Millones de televisiones inteligentes vulnerables al ataque del "botón rojo"

En un intento de llevar las funciones modernas de Internet de banda ancha (broadband) a la televisión abierta tradicional (broadcast), el consorcio Digital Video Broadcasting (DVB) presentó una especificación denominada Hybrid Broadcast Broadband-Television (HbbTV), que permite a los streams de difusión incluir contenido HTML incrustado que se renderiza por la televisión.

HbbTV (televisión conectada o híbrida) se ha convertido en un estándar de TV para transmitir contenidos adicionales de Internet por el televisor. Este sistema ya se encuentra ampliamente desplegado en Europa y recientemente ha sido adoptado como parte de la norma de televisión digital de Estados Unidos.

Para recibir las páginas web especialmente diseñadas en formato CE-HTML se necesita una conexión a Internet y un televisor que soporte esta tecnología o un receptor de HbbTV adicional. La mayoría de estos dispositivos incluyen en sus mandos de control remoto un "botón rojo" para acceder a estos servicios interactivos.

Sin embargo este "botón rojo" podría ser también una puerta para usuarios malintencionados. Yossi Oren y Angelos Keromytis de la Universidad de Columbia han publicado un paper en el que demuestran que los sistemas de broadband y broadcast se combinan de forma insegura.

El problema principal es que cuando se inserta contenido web en un stream de datos de broadcast no está enlazado a ningún servidor web por lo que no puede establecer de forma estándar una política del mismo origen de forma estándar. La especificación HbbTV sugiere que sea el propio stream de broadcast quien defina su propio origen web configurando el nombre de dominio deseado (propiedad simple_application_boundary_descriptor en el IAT). Por lo tanto, si el propio proveedor o broadcaster puede especificar cualquier origen, un proveedor malicioso podrá también inyectar cualquier script de su elección en cualquier sitio web de su elección.

Aprovechándose de ésto y mediante un ataque MITM a gran escala, se inyectan comandos sobre la base de la frecuencia de radio (RF) y, junto con los streams de audio y video, se puede incluir una aplicación HbbTV maliciosa.

Aunque los autores de esta técnica intentaron una divulgación responsable ante el organismo de normalización, el ataque fue visto como demasiado caro y con limitada rentabilidad de los atacantes. Sin embargo en su artículo se demuestra que la complejidad técnica y el presupuesto requeridos son bajos, por lo que este ataque es práctico y realista, sobre todo en las zonas con alta densidad de población -en una densa zona urbana, un atacante con un presupuesto de alrededor de 400€ puede dirigirse a más de 20.000 dispositivos en un solo ataque-.

Además, cuando una aplicación HbbTV ha comenzado a ejecutarse no hay manera estándar de pararla, al menos que se cambie de canal, se apague la televisión o se desactive el soporte HbbTV en su totalidad. Para más inri, estos ataques son casi "invisibles": las aplicaciones HbbTV se ejecutan en segundo plano sin el conocimiento ni el consentimiento de los usuarios y el atacante no necesita usar una IP o un DNS por lo que la única manera de cogerle sería triangulando la señal maliciosa...

Fuentes:
- Yossef Oren, Angelos D. Keromytis: From the Aether to the Ethernet - Attacking the Internet using Broadcast Digital Television
- Red Button Flaw Exposes Major Vulnerability In Millions of Smart TVs
- Millions of Smart TVs Vulnerable To 'Red Button' Attack
- A New Vulnerability Could Leave Smart TVs Exposed