Amihai Neiderman, un experto en seguridad informática de la firma israelí Equus Software, así lo ha confirmado a Motherboard. Sus declaraciones son sucintas y brutales: "Posiblemente sea el peor código que jamás he visto. Todo lo que puedes hacer mal, lo hacen. Puedes ver que nadie con la más mínima comprensión de la seguridad ha mirado este código o lo ha escrito. Es como coger a un estudiante universitario y dejar que programe tu software".
La plataforma ha encontrado su hueco en los televisores de Samsung.
Neiderman no tenía pensado diseccionar la pobre seguridad de Tizen hasta que se dio cuenta de lo mal que funcionaba el sistema operativo en su televisor. Su frustración fue tal que terminó por comprar varios teléfonos basados en la plataforma para ver qué podía hacer con ellos. Mucho más de lo que esperaba, aparentemente.
Un desastre con 40 vulnerabilidades zero day
Según explica Neiderman, gran parte del código de Tizen deriva de proyectos antiguos como Bada, una plataforma para teléfonos abandonada por Samsung hace años y que aparentemente se convirtió en una de las bases de Tizen. "Puedes ver que tomaron todo este código y lo metieron en Tizen", asegura el investigador.
Aparentemente la inseguridad de Tizen alcanza extremos difíciles de creer. Neiderman asegura haber descubierto 40 vulnerabilidades zero day que permitirían hackear teléfonos, televisores y dispositivos wearables sin tener acceso físico a los mismos. Una de las más notables permite tomar el control de un dispositivo de Samsung mediante ejecución de código remota utilizando un agujero en la aplicación TizenStore.
La tienda de aplicaciones de Samsung funciona con el mayor nivel de privilegios y "te permite actualizar un sistema Tizen con cualquier código malicioso que quieras". Teóricamente TizenStore usa un mecanismo de autenticación para que solo se puedan instalar software validado por Samsung, pero una vulnerabilidad permite tomar el control de la aplicación antes de que esta característica llegue a activarse.
Tizen está presente en algunos teléfonos asequibles de Samsung para mercados emergentes.
Los únicos productos globales con Tizen comercializados por Samsung son sus televisores y relojes inteligentes. Por ahora sus teléfonos solo se venden en algunos países de Asia y África, aunque su compañía ha manifestado su intención de distribuirlos también en otros mercados como América Latina.
Según Neiderman, sus hallazgos fueron remitidos a Samsung hace meses. Todo lo que ha recibido por respuesta es un correo electrónico automatizado. La firma surcoreana, por su parte, ha respondido a las preguntas de Motherboard declarando que "se toma la seguridad y la privacidad muy seriamente", añadiendo tras la publicación del artículo que "están determinados a trabajar con Mr. Neiderman para mitigar cualquier posible vulnerabilidad".
