A Samsung está vendendo no Brasil smartphones, de certa forma, atrelados a empresas terceiras com descontos bem atraentes. Puxados pelos preços mais baixos, diversos consumidores estão percebendo que, ao ligar o dispositivo comprado, uma solução corporativa pré-instalada entrega permissões de administrador para essas empresas terceiras. Seria um backdoor nativo? Outra empresa, além da Samsung, tem acesso aos dados? A história é um pouco conturbada.
Diferentes empresas, como a Porto Seguro e o Santander, estão vendendo smartphones da Samsung com a solução Knox Configure instalada de fábrica, segundo usuários do Hardmob. Essa solução Knox, supostamente, entregaria para as empresas parceiras um acesso de administrador ao smartphone. O que isso significa? Que a Porto Seguro ou o Santander poderiam gerenciar configurações do sistema, perfis, senhas de bloqueia de tela, wallpapers e outros pontos sensíveis do sistema operacional.
Knox Configure
Knox Configure
Essa história surgiu por meio de uma denúncia feita pelo leitor Diego L., especializado em gestão de segurança da informação, que adquiriu um smartphone na loja oficial da Samsung com desconto da Porto Seguro (mediante pagamento com o cartão da empresa) e percebeu que estava concordando com diversas permissões antes de utilizar o aparelho.
"Durante a configuração inicial do aparelho, enquanto restaurava os aplicativos e dados a partir da nuvem, o aplicativo Knox Configure tomou a tela e bloqueou seu uso até que eu aceitasse os termos: o dispositivo seria configurado para a empresa Porto Seguro Cartões e a equipe de TI da empresa poderia definir políticas de uso e configurações remotamente a qualquer momento a partir dali", disse Diego.
"Por que tentar mudar o comportamento dos funcionários quando é possível mudar simplesmente a segurança dos dispositivos móveis?", explica a Samsung sobre o Knox
"Esse tipo de dispositivo gerenciado é muito utilizado em empresas para manter a gestão dos celulares corporativos cedidos a funcionários a fim de proteger tanto o aparelho quanto os dados da empresa, já que persiste mesmo após o factory reset e permite o acesso remoto ao aparelho, incluindo o bloqueio/limitação de funcionalidade e informações nele contidos. Logo de cara, notei que a função USB OTG deixou de funcionar (estava passando os dados do S8 através do app Smart Switch) e recebi o aviso de que essa funcionalidade estava bloqueada pela política de segurança. Na última foto do álbum está a tela exibida após o factory reset, indicando basicamente que o aparelho PERTENCE a uma empresa e é necessária a conexão à internet para liberar o seu uso (ou não)".
O que é o Knox Configure, segundo a própria Samsung? A solução é ofertada na seção Business do site oficial da Sammy, indicando que é uma solução desenvolvida para outras companhias para uso corporativo. No site, também temos o seguinte texto explicativo: "As pessoas perdem seus telefones corporativos, usam em locais indesejados e de forma inapropriada. As pessoas utilizam os seus telefones corporativos de diversas formas, colocando em risco as informações armazenadas nos telefones. É por isso que criamos o Samsung Knox, plataforma de segurança móvel que começa no chip, e que já conquistou a confiança de diversos governos em todo o mundo. Foi feita para se ajustar ao modo como as pessoas trabalham. Por que tentar mudar o comportamento dos funcionários quando é possível mudar simplesmente a segurança dos dispositivos móveis?".
Hotsite da Porto Seguro vendendo o aparelho atrelado
As empresas respondem
O TecMundo entrou em contato com a Samsung e com a Porto Seguro Cartões para entender mais sobre o caso. Ambas as empresas alinharam um posicionamento que você poderá ler, na íntegra, ao final da matéria. O Santander não respondeu aos pedidos de comentários.
Segundo a Samsung, "a solução Knox Configure é ofertada a parceiros corporativos na versão Knox Configure - Setup edition voltada especificamente para auxiliar o relacionamento dessas empresas com seus consumidores. Essa solução não é um MDM (Mobile Device Management) e sim uma ferramenta de personalização remota do dispositivo".
Sobre este ponto, o leitor Diego comentou o seguinte ao TecMundo: "Em todos os cases demonstrados no site da solução (https://www.samsungknox.com/pt-br/solutions/it-solutions/knox-configure#case-studies), é observado o uso por empresas que cedem celulares corporativos aos funcionários. No próprio texto o interlocutor se confunde, dizendo que é de fato voltada a parceiros corporativos. Afinal, ainda que tenha sido usado neste caso exclusivamente para permitir ao parceiro a instalação do aplicativo personalizado, a ferramenta oferece muito mais funcionalidades e força o usuário a concordar com os termos da solução na sua completeza, associando o aparelho permanentemente à empresa, inclusive após o factory reset (efetivamente eliminando qualquer valor de revenda, por exemplo).
Telas exibidas ao inicializar o smartphone
A Samsung reforça em seu posicionamento que o Knox Configure, na versão Setup utilizada pela Porto Seguro, permite apenas a instalação do aplicativo do cartão permitindo ao usuário fazer a desinstalação do mesmo a qualquer momento. Ainda, deixa claro que "essa ferramenta não permite ao parceiro realizar o gerenciamento ou captura de informações dos aparelhos".
Não é o que pensa o leitor Diego, notando que a versão Setup Edition, indicada pela Samsung, de fato permite a configuração do aparelho apenas durante a sua primeira inicialização; contudo, isso pode mudar: na eventualidade de um factory reset, como visto na documentação do produto (https://docs.samsungknox.com/KC-Getting-Started/Content/about-kc.htm), novas políticas podem ser aplicadas. Acompanhe o trecho da documentação que diz isso:
Praticamente todos os materiais promocionais do Knox Configure deixam claro: é uma solução de segurança desenvolvida para companhias gerenciarem e melhorarem as defesas de smartphones de funcionários
"A Setup Edition suporta a configuração única de dispositivos e configurações cadastrados. Para alterar a configuração de um dispositivo depois que as políticas iniciais são definidas, os dispositivos devem ser redefinidos para a configuração original e as novas políticas devem ser reaplicadas. A edição Setup inclui um subconjunto de seleção das políticas e configurações disponíveis no modo normal da edição dinâmica".
O especialista em gestão de segurança da informação ainda adiciona que, por causa desse trecho, "uma vez que o aparelho não pode ser desvinculado do perfil, no ato de qualquer reconfiguração do aparelho aos padrões de fábrica, o usuário está sujeito às vontades da empresa parceira". Por último, deixa mais uma pergunta que ficamos sem resposta: "Não são apresentados nos termos de uso em momento algum a modalidade de licença utilizada. Como o aparelho é associado ao parceiro, quem garante que a licença não pode ser alterada para a Dynamic Edition e passar a permitir a configuração remota mesmo sem a necessidade de um factory reset?".
Permissões dos apps pré-instalados
Os consumidores são avisados?
Enquanto essa questão continua conturbada, praticamente todos os materiais promocionais do Knox Configure deixam claro: é uma solução de segurança desenvolvida para companhias gerenciarem e melhorarem as defesas de smartphones de funcionários. O Knox, em sua essência, é uma ferramenta corporativa.
- As propagandas da solução, que sempre deixam claro seu viés corporativo, podem ser checadas aqui, aqui e aqui
Como a Samsung nota em seu posicionamento, a versão ofertada para essas empresas seria uma versão light, "menos corporativa". O problema é que o consumidor não sabe de nada disso em sua completude.
"Em momento algum do processo de compra concordei em transferir a configuração do aparelho a terceiros, apenas com a instalação do aplicativo. A verdade é que a Samsung resolveu utilizar essa ferramenta como forma de facilitar o 'deploy' desses aparelhos com o aplicativo para satisfazer o acordo comercial com o parceiro, sem se preocupar em nenhum momento com os aspectos legais e termos aplicáveis ao produto", afirma Diego.
Todos os funcionários da empresa pediam para que Diego entrasse em contato com o suporte ao usuário corporativo
Após o contato do TecMundo com a Samsung, a companhia rapidamente desvinculou o smartphone do leitor Diego L. do Knox Configure, "efetivamente transformando-o em um aparelho original, como esperado no ato da compra", notou o especialista em gestão de segurança da informação.
Vale notar que, em todos os contatos anteriores realizados pelo leitor, os canais da Samsung não souberam como direcioná-lo de maneira correta. Por exemplo, apesar da atenção empregada pelos especialistas "Concierge" da Sammy, eles não souberam resolver a questão; ainda, todos os funcionários da empresa pediam para que Diego entrasse em contato com o suporte ao usuário corporativo — algo que ele nunca foi.
Mais permissões
Posicionamento das empresas
Abaixo, você acompanha o posicionamento oficial enviado pela Samsung. A Porto Seguro Cartões afirma que alinhou este mesmo posicionamento com a empresa sul-coreana. O Santander, como já citado, não respondeu as tentativas de contato. Agora, na íntegra:
"A Samsung esclarece que tem uma oferta de soluções aplicadas tanto para o mercado corporativo quanto para o consumidor final. A solução Knox Configure é ofertada a parceiros corporativos na versão Knox Configure - Setup edition voltada especificamente para auxiliar o relacionamento dessas empresas com seus consumidores. Essa solução não é um MDM (Mobile Device Management) e sim uma ferramenta de personalização remota do dispositivo.
O Knox Configure possui funcionalidades para customizar aparelhos de acordo com as necessidades de cada parceiro. A única funcionalidade da solução Knox Configure – Setup Edition utilizada pela Porto Seguro é a instalação do aplicativo do cartão permitindo ao usuário fazer a desinstalação do mesmo a qualquer momento.
Essa ferramenta não permite ao parceiro realizar o gerenciamento ou captura de informações dos aparelhos. A Samsung reforça que segue os mais altos padrões éticos e de Compliance na conduta de seus negócios e no relacionamento com o consumidor. A empresa também orienta seus parceiros quanto à importância da preservação das informações e à confidencialidade dos dados de seus clientes".
Todas as imagens da reportagem e mais algumas, sobre este caso, podem ser acompanhadas neste link
Categorias
