Smart TV na podsłuchu. Kto i po co wykorzystuje Twoje łącze?

Nowoczesne odbiorniki telewizyjne dawno przestały pełnić wyłącznie funkcję ekranów do wyświetlania obrazu. Obecnie są to zaawansowane komputery podłączone na stałe do domowej infrastruktury sieciowej. Zaufanie, jakim obdarzamy sprzęt w naszym salonie, bywa jednak brutalnie nadużywane przez korporacje technologiczne oraz twórców oprogramowania. Najnowsze analizy ujawniają, że setki darmowych programów instalowanych na sprzętach znanych marek potajemnie zamieniają te urządzenia w węzły przesyłowe dla obcych podmiotów. Użytkownik, instalując z pozoru niegroźną aplikację VOD czy prostą grę, nieświadomie oddaje część przepustowości swojego łącza internetowego zewnętrznym firmom. Taki stan rzeczy stanowi rażące naruszenie prywatności i praw własności. Domowy sprzęt, zakupiony za prywatne pieniądze, zaczyna pracować na rzecz nieznanych podmiotów trzecich, nierzadko narażając całą sieć lokalną na poważne niebezpieczeństwo ze strony cyberprzestępców.

Monetyzacja prywatnego łącza bez wyraźnej świadomości

Omawiany proceder został szczegółowo udokumentowany przez badaczy z firmy Spur, którzy postanowili wziąć pod lupę oprogramowanie dostępne w oficjalnych sklepach dla systemów webOS oraz Tizen. Analizie poddano ponad sześć tysięcy programów. Wnioski płynące z tego audytu są szokujące. Okazało się, że ponad dwa tysiące aplikacji zawiera w swoim kodzie zaszyte moduły pozwalające na tworzenie tak zwanych domowych węzłów proxy.

W przypadku koreańskiego producenta LG statystyki wyglądają wręcz katastrofalnie. Zastosowanie kontrowersyjnych modułów wykryto w przeszło 42 procentach całej bazy oprogramowania oferowanego posiadaczom tych urządzeń.

Mechanizm działania pakietów pośredniczących

Twórcy aplikacji chętnie sięgają po gotowe pakiety programistyczne (SDK) dostarczane przez zewnętrzne hurtownie danych, takie jak chociażby Bright Data. Mechanizm ten pozwala twórcom zarabiać na darmowych aplikacjach w nietypowy sposób. Zamiast wyświetlać reklamy, program udostępnia łącze internetowe widza zewnętrznym klientom. Ruch sieciowy generowany przez obce osoby lub boty jest przepuszczany przez adres IP przypisany do domowego routera użytkownika.

Większość konsumentów nie ma o tym zielonego pojęcia, ponieważ informacje o zgodzie na pośrednictwo sieciowe są zazwyczaj sprytnie ukryte głęboko w wielostronicowych, zawiłych regulaminach licencyjnych. Co gorsza, po zaakceptowaniu takich warunków podczas pierwszej instalacji, moduły pośredniczące funkcjonują w tle przez cały czas. Nie trzeba nawet aktywnie korzystać z danej aplikacji, aby nasz telewizor przetwarzał obce zapytania sieciowe.

Zagrożenie dla wewnętrznej infrastruktury informatycznej

Aspekt finansowy i etyczny wykorzystywania cudzego mienia to tylko jedna strona medalu. Znacznie poważniejszym problemem jest dramatyczny spadek poziomu bezpieczeństwa wewnątrz prywatnego domostwa. Odbiornik Smart TV posiada autoryzowany dostęp do lokalnej sieci Wi-Fi lub połączenia przewodowego. Przejęcie nad nim częściowej kontroli przez zewnętrzne pakiety kodu otwiera bardzo niebezpieczną furtkę.

Podatność urządzeń lokalnych na inwigilację

Eksperci do spraw cyberbezpieczeństwa ostrzegają, że złośliwie zmodyfikowane moduły pośredniczące mogą posłużyć do mapowania i atakowania innych sprzętów podłączonych do tego samego routera. W zasięgu potencjalnego ataku znajdują się prywatne serwery plików NAS, kamery monitoringu, drukarki sieciowe, a także osobiste komputery i smartfony domowników.

Historia informatyki zna liczne przypadki, w których luki w oprogramowaniu urządzeń Internetu Rzeczy (IoT) zostały wykorzystane do budowy gigantycznych sieci komputerów zombie. Zestawy takie były następnie używane do przeprowadzania zmasowanych ataków na infrastrukturę krytyczną, a organy ścigania pukały do drzwi nieświadomych obywateli, których adresy IP brały udział w przestępstwie. Ślepe zaufanie do zamkniętych systemów operacyjnych dostarczanych przez azjatyckich gigantów technologicznych okazuje się dzisiaj skrajnie naiwne.

Zmiana polityki i spóźniona reakcja producentów

Pod ciężarem miażdżących wyników audytu, kierownictwo LG zmuszone było podjąć natychmiastowe kroki zaradcze. Reprezentujący firmę wiceprezes John Taylor kategorycznie odciął się od opisywanego procederu, twierdząc, że budowanie sieci przekaźnikowych nigdy nie było celem inżynierów projektujących ten sprzęt.

W oficjalnym komunikacie korporacja zobowiązała się do wyeliminowania problemu:

• rozpoczęto proces blokowania i usuwania z oficjalnego sklepu wszystkich programów naruszających prywatność,

• wdrożono surowsze procedury weryfikacyjne dla nowych twórców oprogramowania,

• zapowiedziano bezwzględne zawieszanie licencji deweloperskich w przypadku prób przemycania szkodliwego kodu.

Warto jednak zauważyć, że reakcja ta jest mocno spóźniona. Inni wielcy gracze na rynku strumieniowania wideo, tacy jak Amazon czy Roku, już dawno temu zaktualizowali swoje regulaminy, wprowadzając całkowity zakaz instalowania modułów przekaźnikowych. Tolerowanie tego zjawiska przez długie lata rzuca poważny cień na procedury audytowe firm, które dotychczas chwaliły się rygorystycznym podejściem do jakości.

Niepewność wokół ekosystemu Tizen

O ile władze LG podjęły publiczne zobowiązania do oczyszczenia platformy webOS, o tyle milczenie zachowuje na razie drugi główny bohater tego skandalu, mianowicie Samsung. Analiza firmy Spur jednoznacznie wskazała, że problem dotyczy w równym stopniu aplikacji napisanych dla popularnego środowiska Tizen. Brak natychmiastowego odcięcia się od podobnych praktyk stawia pod znakiem zapytania bezpieczeństwo milionów użytkowników tej platformy.

Niezależnie od przyszłych działań korporacji, cała sytuacja stanowi brutalną lekcję realizmu dla konsumentów. W epoce powszechnej inwigilacji komercyjnej żadne oprogramowanie udostępniane rzekomo za darmo nie jest pozbawione ukrytych kosztów. Suwerenność cyfrowa obywatela wymaga nieustannej weryfikacji instalowanych dodatków oraz regularnego audytowania ruchu we własnej sieci domowej. W przeciwnym razie nasz własny, drogi sprzęt elektroniczny będzie nieprzerwanie pracował na zysk zagranicznych korporacji, wystawiając nasze prywatne dane na tacy.

Materiał współtworzony z AI.