En del av de nyeste tv-ene er utstyrt med et kamera som for eksempel kan brukes sammen med tjenester som Skype. Men hva synes du om tanken at uvedkommende kan ha fått tilgang til dette kameraet og kan se hva du driver med i tv-stuen?
Under Black Hat-konferansen som ble arrangert i Las Vegas i forrige uke, fortalte to sikkerhetseksperte ved selskapet ISEC Partners, Aaron Grattafiori og Josh Yavor, om oppdagelser de har gjort under granskning av smarte tv-er fra Samsung.
Ifølge Security Ledger fortalte de to under presentasjonen at Samsung Smart-TV i praksis er en Linux-enhet utstyrt med en WebKit-basert nettleser som kan kjøre blant annet webapplikasjoner. WebKit-komponenten i tv-ene er i stor grad utsatt for de samme sårbarhetene som WebKit-komponenten i for eksempel nettleseren Safari. Men lite tyder på at tv-produsentene kommer med sikkerhetsoppdateringer like raskt og hyppig som for eksempel Apple.
I presentasjonen demonstrerte Grattafiori og Yavor derimot to sårbarheter i SmartHub, som er den Java-baserte applikasjonen som gir brukerne av Samsung Smart-TV tilgang til det meste av den «smarte» funksjonaliteten. Ifølge foredragsholderne kan sårbarhetene blant annet utnyttes til å få full tilgang til webkameraet som er en integrert del av tv-en. Men de demonstrerte også at det er mulig å utføre DNS-forgiftning og angrep basert på drive-by-nedlasting, noe som kan benyttes til å få tilgang til lokal innloggingsinformasjon, brukerens nettleserdata og passord for det lokale, trådløse nettverket.
I en annen demonstrasjon viste Grattafiori og Yavor at de ved hjelp av onsinnet Java-kode kunne injisere «humørmeldinger» i Skype-økter, noe som fikk applikasjonen til å starte på nytt. Andre angrep kan ifølge sikkerhetsforskerne brukes til å få tilgang til programmingsgrensesnitt knyttet til Java-applikasjoner, lagret informasjon om andre brukere, samt den lokale brukerens ulike brukernavn og passord.
Grattafiori og Yavor forteller at sårbarheten i Skype-applikasjonen allerede skal være fikset og at Samsung vil fjerne noen av problemene knyttet programmeringsgrensesnittene i selskapet 2014-utgaver av tv-ene. Det er uklart hva som skjer med eldre modeller, men selskapet har mulighet til å tvangsutrulle programvareoppdateringer. Spørsmålet er i hvilken grad dette skjer med modeller som ikke er helt nye. Det er det ikke lett å finne noen oversikt over hvilke oppdateringer som finnes til hvilken tv-modell, eller hva disse oppdateringene består av.
Grattafiori mener likevel at faren ved slike sårbarheter foreløpig ikke er så stor.
– Jeg tror at i praksis, så er dette ennå ikke en stor nok plattform til at mange vil legge den nødvendige innsatsen i det, sier han til Security Ledger. Han mener det likevel er en viss risiko knyttet til å basere en plattform på et rammeverk bestående av HTML og JavaScript. Nettsteder som Samygo.tv bidrar dessuten til å gi publikum et større innblikk i det som foregår bak og under skjermen til Samsung smarte tv-er.
– Integrerte enheter er i ferd med å bli smartere. Og etter hvert som de blir smartere, blir det en stadig større angrepsflate. Noen av disse tingene kan virke søkte nå, men om fem år, når alt mulig har en IPv6-adresse og er tilknyttet, kan saken være en helt annen, mener Grattafiori.
