Il Disinformatico: Smart TV

Visualizzazione post con etichetta Smart TV. Mostra tutti i post

2019/06/21

Samsung avvisa gli utenti delle sue Smart TV che si possono infettare. Poi ci ripensa

Il 16 giugno scorso Samsung ha pubblicato questo tweet, salvato su Archive.org, nel quale mostrava come lanciare l’antivirus incorporato nei suoi televisori smart.

“Fare la scansione del tuo computer per virus malware [sic] è importante per farlo continuare a funzionare bene. Questo vale anche per il tuo TV QLED se è collegato al Wi-Fi! Previeni gli attacchi di software malevolo contro il tuo TV facendo la scansione per eventuali virus sul tuo TV ogni qualche settimana. Ecco come.”

Credit: The Register.

Ma invece di rassicurare gli utenti, sembra che il video li abbia in realtà preoccupati, facendo rendere conto a molti di loro, improvvisamente, che il loro televisore smart può prendersi un virus informatico come il più macilento dei Windows XP e quindi non è poi tanto smart come sembrava dal racconto del venditore. I nostalgici noteranno che tutto questo non poteva succedere con i televisori a schermo piatto non smart.

Soluzione di Samsung: eliminare il tweet.

Ma Internet non dimentica. The Register ha una cronologia delle vulnerabilità manifestate in passato dalle smart TV, e non è confortante. Se proprio dovete avere una TV smart, non collegatela a Internet a meno che non sia assolutamente necessario, e se proprio la dovete collegare, allora fatelo tramite dispositivi che filtrino e proteggano la connessione.

2019/06/07

La TV smart non è mica tanto smart

Una TV Supra. Fonte: Amazon.

I televisori “smart” vanno molto di moda, e in generale l’etichetta “smart” viene appiccicata a qualunque dispositivo da reparti di marketing disposti a tutto.

Ma come dice da anni Mikko Hypponen di F-Secure, “ogni volta che un dispositivo viene descritto come ‘smart’, è vulnerabile” (“Whenever an appliance is described as being ‘smart’, it’s vulnerable”).

Esempio concreto: secondo le ricerche pubblicate da Inputzero, i televisori “smart” della Supra, specificamente i modelli “Smart Cloud TV”, sono vulnerabili al punto che un aggressore (o un semplice burlone) che stia sulla stessa rete Wi-Fi usata dal televisore può prendere il controllo dell’apparecchio e fargli mostrare sullo schermo qualunque video a sua scelta. Non occorre nessuna password: è sufficiente inviare al televisore una semplice istruzione HTTP GET.

Lo scopritore della falla, Dhiraj Mishra, ha pubblicato un video dimostrativo.

Se il televisore è collegato senza protezioni direttamente a Internet, è comandabile da remoto da qualunque parte del mondo sapendone soltanto l’indirizzo IP (cosa piuttosto facile da scoprire con Shodan e simili).

Il fatto che l’aggressore debba essere sulla stessa rete locale Wi-Fi non è un ostacolo molto serio: basta pensare a qualunque negozio, albergo o centro commerciale che offra Wi-Fi ai clienti e abbia messo i televisori sulla stessa rete usata dai clienti.

Per il momento il fabbricante non ha reso disponibile un aggiornamento; l’unica soluzione possibile, per chi ha comprato questo apparecchio, è scollegarlo dal Wi-Fi oppure collegarlo a una rete Wi-Fi separata alla quale non ha accesso nessun altro.

2018/02/09

Smart TV sempre più ficcanaso

Molte Smart TV hanno falle di sicurezza che le rendono attaccabili via Internet e raccolgono di nascosto i dati personali degli utenti, secondo i test della rivista di statunitense di difesa dei consumatori Consumer Reports.

Il problema riguarda in generale tutte le Smart TV, ma tocca in particolare i modelli di Samsung e quelli di altre marche che usano la piattaforma Roku (per esempio Hisense, Hitachi, Insignia, Philips, RCA e Sharp), che secondo Consumer Reports sono difettosi al punto che “un criminale informatico relativamente inesperto potrebbe far loro cambiare canale, riprodurre contenuti offensivi o alzare il volume [...] via Internet”. Questo, agli occhi di un utente non esperto, darebbe l’impressione che il televisore sia guasto o posseduto e potrebbe causare disagi non trascurabili per esempio se il volume viene alzato al massimo o se viene sintonizzato un canale di violenza o pornografia.

La rivista precisa che queste vulnerabilità non consentono di spiare gli utenti o di rubare informazioni personali e che l’attacco richiede che il proprietario della TV venga convinto a visitare un sito apposito o a scaricare un’app confezionata dagli aggressori usando un telefonino o un laptop che è connesso a Internet tramite la stessa rete Wi-Fi usata dalla TV. Convincere gli utenti a fare queste cose è facile, con trucchi come il classico phishing tramite messaggio social o mail oppure con le pubblicità contenenti codice ostile annidate nei siti Web più disparati.

Non è tutto: queste Smart TV raccolgono montagne di dati sui loro proprietari e sulle loro abitudini d’uso e le mandano alle aziende produttrici, che si prendono il diritto di fare sostanzialmente quello che vogliono con questi dati grazie alle clausole annidate nelle condizioni d’uso del dispositivo.

Per ora l’unico modo di evitare questo problema, a parte non comprare una Smart TV e non connetterla a Internet, è cambiarne le impostazioni mangiaprivacy. Ma così facendo si perdono, senza alcuna motivazione tecnica, anche tutte le funzioni avanzate di questi televisori che li rendono appunto “smart”. Ma prossimamente la nuova normativa europea GDPR dovrebbe rendere estremamente illegali queste raccolte di dati personali e quindi è probabile che i fabbricanti cambieranno il modo di funzionare dei loro prodotti.

2016/12/30

Sì, le smart TV sono infettabili. E sbloccarle non è facile

Il giorno di Natale su Twitter è comparsa una segnalazione molto insolita: la fotografia di una smart TV della LG infettata e brickata (bloccata) da un ransomware come quelli descritti da MELANI. Lo schermo mostrava un finto avviso dell’FBI che richiedeva un riscatto per sbloccare il dispositivo. Spegnendo e riaccendendo il televisore, si ricaricava il ransomware.

Si sapeva già che esisteva il rischio teorico d’infezione anche per le smart TV, visto che sono in sostanza dei computer carrozzati a forma di televisore, ma questa è stata una delle prime dimostrazioni concrete del problema.

Family member's tv is bricked by Android malware. #lg wont disclose factory reset. Avoid these "smart tvs" like the plague. pic.twitter.com/kNz9T1kA0p
— Darren Cauthon (@darrencauthon) 25 dicembre 2016

La segnalazione proveniva dal Kansas, specificamente da Darren Cauthon, un informatico, e riguardava la smart TV di un familiare. La cosa più irritante, secondo Cauthon, era che il televisore non era ripristinabile perché la LG non voleva rivelare la procedura apposita, assente dal manuale, e chiedeva circa 340 dollari per la riparazione (non a domicilio, ma presso un centro assistenza LG): praticamente il costo di un televisore nuovo.

Ho contattato Cauthon, che mi ha spiegato che si tratta di una smart TV LG 50GA6400, un modello che usa Android come sistema operativo e che risale al 2014. Il televisore si è probabilmente infettato, ha detto Cauthon, usandola per scaricare un’app per guardare film. A metà di un film la smart TV si è bloccata. Non è chiaro se l’app sia stata scaricata da Google Play o da altre fonti.

L’immagine della smart TV bloccata è diventata virale in poco tempo, con mezzo milione di visualizzazioni, inducendo finalmente LG a darsi da fare e fornire a Darren Cauthon le semplici istruzioni di reset del televisore senza farsi pagare. L’informatico ha dimostrato il ripristino in un video.

Le smart TV più recenti non usano Android ma WebOS, per cui è difficile che questo genere d’infezione possa avvenire su dispositivi nuovi, anche se Trend Micro segnala che gli attacchi di ransomware alle smart TV capitano regolarmente; ma fa impressione che un televisore di un paio d’anni fa sia così vulnerabile e obsolescente e che il produttore chieda 300 dollari per premere letteramente due tasti per sbloccare la TV.

Come regola generale, alla luce di questo episodio, è consigliabile collegare a Internet le smart TV solo se strettamente indispensabile e solo per navigare in siti attendibili, senza visitare siti poco raccomandabili e soprattutto senza installare app di origine sconosciuta.

Fonti aggiuntive: BleepingComputer,

2015/02/20

Smart TV spione, altri guai per Samsung: dati personali trasmessi senza protezione

L'articolo è stato aggiornato dopo la pubblicazione iniziale.

Ricordate le parole di Samsung a proposito delle sue Smart TV, che possono trasmettere “a terzi” le parole dette quando l'utente attiva il riconoscimento vocale sul telecomando? Ne avevo parlato la settimana scorsa.

L'azienda aveva dichiarato con tono rassicurante che questi dati sensibili venivano trasmessi usando “misure e pratiche di sicurezza conformi agli standard di settore, compresa la crittografia” e che questo avveniva in “tutte” le sue Smart TV. Ma non è vero, e lo sappiamo grazie al lavoro di ricercatori di sicurezza indipendenti come David Lodge della Pen Test Partner. Non tutti i dati trasmessi sono protetti e cifrati: molti sono intercettabili da chiunque.

Lodge ha confermato che queste Smart TV, come ha dichiarato Samsung, registrano e trasmettono a terzi (specificamente la società di riconoscimento vocale Nuance Communications) le parole degli utenti soltanto in caso di comandi complessi (per esempio “Suggerisci un buon film di fantascienza”) e che i comandi di base (cambio di canale, regolazione del volume) vengono riconosciuti direttamente dal televisore senza essere trasmessi, ma ha anche scoperto che contrariamente a quanto detto dall'azienda coreana vengono trasmesse via Internet senza cifratura la registrazione audio e la trascrizione di quello che ha detto l'utente quando ha impartito un comando vocale complesso, insieme a data e ora.

Questo significa per esempio che chiunque sia nel raggio d'azione della rete Wi-Fi usata dalla Smart TV può catturare queste registrazioni e trascrizioni insieme alle conversazioni domestiche o di lavoro che spesso accompagnano i comandi vocali e farsi un'idea piuttosto intima degli orari, delle scelte televisive e delle conversazioni private del vicino di casa. Sarebbe quindi anche possibile alterare i comandi impartiti al televisore.

Samsung si è giustificata precisando che il problema riguarda soltanto le Smart TV meno recenti, per le quali verrà fornito presto un aggiornamento software che correggerà il problema. Ma il modello testato da Lodge è soltanto del 2012 ed è ancora in vendita.

Fonti aggiuntive: Punto Informatico, The Register, The Guardian.

2015/02/13

Finalmente si comincia a parlare della clausola “spiona” delle Smart TV; intanto arriva un’altra intrusione

L'articolo è stato aggiornato dopo la pubblicazione iniziale.

Ne avevo parlato nel Disinformatico già a novembre dell'anno scorso: molte Smart TV offrono un sistema di riconoscimento vocale che mantiene costantemente aperto il microfono del televisore e ascolta tutto quello che viene detto nelle sue vicinanze. Su quelle della Samsung, inoltre, se si preme il tasto dei comandi vocali sul telecomando la TV registra la voce dell'utente e la manda via Internet a un servizio di analisi esterno.

Questo è scritto a chiare lettere, per esempio, nelle norme per la privacy delle Smart TV Samsung: “Siete pregati di tenere presente che se le vostre parole pronunciate includono informazioni personali o altre informazioni sensibili, tali informazioni faranno parte dei dati catturati e trasmessi a terzi tramite il vostro uso del Riconoscimento Vocale.”

Ora la vicenda è esplosa in Rete (Punto Informatico, Guardian) e Samsung ha risposto dichiarando che l'utente viene avvisato del fatto che il televisore sta ascoltando perché sullo schermo compare l'icona di un microfono e che comunque il riconoscimento vocale è opzionale e disattivabile. Inoltre, aggiunge sempre Samsung, i dati vengono trasmessi usando “misure e pratiche di sicurezza conformi agli standard di settore, compresa la crittografia”.

Proprio quella crittografia che vari governi, come quello del primo ministro britannico David Cameron, vogliono essere in grado di scavalcare. Inoltre, considerato il livello molto basso delle “misure e pratiche di sicurezza” viste fin qui nel settore degli elettrodomestici “smart”, c'è il rischio che sia molto facile per qualunque malintenzionato intercettare quello che diciamo in casa davanti a una Smart TV.

Proprio da Samsung arriva infatti una nuova perla di affidabilità: numerosi utenti australiani hanno notato che l'app di streaming video delle loro Smart TV inserisce a forza pubblicità della Pepsi nei video registrati dagli utenti stessi. Samsung ha ammesso il problema e ha dichiarato che sembra trattarsi di un “errore” (Ars Technica, The Register). Probabilmente l'“errore” è legato alla collaborazione fra Samsung e Yahoo per inviare pubblicità alle Smart TV.

Ma è così difficile capire che in casa nostra non vogliamo essere sorvegliati, ascoltati e bombardati di pubblicità?

Aggiornamento (2015/02/20): Samsung ha dichiarato che cambierà la formulazione del documento sulla privacy per chiarire meglio cosa viene ascoltato, registrato e trasmesso; inoltre ha indicato che i “terzi” ai quali invia i dati acquisiti sono in questo momento la società Nuance Communications. Al momento, tuttavia, la formulazione pubblicata qui e qui è invariata. Inoltre è emerso che le “misure e pratiche di sicurezza conformi agli standard di settore” sono assenti in alcuni modelli di Smart TV della Samsung.

2014/11/07

Ma quanto sono spione le “smart TV”

L'articolo è stato aggiornato dopo la pubblicazione iniziale.

Se avete acquistato una “smart TV”, vi siete mai fermati a leggere le sue condizioni di gestione dei vostri dati personali? Probabilmente no. Probabilmente non immaginavate neanche che un televisore avesse delle condizioni del genere.

Ma le ha, e sono sorprendentemente invadenti e soprattutto vengono cambiate unilateralmente. In pratica, se comprate una “smart TV”, pagate per farvi schedare e spiare: quello che dite mentre il televisore è acceso verrà registrato. Non dai criminali informatici, ma dai produttori di questi dispositivi.

È un problema segnalato da varie fonti, come Techdirt e Salon, i cui esperti si sono presi la briga di leggere le tediosissime pagine informative sulla privacy che accompagnano questi e altri dispositivi “smart”. Per esempio, l'informativa generale di Samsung dice che Samsung “usa tecnologie... che consentono di sapere quando avete visto uno specifico contenuto o una specifica mail” e registra “le app che usate, i siti Web che visitate, e come interagite con i contenuti.”

Non è finita. La seguente perla è presente in questo documento sulla privacy di Samsung (link breve: tinyurl.com/tv-pettegola; versione italiana), specifico per le Smart TV: “Siete pregati di tenere presente che se le vostre parole pronunciate includono informazioni personali o altre informazioni sensibili, tali informazioni faranno parte dei dati catturati e trasmessi a terzi tramite il vostro uso del Riconoscimento Vocale.”

In pratica, se usate le funzioni di riconoscimento vocale incorporate nelle “smart TV”, state attenti a quello che dite quando siete davanti alla TV accesa, perché il riconoscimento non viene effettuato localmente, sul televisore: quello che dite viene trasmesso via Internet a “terzi” (imprecisati; forse Nuance, secondo questo manuale Samsung, pagina 222), che lo analizzano e convertono al volo in comandi.

Come se tutto questo non bastasse, i fabbricanti delle “smart TV” possono cambiare le proprie regole di gestione dei dati personali dopo che avete acquistato l'apparecchio: Techdirt riferisce che LG, per esempio, ha inviato a maggio 2014 un aggiornamento software ad alcune sue “smart TV” che conteneva una modifica di questo genere. L'utente si è trovato obbligato a scegliere fra perdere le funzioni “smart” regolarmente pagate all'acquisto, e quindi trovarsi con un televisore menomato, e consegnare a LG e ai soliti “terzi” (sempre imprecisati) una quantità esagerata di dati personali, comprese “le parole usate per cercare contenuti, i dettagli delle azioni compiute durante la visione (per esempio riproduzione, stop, pausa, eccetera), la durata di visione del contenuto”.

Se a qualcuno tutto questo fa venire in mente 1984 di Orwell, non è il solo, ma ci sono differenze importanti: nella realtà siamo noi a pagare per farci mettere in casa il teleschermo che ci cataloga, ci scheda e ci timbra, e la sorveglianza non è imposta da un governo totalitario, ma viene spinta di soppiatto dai social network e dalle agenzie pubblicitarie. E noi la abbracciamo felici. Neppure Orwell era riuscito a immaginare un futuro così.

Soluzioni? Ce ne sono poche, per ora: non comperare una “smart TV” ma un televisore normale; comperarla ma non collegarla a Internet o filtrarne la connessione e perdere così la maggior parte delle sue funzioni; oppure andare nelle impostazioni della TV e rifiutare di attivare il riconoscimento facciale e vocale. Più in generale, è opportuno far conoscere l'esistenza del problema.

Aggiornamento (2015/02/20): Samsung ha dichiarato che cambierà la formulazione del documento sulla privacy per chiarire meglio cosa viene ascoltato, registrato e trasmesso; inoltre ha indicato che i “terzi” ai quali invia i dati acquisiti sono in questo momento la società Nuance Communications. Al momento, tuttavia, la formulazione pubblicata qui e qui è invariata.

2014/06/13

Smart TV vulnerabili: l’HbbTV esegue qualunque malware gli venga inviato. Zero controlli

Sembra proprio che i progettisti delle Smart TV e dei nuovi standard televisivi non vogliano imparare una delle lezioni fondamentali della sicurezza informatica: non ti puoi fidare ciecamente di quello che ti arriva da fuori ed eseguirlo senza verifiche. Dopo le TV Samsung che permettono agli intrusi di guardare in casa via Internet, quelle della LG che mandano alla casa madre un avviso ogni volta che accendiamo e spegniamo l'apparecchio e l'elenco dei file video che guardiamo, e quelle della Philips che hanno password non modificabili e permettono agli intrusi di prenderne il controllo, arriva un problema a un livello più alto: lo standard HbbTV è vulnerabile.

Come spiega bene Forbes, lo standard HbbTV (Hybrid Broadcast Broadband TV), supportato in quasi tutti gli apparecchi Smart TV, consente alle emittenti di inviare software ai televisori predisposti, con l'intento di fornire servizi come le pubblicità interattive, il televoto, i giochi, i social network e le guide ai programmi. Il guaio è che questo standard non fa alcun controllo di sicurezza su quello che riceve. Si fida ciecamente.

Questo permette attacchi spettacolari e inattesi come quelli descritti e dimostrati dai ricercatori di sicurezza informatica Yossi Oren ed Angelos Keromytis del Columbia University Network Security Lab e pubblicati in un articolo nell'ambito dello USENIX Security Symposium. Per esempio, un aggressore piazza un apposito trasmettitore che imita le normali trasmissioni TV digitali, lasciando intatte le immagini ma iniettando nella parte HbbTV del segnale del software ostile.

Questo software ostile viene eseguito dalla Smart TV senza alcuna verifica preliminare e senza chiedere il consenso dell'utente (il rumore che sentite è il facepalm collettivo di qualunque informatico che abbia mai aperto un manuale di sicurezza almeno una volta). Siccome la Smart TV è collegata al resto della rete domestica, il malware cerca router Wifi e PC che non si aspettano attacchi dall'interno e li infetta e ruba le password dei social network, postando false recensioni e post e combinando ogni sorta di sabotaggi: televoti alterati, pubblicità modificate, notizie false che possono alterare i mercati, messaggi alla Captain Midnight che sembrano presi da una puntata del classico Max Headroom. Il tutto, inoltre, non sarebbe tracciabile, a differenza dei normali attacchi via Internet.

I ricercatori hanno segnalato il problema ai responsabile dello standard HbbTV, che però hanno risposto che l'attacco non era sufficientemente grave da richiedere la revisione dello standard: la portata sarebbe troppo ridotta. Oren e Keromytis hanno obiettato spiegando una tecnica che permetterebbe di colpire decine di migliaia di utenti con una spesa modestissima, ma lo standard non verrà modificato e resterà vulnerabile. Unica consolazione: l'attacco funziona soltanto via etere, quindi chi riceve i segnali HbbTV via cavo o via satellite non corre questo rischio. Ma si tratta comunque di un caso da manuale di come non si dovrebbe progettare uno standard.

Cerca nel blog