WORLDTECHEntwickler nutzt kompromittierte eMudhra-Schlüssel, um Werbung auf seinem Smart-TV zu blockieren
Laut The Register, zitiert von SC Media, hat der Softwareentwickler Daniel Vrátil mit digitalen Zertifikaten, die vom indischen Unternehmen eMudhra kompromittiert wurden, die Netzwerkkommunikation seines Samsung-Smart-TVs unter seine Kontrolle gebracht. Der Fall zeigt, wie schwache kryptografische Verfahren vernetzte Geräte angreifbar machen können.
Wie die Zertifikatsschlüssel offengelegt wurden
Der Vorfall geht auf die Offenlegung von acht privaten Schlüsseln von Zwischenzertifizierungsstellen zurück. Diese erwiesen sich als kryptografisch schwach und konnten daher gegen die Geräte gewendet werden, die ihnen vertrauten.
eMudhra, das inzwischen das Geschäft mit der Ausstellung von Zertifikaten verlassen hat, führte das Versagen auf ein fehlerhaftes Skript bei der Schlüsselerzeugung zurück.
Werbeverkehr über einen lokalen Rechner umgeleitet
Vrátil nutzte die kompromittierten Schlüssel, um den Netzwerkverkehr seines Fernsehers zu übernehmen. Anfragen an Werbedomains wurden an einen Server im eigenen Netzwerk geschickt, der Tracking-Daten und Werbematerial blockierte, bevor sie den Bildschirm erreichten.
Das Projekt ist auf GitHub veröffentlicht, muss aber von Hand konfiguriert werden, bevor es funktioniert.
Breitere Risiken für vernetzte Geräte
Der Ansatz ist zwar ein findiger Umgang mit der Schwachstelle, er zeigt jedoch ernsthafte Sicherheitsrisiken für eingebettete Geräte, die den kompromittierten Zertifikaten weiterhin vertrauen.
Experten warnen, dass viele Smart-TVs keine Firmware-Updates mehr erhalten und dadurch dauerhaft für Abfangen und Spoofing-Angriffe offen bleiben. Das Projekt erinnert an die allgemeineren Gefahren, die schwache kryptografische Verfahren in der Branche des Internets der Dinge bergen.
Offene Fragen
- Lassen sich betroffene Smart-TVs schützen, wenn ihre Firmware keine Updates mehr erhält?