Czego nie mówią nam producenci aplikacji na Smart TV? Ponad połowa z nich udostępnia Twój numer IP

Większość użytkowników zwraca uwagę na aplikacje instalowane w smartfonach czy komputerach, ale rzadko analizuje oprogramowanie działające na Smart TV. Tymczasem najnowsze badania firmy Spur Intelligence Labs pokazują, że wiele aplikacji dostępnych na platformach LG webOS i Samsung Tizen zawiera komponenty umożliwiające wykorzystanie domowego łącza internetowego jako elementu komercyjnej sieci proxy.

Czym właściwie jest sieć proxy rezydencyjnych?

Aby zrozumieć problem, warto wyjaśnić pojęcie proxy rezydencyjnego. Jest to usługa pozwalająca na kierowanie ruchu internetowego przez urządzenia posiadające zwykłe, domowe adresy IP. Dla odbiorcy takiego ruchu wygląda on tak, jakby pochodził od zwyczajnego użytkownika Internetu, a nie z centrum danych czy serwera w chmurze.

Sieci proxy rezydencyjnych są wykorzystywane przez firmy zajmujące się analizą rynku, monitorowaniem cen, badaniem reklam internetowych, testowaniem usług geolokalizacyjnych czy automatycznym pobieraniem danych z publicznie dostępnych stron internetowych. Samo wykorzystanie takich technologii nie musi być nielegalne ani szkodliwe. Problem pojawia się, gdy właściciel urządzenia nie jest świadomy, że jego sprzęt uczestniczy w tego typu infrastrukturze.

W praktyce operator sieci proxy sprzedaje klientom możliwość korzystania z adresów IP należących do zwykłych użytkowników. Im większa liczba urządzeń w sieci, tym bardziej atrakcyjna staje się ona dla odbiorców usług.

Ponad dwa tysiące aplikacji z komponentami proxy

Badacze Spur przeanalizowali ponad sześć tysięcy aplikacji dostępnych dla telewizorów LG i Samsung. Wyniki okazały się zaskakujące. W ponad dwóch tysiącach przypadków wykryto biblioteki programistyczne (SDK) pochodzące od firm zajmujących się budową sieci proxy rezydencyjnych.

SDK (Software Development Kit) to zestaw narzędzi i bibliotek, które programiści mogą łatwo zintegrować ze swoją aplikacją. W przypadku sieci proxy ich zadaniem jest umożliwienie przekazywania ruchu internetowego przez urządzenie użytkownika. Dla twórców darmowych aplikacji jest to atrakcyjny model biznesowy. Zamiast polegać wyłącznie na reklamach, mogą otrzymywać wynagrodzenie za udostępnianie zasobów sieciowych urządzeń swoich użytkowników.

Co istotne, wiele z tych aplikacji nie należy do najbardziej rozpoznawalnych marek. Są to często programy o stosunkowo prostych funkcjach: wygaszacze ekranu, galerie zdjęć, aplikacje pogodowe, narzędzia informacyjne, gry lub programy rozrywkowe. Użytkownik instalujący taką aplikację rzadko spodziewa się, że może ona wykonywać dodatkowe operacje sieciowe, niezwiązane bezpośrednio z jej główną funkcją.

Jak działa taki mechanizm?

Z technicznego punktu widzenia proces jest stosunkowo prosty. Po instalacji aplikacji i zaakceptowaniu regulaminu urządzenie może otrzymać możliwość uczestniczenia w sieci proxy operatora. W określonych sytuacjach przez telewizor przesyłane są żądania internetowe generowane przez klientów korzystających z tej usługi.

Dla użytkownika najczęściej jest to proces całkowicie niewidoczny. Telewizor nadal działa normalnie, aplikacja realizuje swoje zadania, a w tle wykonywane są dodatkowe operacje sieciowe. W zależności od implementacji może to oznaczać wykorzystanie części przepustowości domowego łącza internetowego.

Szczególnie interesujący jest fakt, że niektóre rozwiązania mogą działać niezależnie od tego, czy użytkownik aktywnie korzysta z aplikacji. Oznacza to, że komponent proxy może pozostawać aktywny również wtedy, gdy program nie jest aktualnie uruchomiony na ekranie.

Dlaczego eksperci zwracają uwagę na kwestie bezpieczeństwa?

Najważniejszym problemem nie jest sam transfer danych, lecz pozycja telewizora w sieci domowej. Smart TV znajduje się zazwyczaj w tej samej sieci lokalnej co komputery, smartfony, serwery NAS, drukarki, kamery monitoringu czy urządzenia Internetu Rzeczy.

Teoretycznie dobrze zaprojektowany system proxy powinien ograniczać się wyłącznie do przekazywania określonego rodzaju ruchu internetowego i nie umożliwiać dostępu do innych urządzeń w sieci lokalnej. Jednak historia cyberbezpieczeństwa pokazuje, że błędy konfiguracji, luki programistyczne oraz niewłaściwe zabezpieczenia zdarzają się nawet dużym organizacjom.

Badacze wskazują, że część dostawców stosuje mechanizmy blokujące komunikację z prywatnymi adresami IP wykorzystywanymi w sieciach lokalnych. Takie zabezpieczenia zmniejszają ryzyko, ale nie eliminują go. Każda dodatkowa usługa sieciowa uruchamiana na urządzeniu zwiększa powierzchnię potencjalnego ataku.

Dla organizacji zajmujących się bezpieczeństwem informacji szczególnie istotny jest fakt, że użytkownik często nie ma możliwości samodzielnego zweryfikowania zakresu działania zainstalowanego SDK. W przeciwieństwie do komputerów osobistych platformy Smart TV oferują ograniczone możliwości monitorowania aktywności sieciowej aplikacji.

Kwestia świadomej zgody użytkownika

Jednym z głównych tematów poruszanych przez autorów raportu jest przejrzystość działania takich rozwiązań. Formalnie użytkownik często wyraża zgodę poprzez zaakceptowanie regulaminu lub polityki prywatności. W praktyce jednak niewiele osób czyta wielostronicowe dokumenty prawne przed instalacją aplikacji.

W efekcie wielu użytkowników może nie zdawać sobie sprawy, że ich domowy adres IP jest wykorzystywany przez podmioty trzecie. Nawet jeśli informacja taka znajduje się w regulaminie, sposób jej prezentacji często utrudnia zrozumienie rzeczywistego zakresu działania aplikacji.

Z perspektywy cyberbezpieczeństwa coraz częściej podkreśla się konieczność stosowania jasnych komunikatów dotyczących wykorzystania zasobów urządzenia, podobnie jak ma to miejsce w przypadku dostępu do kamery, mikrofonu czy lokalizacji.

Różnice między producentami platform

Raport zwraca również uwagę na politykę poszczególnych producentów platform Smart TV. Niektóre firmy przyjmują bardziej restrykcyjne podejście wobec aplikacji wykorzystujących mechanizmy proxy. Przykładowo Amazon Fire TV posiada wytyczne ograniczające możliwość oferowania usług proxy dla podmiotów trzecich.

W przypadku innych platform zasady są mniej jednoznaczne, co pozwala deweloperom na łatwiejszą integrację tego typu rozwiązań. Wywołuje to sytuację, w której identyczna aplikacja może zostać odrzucona przez jeden sklep, a zaakceptowana przez inny.

Eksperci przewidują, że wraz ze wzrostem zainteresowania tym modelem monetyzacji producenci urządzeń będą zmuszeni do wprowadzenia bardziej szczegółowych regulacji.

Co może zrobić użytkownik?

Choć przeciętny użytkownik nie ma pełnej kontroli nad działaniem systemu Smart TV, istnieje kilka działań ograniczających ryzyko. Warto instalować aplikacje wyłącznie od znanych producentów, regularnie aktualizować oprogramowanie telewizora oraz usuwać programy, z których nie korzystamy.

Dobrą praktyką jest również segmentacja sieci domowej. Coraz więcej nowoczesnych routerów pozwala utworzyć osobną sieć dla urządzeń IoT i Smart TV. Dzięki temu nawet w przypadku problemów bezpieczeństwa potencjalny dostęp do pozostałych urządzeń może zostać ograniczony.

Zaawansowani użytkownicy mogą dodatkowo monitorować ruch sieciowy generowany przez telewizor lub stosować lokalne systemy filtrowania DNS, pozwalające identyfikować nietypowe połączenia.

Podsumowanie

Raport Spur Intelligence Labs pokazuje, że telewizory Smart TV stały się znacznie bardziej złożonymi urządzeniami, niż przypuszcza większość użytkowników. Obecność tysięcy aplikacji zawierających komponenty sieci proxy wskazuje na rozwój nowego modelu monetyzacji oprogramowania, w którym zasobem staje się nie tylko uwaga użytkownika, ale również jego adres IP i dostęp do Internetu.

Nie oznacza to automatycznie zagrożenia dla każdego posiadacza Smart TV. Wyniki badania pokazują jednak, że użytkownicy powinni zwracać większą uwagę na instalowane aplikacje, a producenci platform powinni zapewnić większą przejrzystość działania oprogramowania. W świecie, w którym telewizor jest już pełnoprawnym komputerem podłączonym do sieci, świadomość zagrożeń staje się równie ważna jak w przypadku laptopów czy smartfonów.