Popierany przez Netfliksa standard zagraża bezpieczeństwu przeglądarek – a badaczom nie wolno przy nim grzebać
Legalnie działające serwisy streamingowe porzucają wtyczkitakie jak Silverlight i Flash, by zaoferować internautom treścibezpośrednio do przeglądarek, obsługujących standardy HTML5. Podwieloma względami to bardzo dobra zmiana, ale jedno pozostaje tutakie samo jak było. DRM, mechanizmy zarządzania dostępem dochronionych prawem autorskim treści, są wciąż nieodzownymelementem tego procesu, mimo że w rzeczywistości zapewniana przeznie ochrona jest fikcją. Zmusza to producentów przeglądarek doimplementowania modułów DRM, potencjalnie niebezpiecznych. Aleuwaga – gdy odkryjesz lukę w takim module, lepiej siedź cicho,ponieważ jej zgłoszenie może skończyć się poważnymi kłopotami.
Za sprawą starań Konsorcjum WWW pojawiło się w końcurozszerzenie HTML5, które przyniosło obsługę DRM dla mediów doprzeglądarek. Encrypted Media Extensions (EME) było promowaneprzede wszystkim przez Netfliksa. Założenia szybko znalazłypoparcie wszystkich producentów przeglądarek. Efekt końcowy byłjednak daleki od oczekiwań. Nie pozbyliśmy się wtyczek, w praktyceEME stało się kolejną wtyczką, której potrzebujemy, by odtworzyćzabezpieczone media, wtyczką, która ładuje własnościowe,zamknięte moduły DRM, takie jak Google Widevine czy AdobePrimetime.
Na zagrożenia związane z wykorzystywaniem wtyczek wprzeglądarkach wskazuje się od dawna, i to kwestia bezpieczeństwabyła jednym z powodów odejścia od nich. O ile jednak wiemy, czegospodziewać się po takim Flashu (czyli niekończącego sięstrumienia łatek do łatek), to te własnościowe moduły DRMpozostają zagadką, potencjalnie znacznie bardziej niebezpiecznąniż wtyczka Flasha. I nie powinno to nikogo dziwić, ponieważ dlawhitehatów samo bliższe przyglądanie się takim własnościowymrozwiązaniom DRM jest ryzykowne.
Problem tkwi w amerykańskiej ustawie Digital Millenium CopyrightAct, która w praktyce zakazuje informowania o odkrytych w takimoprogramowaniu lukach bez uzyskania zgody producenta. To zaś stoi wsprzeczności ze wszelkimi dobrymi praktykami branży, gdzie zakładasię, że jeśli producent w rozsądnym czasie łatki do odkrytejluki nie dostarczy, to informacje o luce należy upublicznić. Takwięc należy uznać, że przejście z Silverlighta i Flasha na EMEjedynie zwiększa zagrożenie dla użytkowników przeglądarek.
Ian Hickson z grupy roboczej WHATWG wyszedł więc z ciekawąpropozycją. Niech każda z firm pracujących nad specyfikacjąEME podpisze zobowiązanie, że nigdy nie pozwie badaczy, którzyanalizują moduły DRM pod kątem tkwiących w nich luk. Takierozwiązanie miałoby swój precedens. Konsorcjum WWW czegoś takiegożąda od swoich członków w odniesieniu do patentów, czemu więcpodobnej ochrony nie zapewnić badaczom?
W3C odrzuciło niestety pomysł, mimo że było do tego zachęcaneteż przez Electronic Frontier Foundation. Najwyraźniej samoobawiało się związanych z tym kłopotów – być może dlatego,że karta konsorcjum niebawem wygaśnie, a zarząd nie chciałpodejmować żadnych nowych decyzji. Problem w tym, że producenciprzeglądarek wcale nie chcą badaczom zapewnić ochrony. Jak do tejpory jedynie twórcy przeglądarki Brave, za którą stoi były szefMozilli Brandon Eich, poparli propozycję WHATWG i EFF w celustworzenia takiego paktu o nieagresji.
oh dear god this capcom.sys has an ioctl that disables smep and calls a provided function pointer, and sets SMEP back what even pic.twitter.com/jBCXO7YtNe
— slipstream/RoL (@TheWack0lian) September 23, 2016To, jakim zagrożeniem mogą być wszelkie własnościowemechanizmy zabezpieczające, pokazała ostatnio historia ostatniejaktualizacji do Street Fightera V, która przyniosła„rozwiązanie antycrackerskie”, mające uniemożliwić graczommajstrowanie przy grze. Okazało się ono niczym innym jak tylkoukrytym rootkitem, otwierającym na komputerze furtkę dla malware,wyłączając zabezpieczenia systemowe i uruchamiając własnysterownik z uprawnieniami kernela. Na szczęście producent gry sięopamiętał i swoje rozwiązanie antycrackerskie szybko wycofał –ale pomyślmy, co by było, gdyby było ono chronione przez ustawęDMCA?