skip to main | skip to sidebar
16 commenti

Smart TV vulnerabili: l’HbbTV esegue qualunque malware gli venga inviato. Zero controlli

Sembra proprio che i progettisti delle Smart TV e dei nuovi standard televisivi non vogliano imparare una delle lezioni fondamentali della sicurezza informatica: non ti puoi fidare ciecamente di quello che ti arriva da fuori ed eseguirlo senza verifiche. Dopo le TV Samsung che permettono agli intrusi di guardare in casa via Internet, quelle della LG che mandano alla casa madre un avviso ogni volta che accendiamo e spegniamo l'apparecchio e l'elenco dei file video che guardiamo, e quelle della Philips che hanno password non modificabili e permettono agli intrusi di prenderne il controllo, arriva un problema a un livello più alto: lo standard HbbTV è vulnerabile.

Come spiega bene Forbes, lo standard HbbTV (Hybrid Broadcast Broadband TV), supportato in quasi tutti gli apparecchi Smart TV, consente alle emittenti di inviare software ai televisori predisposti, con l'intento di fornire servizi come le pubblicità interattive, il televoto, i giochi, i social network e le guide ai programmi. Il guaio è che questo standard non fa alcun controllo di sicurezza su quello che riceve. Si fida ciecamente.

Questo permette attacchi spettacolari e inattesi come quelli descritti e dimostrati dai ricercatori di sicurezza informatica Yossi Oren ed Angelos Keromytis del Columbia University Network Security Lab e pubblicati in un articolo nell'ambito dello USENIX Security Symposium. Per esempio, un aggressore piazza un apposito trasmettitore che imita le normali trasmissioni TV digitali, lasciando intatte le immagini ma iniettando nella parte HbbTV del segnale del software ostile.

Questo software ostile viene eseguito dalla Smart TV senza alcuna verifica preliminare e senza chiedere il consenso dell'utente (il rumore che sentite è il facepalm collettivo di qualunque informatico che abbia mai aperto un manuale di sicurezza almeno una volta). Siccome la Smart TV è collegata al resto della rete domestica, il malware cerca router Wifi e PC che non si aspettano attacchi dall'interno e li infetta e ruba le password dei social network, postando false recensioni e post e combinando ogni sorta di sabotaggi: televoti alterati, pubblicità modificate, notizie false che possono alterare i mercati, messaggi alla Captain Midnight che sembrano presi da una puntata del classico Max Headroom. Il tutto, inoltre, non sarebbe tracciabile, a differenza dei normali attacchi via Internet.

I ricercatori hanno segnalato il problema ai responsabile dello standard HbbTV, che però hanno risposto che l'attacco non era sufficientemente grave da richiedere la revisione dello standard: la portata sarebbe troppo ridotta. Oren e Keromytis hanno obiettato spiegando una tecnica che permetterebbe di colpire decine di migliaia di utenti con una spesa modestissima, ma lo standard non verrà modificato e resterà vulnerabile. Unica consolazione: l'attacco funziona soltanto via etere, quindi chi riceve i segnali HbbTV via cavo o via satellite non corre questo rischio. Ma si tratta comunque di un caso da manuale di come non si dovrebbe progettare uno standard.
Invia un commento
I commenti non appaiono subito, devono essere tutti approvati da un moderatore. Lo so, è scomodo, ma è necessario per tenere lontani scocciatori, spammer, troll e stupidi: siate civili e verrete pubblicati qualunque sia la vostra opinione; gli incivili di qualsiasi orientamento non verranno pubblicati, se non per mostrare il loro squallore.
Inviando un commento date il vostro consenso alla sua pubblicazione, qui o altrove.
Maggiori informazioni riguardanti regole e utilizzo dei commenti sono reperibili nella sezione apposita.
NOTA BENE. L'area sottostante per l'invio dei commenti non è contenuta in questa pagina ma è un iframe, cioè una finestra su una pagina di Blogger esterna a questo blog. Ciò significa che dovete assicurarvi che non venga bloccata da estensioni del vostro browser (tipo quelle che eliminano le pubblicità) e/o da altri programmi di protezione antimalware (tipo Kaspersky). Inoltre è necessario che sia permesso accettare i cookie da terze parti (informativa sulla privacy a riguardo).
Commenti
Commenti (16)
Non so, a me sembra che sia un po' eccessiva la cosa. Nel senso, lasciamo stare il fatto che sia tecnicamente possibile, cosa che è sicuramente interessante ed utile da sapere ma la domanda da farsi è "qualcuno potrebbe avere un minimo interesse nel fare una cosa del genere?" o se preferite "il gioco vale la candela". Beh, stando a quel che ci vuole per mettere assieme il sistema, secondo me no.
Continua ad essere più pratico mandare milioni di messaggi di phishing, qualche pollo che abbocca lo trovi, e puoi farci molti più soldi così rispetto ad installare malware nelle TV.

Quindi mi trovo d'accordo con quelli che dicono "non è abbastanza per dover modificare lo standard".
Se non è sicuro il software sviluppato da chi sviluppa software, ti stupisci che non sia sicuro il software sviluppato da chi si occupa di standard tv o di chi fa elettrodomestici?

"Siccome la Smart TV è collegata al resto della rete domestica, il malware cerca router Wifi e PC che non si aspettano attacchi dall'interno e li infetta e ruba le password dei social network, postando false recensioni e post e combinando ogni sorta di sabotaggi: televoti alterati, pubblicità modificate, notizie false che possono alterare i mercati, messaggi alla Captain Midnight che sembrano presi da una puntata del classico Max Headroom": è più forte di te fare allarmismo sempre e comunque? Nel mondo reale non basta ci sia la possibilità, ci dev'essere qualcuno che lo fa. E quello che descrivi non lo faranno (accetto scommesse, focacce vanno benissimo anche per me). Non lo faranno perché è antieconomico, via internet buchi tutti gli altri dispositivi connessi alla rete, è completamente folle l'idea di mettere in giro una rete di trasmettitori parallela, a meno che tu non voglia fare un attacco mirato a una persona, ma ancora una volta è più economico un hacker (sugli attacchi mirati di protezioni ce ne sono molto poche).

Comunque: in potenza una persona qualsiasi può rubare un'autocisterna di benzina e schiantarsi a 100 all'ora contro lo stadio pieno di gente. Ma non accade. Abbiamo un mondo intero che si basa sul fatto che le cose vadano bene, i sistemi di sicurezza si mettono laddove per esperienza vanno male, non in potenza. In potenza tutto può andar male.

Sei allarmista, paranoico e pessimista. Ero così anch'io, l'idea di esser penetrato da un hacker mi ossessionava, poi mi sono molto tranquillizzato quando ho saputo si trattava solo di un modo di dire per descrivere un accesso informatico non autorizzato. (concedimi una battutaccia auauau)
Sei allarmista, paranoico e pessimista.

Dici così perchè tu non sei pubblicamente esposto. Pensa a qualcuno che polemizza coi folli complottisti del web. O a un insegnante giusto nei voti con alunni disonesti e vendicativi (ne conoscevo; di insegnanti in questa situazione, non di alunni).
Secondo me è meglio evidenziare le vulnerabilità, anche se estremamente difficili da sfruttare.
Nel caso in cui dovesse accadere (e nessuno avesse detto nulla prima), i coinvolti dichiarerebbero:
"avrebbero dovuto avvisarci", "complotto", "l'hanno fatto apposta", "Non si rendono conto degli errori che commettono", "facciamoli chiudere", ...
Quindi, per me, è sempre meglio segnalare le falle... non si sa mai.
prima o poi mi toccherà cambiare tv (ho un hd ready del 2007 senza DD ) e non so come sta andando il mercato .. ora sono tutte smart per forza?(ho visto che ora va di moda il display curvo) in eventualità si possono disattivare le funzioni smart?
Io penso che oggi la sicurezza non sia un problema perché oggi le Smart Tv non sono molto diffuse, ma si stanno diffondendo.

Se domani diverrà uso comune avere una Tv che supporti l'HbbTV allora la falla di oggi diventerà un problema.

Ora la domanda che mi pongo è:
la falla l'hanno fatta "in buona fede" (=incompetenza allo stato purissimo e rarissimo), per risparmiare (magari temono che l'HbbTV sarà soppiantata da qualcos'altro e/o sarà un flop quindi perché spendere di più per implementarne la sicurezza), o perché gli sviluppatori si stanno creando lavoro per domani quando la sicurezza per questo protocollo sarà importante?
La falla diventerà un problema SE qualcuno si prenderà la briga di procurarsi un trasmettitore adatto, installarlo (e non è che stiamo parlando esattamente di una radio a transistor, ma di una roba relativamente grossa, con la sua bella antenna http://goo.gl/gFLsTX) a breve distanza dal "bersaglio" e lasciarlo lì in attesa che il malcapitato accenda la TV e veda che c'è l'upgrade OTA e l'attivi.

Upgrade OTA che si può disabilitare in un attimo (e di default non è manco attiva, visto che alla fin fine gli update arrivano più in fretta in internet).

Si, l'attacco teoricamente è possibile, corretto segnalarlo, ci mancherebbe, però è anche possibile, mica tanto teoricamente, fare porcate con OpenFirmware e abilitare una backdoor invisibile su un computer che usi quello standard, l'ho letto ieri.
Martinobri: ovviamente la sequela di insulti era da prendersi sul ridere e non seriamente, sono sicuro che i toni che uso con Paolo vengano fraintesi: si, sono un rompiballe ma lo faccio, per usare un termine forse eccessivo in questo contesto ma i sentimenti sono quelli, in amicizia.

Fatta questa importante precisazione, ho sottolineato pure io che l'attacco mirato potrebbe essere l'unica effettiva applicazione della "feature" ma ribadisco che mi sembra la via più complessa quando comunque è ampiamente dimostrato dai fatti che se c'é accanimento c'é poco da fare: se ti vogliono aprire è solo questione di tempo. Ergo, perché scegliere la via difficile?

Upgrade OTA che si può disabilitare in un attimo (e di default non è manco attiva, visto che alla fin fine gli update arrivano più in fretta in internet)


Ho un tv [omissis] di qualche anno fa (del 2011), non ricordo se ho mai settato di accettare gli aggiornamenti, ma in meno di 3 anni ne sono arrivati almeno 6, e lo scopri praticamente solo perché appare la scritta *se* vai nel menu "smart" (ma l'aggiornamento l'ha fatto ugualmente, e appunto non è detto che ne abbia fatti solo 6).
Di buono c'è che posso vedere rai replay (e anche l'omologo de La7; forse funzionerà anche con l'altro gruppo ma non vedo perché dovrei controllare), ci vedo in modo decente i video di YouTube e con la PS4 vedo i bluray(s) usando solo il telecomando della tv...

Se a quelli che mandano gli aggiornamenti venisse in mente di renderlo schizzinoso rispetto ai dispositivi concorrenti, non so se e come potrei intervenire per bloccare un update non richiesto (mi pare che ci sia l'archivio in rete nel sito del produttore, ma è più macchinoso e non è detto che quando lo riaccendi il giorno dopo non si ripigli quello che avevi tolto in precedenza).

Insomma, sì, effettivamente mi rompe un po' che ci sia un canale sempre attivo con la casa madre, ma toglierlo dalla rete mi precluderebbe una buona fetta di utilità nell'uso settimanale (non riesco a vedere la tv tutti i giorni, per lo meno non quella).

Ho anche una chiavetta Android (su un altro tv, più vecchio e scemo quanto basta), ma fare (quasi) le stesse cose è molto meno immediato, e quello che fa in più lo faccio più rapidamente o dal pc o da un tablet...

Di solito per gli Smart TV (ho un TV molto dumb, marchio tedesco che non citerò ma quasi di sicuro è un tarocco cinese, sul sito del produttore non c'è...) ci sono due opzioni per gli aggiornamenti, OTA (Over The Air, la casa madre si noleggia un canale del gigitale terrestre per sparare gli aggiornamenti) e via internet. Qui stanno dicendo che è possibile sfruttare il primo meccanismo per distribuire malware.

Non lo metto affatto in dubbio, ma forse il rischio è più che altro teorico. Sul mio TV c'è solo l'aggiornamento OTA oppure via USB, e il primo è disattivato di default. Su entrambe le TV (ho anche un altro televisore con l'opzione di aggiornamento OTA che non so nemmeno se funziona.
ok, era notte ed ero stanco; adesso la prima scusa non ce l'ho :-)

Ho visto (dal manuale) che effettivamente c'è la possibilità di concedere/negare il consenso all'aggiornamento automatico, via antenna (OTA) e/o via internet (NSU).

Ok, mia scelta; però, e questo mi riporta in argomento (sennò non riscrivevo, lurkavo da dio per conto mio) ho scoperto anche (wow, ma te pensa cosa può servire un manuale) che la funzionalità HBBTV vale solo in FRA e DEU, mentre la modalità MHP solo in ITA.

In realtà al televisore puoi dire che stai in Germania ma vuoi usare l'italiano, e questo gli sta bene: ci ho provato, in effetti, perché per la Germania è consentita la registrazione immediata (con pausa e differita), come col mySky, ma mi perdevo altre funzioni, ed ho lasciato perdere.

Quindi, tornando in topic: stiamo parlando di una funzione non universale, ma legata ad una scelta "politica" : in Italia qualcuno ha voluto che lo standard fosse l'emmeaccapi, in altri paesi no...

Cos'hanno di buono|cattivo i due standard e, restando strettamente in argomento, la modalità MHP ha una qualche funzione di sicurezza oppure esegue, pure lei, qualsiasi codice le venga proposto?
Lupo &c
Qui non stiamo parlandi di OTA ma di una stupidata persino peggio di adobe flash
Qui stiamo parlando che alla prima scansione dei canali che fai finisci su di un "nuovo" canale 5
Quando lo vedi ti infetta.
Costo dell'infezione minore a quello della costruzione di un virus visto che qua non devi nasconderti.
Cosa vieta al programma di ravanare in giro o divenie parte di una botnet?

Un'antenna direttiva costa 50E e un ampli usato nei condomini da 10W costa 200E. Se lo scegli con attenzione il posto puoi arrivare ad impestare il 100% dei tv (es dietro ad una collina) un un raggio di molti Km.
Il costo piu' grosso e' il modulatore ma in genere dopo qualche anno di uso si trovano a poco.

Migliaia di vittime.
Cosa succede se estrai delle mail?
O fotografi gente mentre "guada" un pornazzo?
O meglio quando tradisce la moglie?

Non mettere delle difese e' da idioti
Insieme alla televisione nuova meglio comprare anche un firewall e mettere il televisore in DMZ! Magari, dopo i mondiali qualche catena di distribuzione ci pensa e propone un'offerta TV+Firewall :-)
Blu-flame: quando chiedono la conferma all'utente é idiota perché rovinano la user experience e poi é un prodotto che devono usare anche completi analfabetici informatici, cosa gli chiedi cosa che tanto non sanno di che parla; se invece fai il contrario sono idioti perchè non pensano alla sicurezza.

Gli smart tv non sono usciti ieri e solo oggi c'é un proof of concept di un potenziale problema di sicurezza, se il problema era così consistente forse sarebbe già uscito e sul campo, non come studio... E intanto hanno evitato rotture e problemi a centinaia di milioni di utenti che tra l'altro avrebbero comunque cliccato random. Omettiamo inoltre di dire che è un problema di sicurezza anche non applicare gli aggiornamenti, dato che possono risolvere bug anche gravi.
Ho scoperto una definizione per me nuova: "barker channel"; è sostanzialmente un classico canale di televendite, e a queste emissioni possono essere abbinate applicazioni di teleacquisto, anche diretto (carta di credito o addebito immediato sul conto).

Magari non sarà così diffuso in queste contrade, ma se io non mi faccio problemi ad acquistare su Amazon, immagino che "lazìa" (la mamma del cuggino, per intenderci) trovi molto intrigante acquistare direttamente dalla tv senza passare dal telefono (o peggio, dalla diabolica rete di computer interconnessi).

Se tutto quello che dovrà fare sarà pigiare il tastorosso e sfogliare un videocatalogo, o addirittura solo premere un altro tasto (diciamo quello verde) per dare l'ok all'acquisto dell'irripetibile offerta del momento, comincio a considerare molto seriamente la possibilità che possano girare applicazioni interattive civetta (e anche, perché no, canali farlocchi imbastiti come esoscheletro di canali conosciuti e pubblicizzati a cui appiccicare dette applicazioni).

E non dite che non è realistico: dalle console si acquistano da tempo i giochi (a proposito: non ho la PS4, quello è stato un refuso: ho, da anni, una PS3 comprata giusto perché fa vedere anche i bluray, anche quelli 3d, mentre la PS4 pare che non lo faccia e quindi non mi interessa, per ora) e lo stesso smart-tv consente di farlo direttamente ad esempio per noleggiare video, quindi basta una scritta in sovrimpressione durante un programma molto seguito per invogliare a premere quel benedetto tastorosso (la scritta può anche essere farlocca, vedi sopra), con quel che ne consegue...


blu-flame: continua ad essere troppo complesso il sistema, troppo facile da individuare il trasmettitore e lo smart tv troppo poco appetibile come bersaglio. Anche perché non tutti quelli che hanno una smart tv hanno anche un PC, parecchi si limitano ad un tabler.

Va bene parlare del rischio, intendiamoci..