S'adressant à Amihai Neiderman, chercheur en sécurité chez Equus Software, mère américaine, Motherboard nous informe qu'il existe actuellement 40 vulnérabilités de sécurité non signalées qui permettraient l'exécution à distance et le piratage de chaque téléviseur, montre ou téléphone Samsung utilisant le système d'exploitation Tizen. Certaines allégations concernant le comment et le pourquoi de nombre de ces exploits sont plus graves.
C'est peut-être le pire code que j'ai jamais vu.
Bien que Samsung ne pense peut-être pas à remplacer Android par Tizen sur ses téléphones et ses tablettes, l'écosystème actuel est sur le point d'être étendu: Samsung s'engage à utiliser Tizen sur la quasi-totalité des appareils intelligents vendus par la suite. Les réfrigérateurs intelligents semblent être une bonne idée jusqu'à ce que quelqu'un vous pirate votre courrier électronique.
C'est peut-être le pire code que j'ai jamais vu, explique Neiderman à la carte mère. Tout ce que vous pouvez faire de mal là-bas, ils le font. Vous pouvez voir que personne, ayant une compréhension de la sécurité, n’a consulté ou écrit ce code. C'est comme prendre un étudiant de premier cycle et le laisser programmer votre logiciel.
Tout grand projet logiciel aura son lot de bugs et d’exploits. Bien que certains soient plus sérieux que d'autres, la plupart des chercheurs ne considèrent pas Tizen de la même manière qu'ils se concentrent sur Android, iOS et Windows. C'est en grande partie parce que Samsung vendra plus de téléphones Galaxy S8 en une semaine qu'il ne vendra probablement jamais de téléphones fonctionnant sous Tizen. Mais cela ne tient pas compte de plusieurs des gammes de produits à succès de Samsung, dont la montre intelligente Gear S3, que beaucoup d’entre nous ont au poignet à l’heure actuelle. Neiderman poursuit avec une ombre sérieuse envers l’équipe de développement de Samsung pour Tizen.
explique qu'une grande partie de la base de code Tizen est ancienne et qu'elle emprunte à des projets de codage Samsung antérieurs, notamment à Bada, un système d'exploitation de téléphone mobile antérieur abandonné par Samsung.
Mais la plupart des vulnérabilités qu'il a découvertes se trouvaient dans un nouveau code écrit spécialement pour Tizen au cours des deux dernières années. Nombre d'entre elles sont le genre d'erreurs commises par les programmeurs il y a vingt ans, indiquant que Samsung manquait de développement de code de base et de pratiques de révision pour prévenir et détecter de telles failles.
Ceci est particulièrement inquiétant pour plusieurs raisons. Premièrement, le code ajouté par Samsung à Android n’a pas de processus d’évaluation par les pairs car il n’est pas open source. Si Samsung, comme on le prétend, fait défaut en matière de techniques de codage et de révision, le même type d'erreurs pourrait également être abondant dans son portefeuille Android. Même si ce n'est pas le cas, la famille de montres Samsung Gear est connectée à de nombreux appareils Android et partage beaucoup d'informations qui pourraient être accessibles à quelqu'un qui dispose des outils appropriés et d'un peu de savoir-faire.
Un attaquant peut installer n’importe quel logiciel de son choix via l’application TizenStore.
Même des données financières sous forme de jetons via Samsung Pay doivent vivre sur votre montre à un certain niveau, même si elles sont suffisamment longues pour être transmises à un terminal de paiement ou à votre banque. Heureusement, il est stocké d’une manière qui le rend quasiment sans valeur sans les clés permettant de le décrypter et une référence à l’utilisation du jeton.
Tout cela mis à part, le plus gros problème est un problème avec le magasin d'applications et l'installateur Tizen.
Un trou de sécurité que Neiderman a découvert était particulièrement critique. Elle concerne l'application TizenStore de Samsung, la version de Google Play Store de Samsung, qui propose des mises à jour d'applications et de logiciels pour les appareils Tizen. Neiderman affirme qu'une faille dans sa conception lui a permis de détourner le logiciel pour transmettre du code malveillant à son téléviseur Samsung.
Ceci est un spectacle stopper. L'application TizenStore s'exécute avec des privilèges système absolus et peut installer et exécuter n'importe quoi sans aucune entrée secondaire de l'utilisateur. Pirater ce processus et l'utiliser pour installer des outils d'accès à distance et leur accorder des privilèges système signifie qu'un attaquant peut faire à peu près tout ce qu'il veut. Chaque appareil ayant accès au TizenStore ou à un autre moyen d'installer des applications Tizen est potentiellement vulnérable, y compris la famille Samsung Gear.
Nous ne conseillons à personne de jeter sa montre ou sa télévision. Nous avons contacté Samsung, qui a dit à la carte mère qu'elle travaillait avec Neiderman pour mettre tout en forme, et nous le mettrons à jour dès que nous entendons quelque chose.
Pour le moment, faites preuve de la même prudence que si vous utilisiez un ordinateur Windows ou lorsque vous chargez des applications Android lorsque vous utilisez vos gadgets utilisant Tizen.
