estos pueden ser utilizados para escapar de las sandbox y conseguir afectar al sistema de ficheros del sistema operativo. A ésto, hay que sumar que las aplicaciones pre-instaladas tengan un fallo de seguridad. En este caso, el fallo de seguridad proporcionaría al atacante la posibilidad de de extraer el código de comprobación de estas aplicaciones para escapar de la sandbox y así ser utilizado para que las demás escapen.
Otro posible problema de seguridad y que no podemos pasar por alto es la actualización de firmware que en las Samsung Smart TV se puede hacer mediante conexión a internet o utilizando una unidad USB. El archivo firmware no posee ningún tipo de comprobación por lo que, en el caso de que este fichero haya sido modificado por una tercera persona, este firmware sería instalado sin ningún tipo de seguridad previa, lo que podría suponer dejar "muerto" el televisor en el peor de los casos o tener instalado en el sistema operativo malware.
Conclusiones finales
A pesar de que las Smart TV sean unos dispositivos increíbles y que simplifiquen mucho la vida de los usuarios, poniendo un fácil acceso a determinados servicios, en lo referido a la seguridad es necesario que mejoren bastante, o por lo menos en el aspecto de Samsung, ya que de no ser pronto podrían convertirse en un blanco para los hackers y los ciberdelincuentes.
Más detalles AQUÍ http://grayhash.com/2012/12/20/samsung_smart_tv_security/
FUENTE :http://www.redeszone.net/2013/01/08/samsung-smart-tv-sus-fallos-de-seguridad-al-detalle/
Aunque parezca mentira, sólo el año pasado se vendieron más de 80 millones de televisores inteligentes por lo que es probable que cuando finalicemos este año, la cifra pueda llegar a superar la anterior. Si tenemos que hablar de televisores inteligentes es inevitable tener que hacer referencia en primer lugar a Samsung, que es el fabricante número 1 de este tipo de equipos, aunque fabricantes como LG y Sony comienzan a dejarse ver en este mercado que comienza a ganar usuarios en detrimento de los televisores convencionales.
Posibles formas de ataque
Antes de nada, vamos a analizar las superficies o los factores que posee el televisor y que podrían provocar que éste sufra un ataque por una tercera persona, bien de forma remota o recurriendo al acceso físico:
1.Las aplicaciones disponibles en las tienda virtual que poseen este tipo de dispositivos son una de las vías por las que una tercera persona podría lleva a cabo la infección del dispositivo con malware, pudiendo llegar a suceder algo que ya vimos en Google Play.
2.La conexión a internet también puede convertirse en un problema, o más que la conexión, la navegación por páginas que podrían estar infectadas con scripts que aprovechasen las vulnerabilidades del sistema operativo de los televisores para proceder al robo de información o la instalación de malware.
3.También podría ser una posible vía de ataque la utilización de unidades USB, ya que éstas podrían estar infectadas con algún tipo de malware que podría instalarse en el dispositivo.
Añadir que todas las aplicaciones que existen están desarrolladas en HTML, javascript y Flash, por lo que actualmente son los únicos formatos aceptados por los televisores Samsung Smart TV.
Análisis del sistema operativo
El sistema operativo que ha utilizado la firma coreana para sus televisores ha sido una versión de Linux modificada por los propios responsables de la compañía para adaptarlo a las necesidades de sus televisores inteligentes. Después de haber sido sometido a un análisis exhaustivo se ha podido comprobar que todas las aplicaciones y tareas que se ejecutan y se llevan a cabo en el televisor se hace desde un punto de vista de administrador, es decir, todo se hace utilizando root, algo que podría provocar un problema de seguridad ya que no existe una jerarquía de permisos que permitiría aislar las funciones y llamadas al sistema más críticas.
25 root 0 SW [mmcqd]
37 root 1692 S -/bin/sh
58 root 1692 S /bin/sh /mtd_exe/rc.local
67 root 1502m S ./exeDSP
88 root 0 SW [aeMsgTask]
149 root 0 SW [khubd]
247 root 0 SW [flush-179:0]
256 root 17692 S /mtd_cmmlib/BT_LIB/bsa_server -all=0 -diag=0 -hci=0
265 root 0 SW [usbhid_resumer]
458 root 234m S /mtd_appdata/Runtime/bin/X -logfile /mtd_rwarea/Xlog
579 root 486m S /mtd_appdata/InfoLink/lib/WidgetEngine 67 51982
1047 root 1688 S udhcpc -i ra11n0 -t 5 -T 5 -b
1067 root 3684 S N /mtd_exe/Comp_LIB/UEP.b
1075 root 10680 S ./MainServer /mtd_rwarea/yahoo
1079 root 10072 S ./PDSServer
1080 root 18656 S ./AppUpdate com.yahoo.connectedtv.updater
1112 root 18956 S ./BIServer com.yahoo.connectedtv.samsungbi
1133 root 361m T /mtd_down/emps/empWebBrowser/bin/BrowserLauncher
1368 root 9592 S Download 42060 -1
En la lista anterior se puede ver como cualquier aplicación se utiliza bajo los permisos de root. Sin embargo, los desarrolladores de Samsung tratan de prevenir ésto ubicando todos estos ficheros y los que se generen de la ejecución de estos en una sandbox permanente de la cual, es imposible de abandonar.
Errores en las API y en las aplicaciones pre-instaladas
La desventaja y el problema de seguridad que tiene la ejecución de las aplicaciones como root, es que en el caso de que las API del televisor tengan fallos de seguridad, estos pueden ser utilizados para escapar de las sandbox y conseguir afectar al sistema de ficheros del sistema operativo. A ésto, hay que sumar que las aplicaciones pre-instaladas tengan un fallo de seguridad. En este caso, el fallo de seguridad proporcionaría al atacante la posibilidad de de extraer el código de comprobación de estas aplicaciones para escapar de la sandbox y así ser utilizado para que las demás escapen.
Otro posible problema de seguridad y que no podemos pasar por alto es la actualización de firmware que en las Samsung Smart TV se puede hacer mediante conexión a internet o utilizando una unidad USB. El archivo firmware no posee ningún tipo de comprobación por lo que, en el caso de que este fichero haya sido modificado por una tercera persona, este firmware sería instalado sin ningún tipo de seguridad previa, lo que podría suponer dejar "muerto" el televisor en el peor de los casos o tener instalado en el sistema operativo malware.
Conclusiones finales
A pesar de que las Smart TV sean unos dispositivos increíbles y que simplifiquen mucho la vida de los usuarios, poniendo un fácil acceso a determinados servicios, en lo referido a la seguridad es necesario que mejoren bastante, o por lo menos en el aspecto de Samsung, ya que de no ser pronto podrían convertirse en un blanco para los hackers y los ciberdelincuentes.
Más detalles AQUÍ http://grayhash.com/2012/12/20/samsung_smart_tv_security/
FUENTE :http://www.redeszone.net/2013/01/08/samsung-smart-tv-sus-fallos-de-seguridad-al-detalle/