Útok skrze DVD + den boje proti DRM

7.5.2014 22:11 | Přečteno: 1687× | IT obecně | | poslední úprava: 7.5.2014 22:18

Včera 6. května byl Mezinárodní den boje proti DRM (Digital Restrictions Management). DRM obecně jsou technologie, které škodí uživatelům a brání jim v tom, aby mohli používat svůj majetek (např. počítač nebo datové nosiče). Typicky se jedná o malware a další škodlivé prostředky.

Jednou z technologií postižených DRM je DVD. Pokud jste tak poctiví nebo zoufale nemoderní jako já, potřebujete občas nějaké to DVD přehrát. Řada DVD nosičů je kontaminována DRM ve formě Content Scramble System (CSS), což brání jejich přehrávání. Stejně jako jiné ochrany proti kopírování, je i tato na nic a byla prolomena – už před řadou let, v říjnu 1999 – problém byl tedy vyřešen a stačí nám nainstalovat knihovnu libdvdcss.

Jenže to by bylo moc jednoduché. Kromě technologických škůdců vytvářejících DRM vstupují do hry i právničtí škůdci, kteří vám budou bránit v šíření softwaru kompenzujícího chyby DRM (výše uvedená knihovna je svobodný software a z licenčního ani morálního hlediska jejímu šíření nic nebrání). V důsledku jejich činnosti nemůže většina distribucí obsahovat přímo tuto knihovnu – vývojáři jednoduše nechtějí čelit teroru ze strany státní moci, a tak balíček raději nezařadili.

Důsledkem je, že si uživatel nemůže přehrát DVD (některá nepostižená ano, ale většinu ne). Stejně jako se podařilo obejít technický problém (DeCSS), podařilo se obejít i právní problém. Distribuce neobsahují přímo balíček, ale pouze skript pro jeho stažení. Návodů existuje řada (např. pro Ubuntu), takže i pro běžného uživatele je to jednoduše řešitelné. Bohužel.

Proč bohužel? Tohle právě bývá častý bezpečnostní problém a díra do jinak bezpečného systému. Asi už jste narazili na návody typu:

curl http://example.com/installer | php

Tohle je právě zlo. Stáhnete si cosi z Internetu a spustíte (nejlépe s právy roota). Stahujete po nešifrovaném protokolu a nekontrolujete žádné podpisy, takže kdokoli po cestě vám může podstrčit vlastní kód a vy ho pak spustíte. Není to vůbec nereálné – nepředstavujte si nějakého pomateného úchyla, který celé dny vysedává napíchnutý na vaší lince a čeká, až si zrovna budete stahovat knihovnu k přehrávání filmů. Existuje software, který dělá takovou injektáž automatizovaně a za letu. Takový software si může pořídit třeba policie, tajná služba, zločinnecká organizace ve vašem městě, nebo třeba někdo, kdo se nudí nebo chce postavit botnet a pak ho prodat kyberteroristům.

A podobně vypadá ten skript na instalaci knihovny DeCSS. Najít ho můžete zhruba tady: /usr/share/doc/libdvdread4/install-css.sh. Sice nemá jeden řádek, nýbrž cca sto, ale dělá v principu totéž – nic složitého. Zjistí, jakou máte verzi OS a architekturu, stáhne příslušný balíček a nainstaluje ho.

Nainstaluje balíček stažený z Internetu bez jakýchkoli kontrol – což se rovná spuštění kódu staženého z Internetu s právy roota (balíček může obsahovat po-instalační skript, navíc ta knihovna či program se typicky instalují, aby byly spouštěny). Kdokoli cestou mezi serverem (download.videolan.org) a vaším počítačem vám tam mohl podstrčit svůj malware/backdoor.

Je to jako dát si k hlavě pistoli, kterou jste našli na ulici, a při stisknutí spouště doufat, že není nabitá.

Obcházet (jak po technické, tak právní stránce) DRM je správné, třeba jim jednou dojde, že to nemá smysl a nemohou vyhrát. Ale musíme při tom dávat pozor, aby nedocházelo k vedlejším ztrátám, ke kterým to bohužel často svádí.

Všechny tyto skripty je potřeba opravit. Skript by měl minimálně kontrolovat elektronický podpis autora. Pokud věříte autorovi, můžete pak věřit i staženému programu. Autoři DeCSS balíčky již teď podepisují – hned vedle těch binárek je .dsc soubor s PGP podpisem. O to smutnější je, že ho skript nekontroluje.

Jak získat veřejný klíč autora a jak ho bezpečně distribuovat k uživatelům a jak vůbec rozhodnout, zda je autor důvěryhodný… to je zase jiná kapitola. Pro začátek bude ale zlepšením to, že vyloučíme MITM útok na lince mezi námi a serverem autora. Mj. tím zabráníme selektivním útokům na konkrétní oběti a usnadníme odhalení útočníka – k infikovaným souborům bude mít přístup veřejnost, nepůjde jen o jeden za letu změněný soubor určený jedné oběti. Bude to lépe zdokumentované a zpětně snáze dohledatelné.

Co můžete udělat vy teď hned:

• nepoužívat věci postižené DRM – je to chyba těch výrobců, že použili DRM, ne vaše – nekupujte od nich
• když nějaký takový balíček stahujete a instalujte, stáhněte ho z víc míst, z více různých sítí (např. doma, ve škole, v práci) a zkontrolujte otisky (např. sha512sum libdvdcss*.deb by vám měl dát všude stejný výsledek)
• zkontrolujte elektronický podpis, pokud ho autor přiložil, a pokud máte možnost získat nějakou důvěryhodnou cestou veřejný klíč autora (např. od lidí, kteří ho znají osobně)
• podívejte se dovnitř balíčku (stačí ho otevřít např. v Midnight Commanderu) a zkontrolujte po-instalační skripty – to je nejsnazší cesta, jak balíček infikovat
• takto stažené soubory si zazálohujte na externí médium – ať máte důkazy pro vyšetřování případného bezpečnostního incidentu

Opatření to nejsou stoprocentní, ale lepší než nic. Jak pravil Konfucius:

Je lepší rozsvítit, byť jen malou svíčku, než proklínat temnotu.

(původně vyšlo na blog.frantovo.cz)        

Anketa

Anketa

Obrázky

Komentáře

[kotyz]

Podobně se v řadě distribucí instaluje třeba flash plugin nebo ms ttf fonty, taky je tam balíček/skript kterej to stahuje a instaluje (v případě těch fontů stahuje dokonce nějaký exe instalačky pro win a z těch to vytahuje cabextractem, prej aby to bylo licenčně v pořádku protože se to nesmí distribuovat odděleně od těch produktů jejichž je to součástí, stejně si myslim že to asi v pořádku nebude, ale koho to zajímá...). Situace je poměrně zoufalá, ale nemáme moc ne výběr, buď tohle nebo nefunkční originální dvd/flash/problémy s některýma win aplikacema pod wine.

[jadd]

Zajímavé je, že je to v repozitářích distfiles Gentoo. Proč nevyužít přímo ty repozitáře, když je to původní zdroj od vývojáře nijak upravený. Pro paranoiky, využít pak ty původní.

[pavlix]

v repozitářích distfiles

Co to má přesně být?

[jadd]

Ty si dělaš srandu nebo seš jen kousavej, z netrpělivosti třeba na hokej?

repozitáře = distribuční zdroj balíčků a distfiles = název třeba http://gentoo.mirror.web4u.cz/distfiles/ zadej Ctrl+F .exe

Nakopíruj kam to patří když ti to k něčemu bude

[pavlix]

Ty si dělaš srandu nebo seš jen kousavej

Ani jedno, prostě jsem nerozuměl, co tím myslíš. Na pojem repozitáře distfiles jsem dosud nenarazil, spíš bych asi použil slovo mirror, vzhledem k tomu, že se jedná o optimalizaci a zajištění dostupnosti souborů používaných pro build balíčků a nikoliv originální soubory vytvořené pro potřeby Gentoo.

Jaké soubory oficiální mirrory distribují může mít sice právní důsledky, ale z hlediska distribuce samotné bych v tom víc než optimalizaci a ochranu proti ztrátě zdroje opravdu nehledal.

z netrpělivosti třeba na hokej?

Na hokej sere pes.

zadej Ctrl+F

Neříká o moc víc než že existují ebuildy, které jen instalují binárky, ale to je v Gentoo notoricky známá věc.

[jadd]

Já jsem si ten pojem nevymyslel, prvně mi ho nacpal do hlavy asi Bíbr. Potom tzv. repozitáře distibucí jsou také jenom zrcadla.

[pavlix]

Potom tzv. repozitáře distibucí jsou také jenom zrcadla.

Repozitáře distribucí určené uživatelům jsou typicky zrcadla, ale primární repozitář (ať už je to řešeno jakkoliv) obsahuje soubory vytvořené pro danou distribuci, zatímco distfiles (ať už lokální nebo veřejný) obsahuje upstreamové soubory až na výjimky nevytvořené pro Gentoo.

[limit_false]

Mně to připomělo radost buildění gnuradia - jejich skript má přes 1400 řádek, ale je celkem čitelný. Po vyzobání podstatných částí je to tak na 20 řádek git + cmake + občasné opravování build skriptů, které nečekaly jiný BOOST_PREFIX.

[Hans1024]

libdvdcss mam z deb-multimedia.

Nejradeji bych to normalne prdnul do repozitaru debianu a pockal, jestli si nejaky pravnik bude stezovat.

[=^..^= AmigaPower®]

...ty vole vy všichni děláte, jak kdybyste v těch počítačích měli script na zničení planety! Pokaždý když si prdnete, za rohem stojí někdo zlej, kdo vám podstrkává nějaký packety...

[kotyz]

To ne, jen pár giga furry a pony porna a pár fotek který by neměl nikdo vidět. Nikdy.

[Bedňa]

Ani nevieš kedy bude chcieť niekto zahladiť stopy po smrti Zemana, alebo ukrajinského predsedu vlády, údaje sa možno nájdu práve v tvojom počítači aj s korešpondeciou a rozhovormi cez Skype. To že sa takéto veci dejú je realitou, návodov je plný GitHub. Veľa šťastia.

[Bystroushaak]

Jestli někdy bude chtít někdo zahladit smrt Zemana, jsem k dispozici jako konzultant. Zdarma.

[=^..^= AmigaPower®]

Hahaha, vtipe vylez...,k tomu nikdy nedojde, Pan President je konečně člověk na správnym místě a národ (kromě pritakávačů zlodějskejch odeeSSesáků a top09-mrdek-vlastizrádců co zasluhujou kulku) ho miluje... Spíš kalouska a toho šišlavýho chrápozmrda umlátit lopatou, to bych si fakt užíval...

[jadd]

Ten chrápozmrd za dob největšího komunismu pomáhal tzv. později chartistům, kdy měl co ztratit. Tzv. nechrápači by byli někde ze strachu zalezlí a jen aby nic neztratili. Dělali by i věci proti svému přesvědčení jen aby se sami měli dobře. Ten chrápozmrd míň nakecal ale víc pro uvažující lidi udělal.

[Jinan Dvoulaločný]

"Obcházet (jak po technické, tak právní stránce) DRM je správné"

S tou právní stránkou bych nesouhlasil. Pokud vím, obcházení DRM je stále trestným činem v ČR (§ 43 AutZ), EU (EUCD) i USA (DMCA).

[xkucf03]

Proto jsem tu závorku dal tam, kde je – původně ta věta vypadala jinak – protože se vztahuje k tomu Obcházet, nikoli k tomu správné.

[Nicky726]

Ono hlavně mohou být věci, které jsou správné, ač jsou nezákonné/trestné. :-/

V Archu je libdvdcss v [extra], takže požívá výhody podepsaných balíčků. Ovšem při sestavování toho balíčku se kontroluje jen otisk souboru, ne přímo podpis… Což mi připomíná diskuzi kolem zavádění podepsaných balíčků do Archu, kdy jeden z vývojářů zmiňoval, že jen asi 1/3 zdrojáků je podepsaná.

[rbt]

Myslis Ten Arch Linux, ktery zavedl podepisovani svych distribucnich balicku jako posledni ? Az po deseti letech od prvniho release ? Zoufalci..

[xkucf03]

Chybu jsem nahlásil v Ubuntu: Script install-css.sh from libdvdread4 is vulnerable to MITM attack

(ostatní by se měli podívat do svých distribucí – dost možná je tam stejná chyba)

[rbt]

Tak hodne stesti. Pokud poslu bugreport rovnou bez patche, tak se vetsinou nic nedeje. Mozna by bylo moudrejsi do bugzilly Debianu a Ubuntu to (zase) jen prevezme

Btw. asi vis komu je pripisovany ten citat co mas ted v paticce ? Ja jen ze smejd zustane smejdem, i kdyz by rekl cokoliv rozumneho.

[Hans1024]

V Debianu, pokud vim, tahle prasarna neni. A kdyby se nahodou neco takoveho nekdo rozhodl pridat, myslim ze by to slo do contrib.

[xkucf03]

Tak hodne stesti. Pokud poslu bugreport rovnou bez patche, tak se vetsinou nic nedeje.

Možná patch ještě pošlu, uvidím, jak se k tomu budou mít. Třeba patch s kontrolou podpisu ani nebude potřeba a celý ten skript by se mohl výrazně zjednodušit (viz poslední odstavec v #1317386).

asi vis komu je pripisovany ten citat co mas ted v paticce ?

Vím, dal jsem to tam kdysi tak trochu z provokace a už to tam zůstalo. Taky avatar mám celou dobu stejný Jsi jeden z mála, nebo možná jediný, kdo si stěžoval

[Petr "Glubo" Sýkora]

Na tento problém existuje jednoduchá odpověď -- Gentoo.

[jadd]

+ nebo nebýt tak paranoidní, pořád je velká šance, když není jistota nespouštět to.