Samsungov novi operativni sistem za mobilni je raj za hakere

Prošlog meseca pažnja javnosti bila je usmerena na CIA pošto su WikiLeaks objavili internu prepisku ove obaveštajne službe u kojoj se tvrdi da mogu da nadgledaju ljude kroz Samsung smart TV uređaje. Ovo je doduše bilo moguće raditi samo na starijim Samsung modelima, i to uz fizički pristup CIA osoblja televizoru – malver bi se instalirao sa USB stika.

Pa ipak, prostor za ovakve upade daleko je širi nego što se ranije mislilo. Izraelski naučnik otkrio je 40 ranije nepoznatih slabih tačaka ( zero-day vulnerabilities) preko kojih je moguće hakovati milione novih Samsung televizora, satova, i telefona koji su već na tržištu, kao i onih koji tek treba da izađu, bez potrebe za fizičkim pristupom. Rupa je open sors operativni sistem po imenu Tizen, koji Samsung poslednjih godina uvodi na svoje uređaje.

Samsung već dugo radi na tome da se sve manje oslanja na Gugl i Android OS koji voze njegove Galaxy telefone, tablete, i druge uređaje. Tizen je danas operativni sistem na približno 30 miliona uređaja u zemljama kao što su Rusija, Indija, i Bangladeš. Samsung planira da još 10 miliona Tizen telefona pusti u promet do kraja godine, a takođe su najavili da će pod Tizenom biti i nova serija pametnih frižidera i mašina za pranje veša.

Ali ovaj operativni sistem prepun je slabosti koje omogućavaju hakerima da bez poteškoća preuzmu kontrolu nad uređajima na kojima on radi, tvrdi Izraelski naučnik Amihai Niderman.

„Gori kod još nisam video", kaže on za Motherboard u razgovoru pred svoj govor u sklopu Kaspersky Lab foruma za bezbednosne analitičare na ostrvu St. Marten prošlog ponedeljka. „Uspeli su da zabrljaju sve što je bio moguće. Vidi se da kod niti je pisao niti uređivao neko ko se razume u bezbednost. Kao da ga je neki student-programer radio."

Brojne slabosti omogućavaju hakerima da preuzmu kontrolu nad Samsung uređajima sa daljine, ali Niderman ističe da je jedna posebno važna: TizenStore aplikacija – Samsungova verzija Google Play servisa – preko koje se instalira i apdejtuje softver na uređaje pod Tizenom. Niderman kaže da je koristeći greške u dizajnu uspeo da isporuči svoj kod na Samsung TV.

Pošto softver sa TizenStore automatski ima optimalne privilegije na uređaju, za svakog hakera bilo bi idealno da tim putem zadobije pristup uređaju.

„Tizen sistem može se apdejtovati bilo kakvim malicioznim kodom," kaže on.

TizenStore oslanja se na proveru autentičnosti da bi se sprečila instalacija softvera koji ne potiče od Samsunga, ali Niderman je otkrio da heap-overflow pristup daje kontrolu pre nego što se ova provera obavi.

Iako su eksperti i ranije otkrivali slabosti u bezbednosti Samsung uređaja, Tizen nije detaljno razmatran jer se još uvek ne koristi masovno na telefonima.

Niderman, koji radi na Android telefonima za izraelski Equus Software, počeo je da analizira Tizen kod pre osam meseci kada je kupio Samsung TV pod ovim sistemom. U to vreme, Samsung je instalirao svoj novi operativni sistem na pametne televizore, satove, i telefone u samo par zemalja.

Prvi Tizen telefoni izašli su na indijsko tržište, a zatim se proširili na Južnu Afriku, Nepal, Indoneziju, a smatra se da Samsung planira distribuciju i po Latinskoj Americi, Bliskom Istoku, delovima Evrope, i na kraju SAD. Kompanija takođe pokušava da proširi paletu Tizen softvera nudeći nagrade od po 10,000 dolara programerima čije se aplikacije plasiraju među stotinu najpopularnijih.

Niderman je vrlo brzo otkrio koliko slabu zaštitu Tizen kod pruža njegovom televizoru, što ga je motivisalo da kupi i nekoliko Tizen telefona da bi ispitao šta može njima da uradi.

Kaže da je veliki deo Tizen koda zastareo, baziran na prethodnim programerskim projektima unutar Samsunga kao što je Bada, otkazan OS za mobilne telefone na kom je Samsung ranije radio.

„Vidi se da su uzeli gomilu tog koda i pokušali da ga uguraju u Tizen", kaže Niderman.

Ali najviše slabosti je ipak našao u novom kodu, napisanom samo za Tizen u prethodnih par godina. Većina slabih tačaka posledica su grešaka kakve su programeri pravili pre dvadesetak godina, što ukazuje na to da Samsungu nedostaju bazične službe za razvoj i proveru programerskog koda koje bi uočile takve propuste.

Kao primer navodi strcpy() funkciju u Tizenu koja replicira podatke u memoriji, ali sadrži vrlo prostu manu – ne proverava da li ima dovoljno prostora na kom bi se podaci ispisali, pa greškom stvar buffer overrun koji se lako može zloupotrebiti. Ovo stanje se dešava kad nema dovoljno prostora da se svi podaci sačuvaju, pa oni prinudno zalaze u susedni memorijski prostor. Niderman kaže da zbog ove dobro poznate slabosti programeri odavno ne koriste ovu funkciju. Ipak, „Samsung je koristi na sve strane."

Takođe je otkrio da Samsungovi programeri ne kriste SSL enkripciju za bezbedan prenos određenih podataka, odnosno obično je ne koriste na onim transmisijama gde je najpotrebnija.

„Tu ima mnogo pogrešnih pretpostavki o prioritetu enkripcije", kaže on i dodaje „Stvara se suvišan posao ako se prelazi sa bezbedne na nebezbednu vezu." Ovo ukazuje da propust nije bio slučajan, već su svesno izabrali da na određenim mestima preskoče SSL.

Niderman je kontaktirao Samsung pre više meseci povodom ovih problema, ali dobio je samo odgovor sa automata. Motherboard se takođe obratio korejskoj kompaniji, ali stigao nam je ovaj odgovor: „ Samsung Electronics tretira pitanja bezbednosti i privatnosti veoma ozbiljno. Naši sistemi redovno prolaze kroz kontrole, a sve slučajeve potencijalne slabosti mi ispitujemo i rešavamo čim ih identifikujemo."

Po izlasku ovog teksta, primili smo i ovaj mejl: „Samsung je spreman da sarađuje sa gospodinom Nidermanom na uklanjanju svih potencijalnih slabih tačaka sistema. Koristeći naš SmartTV Bug Bounty program, Samsung nudi stručnjacima širom sveta mogućnost da nam upute svoja zapažanja."

Niderman kaže da je pre nekoliko dana stupio u kontakt sa Samsungom i poslao im deo svojih primedbi, ali takođe smatra da bi kompanija morala da odloži plasiranje telefona sa Tizen OS dok se kod ne bude značajno izmenio i unapredio.

„Tizen je sledeći veliki projekat za Samsung, moguće je da ga već novi Galaxy telefoni budu imali. Ali trenutno uopšte nije spreman za bezbedan rad."