Розмовляючи з ізраїльським дослідником безпеки Аміхайном Нейдерманом із програмного забезпечення Equus, материнська плата повідомляє нам, що в даний час існує 40 незареєстрованих вразливих місць безпеки, які дозволять віддалене виконання та злому кожного телевізора Samsung, годинника чи телефону, який використовує Tizen як операційну систему. Більш серйозними є деякі твердження про те, як і чому стоїть багато цих подвигів.
Це може бути найгірший код, який я коли-небудь бачив.
Хоча Samsung може не замислюватися над тим, щоб замінити Android на Tizen на своїх телефонах і планшетах, нинішня екосистема збирається розширити масштабний шлях: Samsung прагне використовувати Tizen на більшості всіх розумних пристроїв, які продає в майбутньому. Розумні холодильники звучать як чудова ідея, поки хтось не зламає вашу електронну пошту через один.
Це може бути найгірший код, який я коли-небудь бачив, говорить Нейдерман Motherboard. Все, що ти можеш зробити там не так, вони роблять це. Видно, що ніхто не розумів безпеки, не дивився на цей код і не писав його. Це як би здобути бакалаврат і дозволити йому програмувати ваше програмне забезпечення.
Будь-який великий проект програмного забезпечення матиме справедливу частку помилок та подвигів. Хоча деякі є більш серйозними, ніж інші, більшість дослідників не дивляться на Tizen так, як вони зосереджені на Android, iOS та Windows. Це багато в чому тому, що Samsung буде продавати більше телефонів Galaxy S8 за тиждень, що, швидше за все, коли-небудь продаватимуть телефони під управлінням Tizen. Але це оглядає декілька успішних лінійок Samsung, включаючи смарт-годинник Gear S3, який у нас зараз є на зап'ясті. Нейдерман продовжує серйозний відтінок до команди розробників Samsung для Tizen.
говорить, що значна частина коду Tizen є давньою і займає попередні проекти кодування Samsung, включаючи Bada, попередню операційну систему мобільних телефонів, яку Samsung припинила.
Але більшість виявлених уразливостей були насправді в новому коді, написаному спеціально для Tizen протягом останніх двох років. Багато з них є типом помилок, які програмісти робили двадцять років тому, що свідчить про те, що Samsung не вистачає базових програм розробки коду та перегляду, щоб запобігти та усунути такі вади.
Це особливо хвилює кілька причин. По-перше, код, який Samsung додає до Android, не має процесу експертної оцінки, оскільки він не є відкритим кодом. Якщо Samsung, як стверджується, не вистачає, коли справа стосується методів кодування та перегляду, таких же помилок може бути багато і в його портфоліо Android. Навіть якщо це не так, сімейство годинників Samsung Gear підключено до небагатьох пристроїв Android і ділиться великою кількістю інформації, яка може бути відкрита для когось із потрібними інструментами та трохи ноу-хау.
Зловмисник може встановити будь-яке програмне забезпечення, яке їм подобається через додаток TizenStore.
Навіть токенізовані фінансові дані через Samsung Pay мають жити на вашому годиннику на якомусь рівні, навіть якщо достатньо довго, щоб передати його на платіжний термінал або назад у ваш банк. На щастя, він зберігається - це спосіб, який робить його здебільшого марним без ключів для їх розшифровки та посилання на те, для чого маркер призначений.
Все це вбік, найбільша проблема - це проблема з магазином та інсталятором додатків Tizen.
Один отвір, який виявив Нейдерман, було особливо критичним. Він включає в себе додаток Samsung TizenStore - версію Google Play Store від Samsung -, яка постачає додатки та оновлення програмного забезпечення на пристрої Tizen. Нейдерман каже, що недолік в його дизайні дозволив йому викрасти програмне забезпечення для доставки шкідливого коду на його телевізор Samsung.
Це шоу-пробка. Додаток TizenStore працює з абсолютними системними привілеями і може встановлювати та запускати будь-що без вторинного вводу від користувача. Викрадення цього процесу та використання його для встановлення інструментів для віддаленого доступу та надання їм системних привілеїв означає, що зловмисник може робити майже все, що їм подобається. Кожен пристрій, що має доступ до TizenStore або інший спосіб встановлення програм Tizen, є потенційно вразливим, включаючи сімейство Samsung Gear.
Ми не радимо нікому викидати годинник чи телевізор. Ми звернулися до Samsung, який повідомляє материнській платі, що вона працює з Neiderman, щоб отримати все у формі, і ми оновлюємось, коли щось чуємо.
На даний момент проявляйте таку ж обережність, що і з комп’ютером Windows або під час завантаження додатків для Android під час використання ваших гаджетів Tizen.
