'Miljoenen smart-tv's zijn kwetsbaar door aanval op HbbTV-protocol'

Onderzoekers van de Columbia University stellen dat smart-tv-toestellen die geschikt zijn voor het HbbTV-protocol en die digitale tv-signalen via de ether ontvangen, ongemerkt aangevallen kunnen worden door hackers.

HbbTV is een protocol dat door veel Europese omroepen, waaronder de Nederlandse NPO, wordt gebruikt om html-code aan het tv-signaal toe te voegen. Hierdoor kunnen moderne smart-tv's extra content tonen die van internet wordt gehaald, maar de onderzoekers stellen dat tv-kijkers die het digitale tv-signaal uit de ether plukken, gevaar lopen. Hackers zouden het HbbTV-signaal kunnen manipuleren. In theorie zou in Nederland bijvoorbeeld het dvb-t-signaal kwetsbaar zijn voor manipulatie.

Dit zou mogelijk zijn door het digitale tv-signaal met een antenne liefst op een hoge positie op te pikken, de HbbTV-content te manipuleren door bijvoorbeeld url's te wijzigen en dit signaal opnieuw uit te zenden. Smart-tv's die op het gemanipuleerde kanaal afstemmen, zouden de code automatisch en ongemerkt uitvoeren zonder dat de gebruiker op de rode knop op de afstandsbediening hoeft te drukken. De kijker moet wel op hetzelfde kanaal afgestemd blijven.

Met de aanval volgens de klassieke man-in-the-middle-methode kunnen aanvallers niet alleen bijvoorbeeld sociaalnetwerkdiensten overnemen, maar zij kunnen volgens de onderzoekers ook proberen om kwetsbare systemen op het thuisnetwerk in kaart te brengen. Een andere optie is om ingebouwde webcams en microfoons in een tv te activeren. Door een krachtige antenne in bijvoorbeeld een stad te gebruiken kan een relatief groot gebied worden bestreken, terwijl de aanvaller bijna onvindbaar zou zijn, schrijft Forbes.

De onderzoekers hebben in december vorig jaar hun bevindingen voorgelegd en een demonstratie van een aanval getoond aan de organisatie achter de HbbTV-standaard, maar deze zou de kwetsbaarheid als onvoldoende ernstig hebben gezien om de specificatie, die inmiddels ook in de VS is geïmplementeerd in de atsc-standaard, aan te passen. Ook stelden de opstellers van de HbbTV-standaard dat de aanvalsmethode te duur is ten opzichte van eventuele opbrengsten. De onderzoekers stellen echter dat een antenne van enkele honderden dollars al voldoende is om een aanval op duizenden kwetsbare tv's uit te voeren. Ook zou de benodigde software vrij eenvoudig zijn te programmeren.

In juni vorig jaar trokken Duitse onderzoekers ook al aan de bel over onvolkomenheden in HbbTV. Zij kwamen in een aantal Samsung-tv's diverse kwetsbaarheden tegen die het mogelijk maken om een toestel bijvoorbeeld in te zetten als bitcoin-miner door de injectie van javascript.

Reacties (38)

[MrMonkE]

"'Een andere optie is om ingebouwde webcams en microfoons in een tv te activeren"

Als hackers dit kunnen door een man in the middle attack dan kan de Nederlandse NPO dit altijd.
Nee?

[Orion84]

Dat is inderdaad wel een interessant zijweggetje van dit hele verhaal ja. Wat kunnen TV zenders middels HbbTV allemaal met onze TV's uithalen? En in hoeverre heb je daar als gebruiker controle over?

[Dingen]

HbbTV bevat geen enkele beveiliging. Omroepen kunnen letterlijk doen wat ze willen, er is geen enkele waarschuwing of ander mechanisme om de consument te beschermen.

[Orion84]

Nou, ja, "doen wat ze willen" is wellicht wat overdreven, maar ze kunnen in feite elke mogelijke HTML en JavaScript code laten uitvoeren door de TV.

De interessante vraag is wat die code allemaal kan doen, behalve de voorbeelden die de onderzoekers al noemen (DDoS, Request Forgery, Intranet scannen, phishing/social engineering en misbruiken van exploits in de TV).

De claim dat microfoon en webcam in te schakelen zijn zie ik bijvoorbeeld nergens terug in de oorspronkelijke artikelen. Tot welke functionaliteit heeft die HbbTV runtime nu precies toegang?

Wat dat betreft zou het goed zijn als HbbTV functionaliteit had om de gebruiker op de hoogte te stellen van permissies die de HbbTV applicaties / code probeert te gebruiken. Een beetje zoals dat ook bij het installeren van apps op smartphones gebeurt. Maar zoals de onderzoekers ook al aangeven mist die complete security insteek in het ontwerp van de standaard. Het enige security puntje wat wordt afgedekt is DRM.

[ATS]

Zou dat niet verschillend zijn per TV? Ik kan me voorstellen dat een TV met een HTML-gebaseerd OS (webOs of Tizen) best veel API's hebben die in principe toegankelijk zouden kunnen zijn.

[Orion84]

Ja, dat geven de onderzoekers ook al aan. Zo had de TV waarop zij het getest hebben twee verschillende HTML runtimes, een voor HbbTV en een voor de Apps en dergelijke (waardoor HbbTV code dus geen misbruik kan maken van opgeslagen facebook logins etc.).

[Stoney3K]

HbbTV bevat geen enkele beveiliging. Omroepen kunnen letterlijk doen wat ze willen, er is geen enkele waarschuwing of ander mechanisme om de consument te beschermen.

Maar is er überhaupt een (universeel) mechanisme ingebouwd om met de hardware in een smart TV te communiceren? Volgens mij kan pure HTML alleen maar informatie naar een gebruiker weergeven, dus tenzij een smart-TV ook de mogelijkheid heeft om applets uit te voeren, heb je hier als aanvaller niet bijzonder veel aan. Behalve als je doel is om gebruikers te irriteren.

Elke smart-TV heeft immers weer een ander platform, en zo maar op goed geluk code injecteren en hopen dat een willekeurige TV het uitvoert (en er iets nuttigs uit rolt) is natuurlijk wat optimistisch.

[Dingen]

Er is niet alleen ondersteuning voor HTML, maar ook Javascript. Daarmee zijn er allerlei mogelijkheden om data uit te lezen en te sturen. De mogelijkheden verschillen misschien per TV, maar ook Javascript is niet voorzien van enige beveiliging.

[Stoney3K]

Er is niet alleen ondersteuning voor HTML, maar ook Javascript. Daarmee zijn er allerlei mogelijkheden om data uit te lezen en te sturen. De mogelijkheden verschillen misschien per TV, maar ook Javascript is niet voorzien van enige beveiliging.

Goed punt, maar je zit nog altijd gebonden aan de zandbak waarin je HTML/Javascript draait, en de API's die de televisie aan 'zijn' browser aanbiedt. Feitelijk leg je dan alleen maar de domheid van de TV-makers bloot.

Inbreken op de hardware van een specifieke TV, om bijvoorbeeld een andere zender op te zetten, of de microfoon/webcam te kapen, blijft nog altijd heel lastig.

Bovendien is het Hbbtv-protocol in principe één richting uit, het is immers HTML/JS die mee gestuurd wordt met het televisiesignaal, wat vergelijkbaar is met teletekst. Binnen die verstuurde HTML-pagina's kun je wel wat ongein uithalen, maar erbuiten komen vereist toch dat de TV hoe dan ook verbonden is met internet.

En juist omdat het een protocol is wat vooral gebruikt wordt voor digitale uitzendingen over de ether, is de kans dat een ontvangende TV verbonden is met internet, een stuk kleiner. Een TV die aan internet hangt, zal waarschijnlijk eerder zijn zenders ontvangen van de kabel of IPTV.

Het enige 'uitgaande' kanaal wat er behalve een internetverbinding is, is het beeldscherm (en dus de kijker). Een uitzending kapen door er een berg Hbbtv-gegevens in te injecteren kan in principe, maar dat heeft maar beperkt nut.

[Reactie gewijzigd door Stoney3K op 22 juli 2024 17:27]

[Orion84]

HbbTV kan over elke vorm van DVB, dus ook DVB-C. En ook een TV die zijn signaal via digitenne krijgt kan natuurlijk nog steeds best ook aan het internet hangen.

[Stoney3K]

HbbTV kan over elke vorm van DVB, dus ook DVB-C. En ook een TV die zijn signaal via digitenne krijgt kan natuurlijk nog steeds best ook aan het internet hangen.

Dat klopt, in principe, maar:

* Signaal injecteren in een DVB-C of DVB-S stream is een stuk lastiger dan DVB-T over de ether. (Elektronisch gezien natuurlijk niet, maar het fysiek toegang verschaffen tot de uitzending is een stuk moeilijker.)

* DVB-T vind je over het algemeen meer op plekken waar er weinig vast bekabelde aansluitingen voorhanden zijn. Bekabelde aansluitingen bieden (in verhouding) betere beeldkwaliteit, terwijl DVB-T een stuk mobieler is.

De kans dat je dus een televisie vindt die (makkelijk) kwetsbaar is én aan internet hangt, is niet enorm. Daarom is deze hack een prachtige proof-of-concept, maar als grootschalige exploit heeft het maar beperkt nut.

[Reactie gewijzigd door Stoney3K op 22 juli 2024 17:27]

[Orion84]

Als ik de artikelen mag geloven zijn er landen waar dat anders ligt.

En ik reageerde met name op je formulering "het een protocol is wat vooral gebruikt wordt voor digitale uitzendingen over de ether".

Dat de aanval inderdaad bij DVB-T eenvoudiger is ben ik helemaal met je eens

[mbb]

Volgens mij is het doel van een smart-tv juist dat ie aan internet hangt, daar haal hij namelijk zijn interactieve contenct vandaa.
Dus alhoewel het aantal smart-tv's dat via DVB-T krijgt relatief laag is, is de kans dat die paar TV's toch aan het internet hangen relatief hoog.

[s0larus]

Elke keer word ik weer verbaasd hoe hackers het voor elkaar krijgen om bijna overal binnen te komen. En het wordt alleen erger hoe meer devices met het internet/elkaar verbinden! Ik ben blij dat SmartTV mij niet boeit en is mijn tv nooit aangesloten.

[mvdejong]

Ik ben niet echt verbaasd. Ontwikkelaars zijn altijd veel meer gefascineerd door nieuwe features en nieuwe mogelijkheden; fout-afhandeling, robuustheid, security zijn alleen maar vervelend en saai, kosten tijd, kosten performance, en verhinderen sommige leuke dingen. En als de ontwikkelaar zelf voldoende paranoia ontplooit om aan degelijkheid te willen werken, dan zit de project-leider of de account-manager wel te gillen over deadlines.

Ik ben in voldoende projecten aangevallen omdat ik "teveel" fout-afhandeling inbouwde met als argument "dat komt toch nooit voor". Ik heb dus ook mijn deel aan "told-you-so" momenten gehad, inclusief eentje waarbij in een magazijn een rol plastic van een paarhonderd kilo 12 meter omlaag stortte.

[MrMonkE]

Daar ben ik het niet helemaal mee eens, het gros van mijn collega's -zeker seniors- heeft wel degelijk dit inzicht maar het probleem is dat het door de buitenwacht vaak gezien wordt als spijkers op laag water zoeken. Je kun het ook niet goed verkopen in de zin dat het slecht demonstreerbaar is. Daarnaast is het iets wat met tijdsdruk al snel geofferd wordt. Bij een bedrijf waar ik zat hebben we wel eens meer dan 4 maanden gehamerd op de beveiliging en dat die moest worden ge-upgrade, maar daar verdien je geen geld mee.

Toen hebben we pagina 3 van de telegraaf gehaald. Moet je eens kijken wie er dan allemaal interesse in de beveiliging heeft en aan je bureau komt vragen 'hoe dit heeft kunnen gebeuren en hoe we dit in de toekomst kunnen voorkomen'. Echt zo'n managers kreet dat laatste. Tot de directeur aan toe. En dat was echt niet een of andere lullige MKB.
Dan leer je ook: Niet 'all publicity' is 'good publicity'

Maar bij dit soort standaarden is dergelijke zaken natuurlijk totaal onacceptabel.

[Nyarlathotep]

Over een paar jaar zijn onze koelkasten, magnetrons, sleutelhangers en rollen toiletpapier ook kwetsbaar!

Even zonder gekheid: Elk apparaat dat contact maakt met het www is natuurlijk kwetsbaar. Want nooit zullen kwestbaarheden direct ontdekt worden.
Ik hoop alleen maar dat je als consument altijd de keuze hebt om een apparaat al dan niet op internet aan te sluiten. Dat zie ik in de toekomst nog wel veranderen...

[Skoppie426]

Je zal meestal wel de keuze hebben om hem niet aan te sluiten, maar je zal veel functionaliteit missen wanneer je het niet doet. Dingen als automatisch recepten tonen op de koelkast, enz. zijn natuurlijk moeilijk zonder internetverbinding...

[beerse]

Volgens mij is voor deze hack nog wat hardware nodig: een stevige zender. En dat is volgens mij een beter geval dan waar in de jaren '80 de lokale ether-piraat mee aan de slag ging: Minstens zo sterk maar wel van veel betere kwaliteit. En in de jaren '40 wisten ze zenders al uit te peilen dus opsporing moet zo moeilijk niet zijn.

[Stoney3K]

Volgens mij is voor deze hack nog wat hardware nodig: een stevige zender. En dat is volgens mij een beter geval dan waar in de jaren '80 de lokale ether-piraat mee aan de slag ging: Minstens zo sterk maar wel van veel betere kwaliteit. En in de jaren '40 wisten ze zenders al uit te peilen dus opsporing moet zo moeilijk niet zijn.

Dat is natuurlijk de keerzijde, een sterke DVB-T zender valt redelijk makkelijk uit te peilen zodat je snel genoeg kan zien waar een aanvaller uithangt. Dus echt grootschalig inzetbaar denk ik dat deze hack ook weer niet is.

[Verwijderd]

Meeste Nederlanders zitten toch aan de kabel. Probleem weg.....

[ASS-Ware]

Meeste Nederlanders zitten toch aan de kabel. Probleem weg.....

Maar hebben wel de TV op het netwerk aangesloten voor youtube en dat soort apps, en zitten dus op het internet.

[Orion84]

Maar die internetverbinding an sich is het probleem niet (in elk geval niet in het kader van dit nieuwsbericht).

Waar het hier mis gaat, is dat iemand die het DVB signaal dat jouw TV verwerkt kan manipuleren, jouw TV allerlei HTML / JavaScript code kan laten uitvoeren.

En het (grootschalig) manipuleren van een DVB-C (kabel) signaal is wat lastiger dan DVB-T ('digitenne'). Let wel: onmogelijk is het niet, dus het probleem is zeker niet weg.

[Verwijderd]

In landen met grotendeels kabel netwerken is zo'n MITM aanval via de ether niet echt een zinvolle bezigheid.

[telenut]

Gebruiken Nederlanders dit? Ik ken in elk geval geen enkele Belg die hier gebruik van maakt... Iedereen kijkt digitaal via belgacom of telenet (hier en daar nog wat analoog, of zoals ik via bhaalu)
Denk dat kans op misbruik dus wel extreem klein is...

[Stoney3K]

Gebruiken Nederlanders dit? Ik ken in elk geval geen enkele Belg die hier gebruik van maakt... Iedereen kijkt digitaal via belgacom of telenet (hier en daar nog wat analoog, of zoals ik via bhaalu)
Denk dat kans op misbruik dus wel extreem klein is...

Alle DVB-zenders (dus ook schotel, kabel en internet) maken in principe gebruik van dat protocol. Het is alleen zo dat veel zenders er nog niks op mee zenden.

Het kan zijn dat de EPG (programmagids) ook op het Hbbtv-protocol is gezet, maar dat weet ik niet zeker.

[Dreamvoid]

Iets van 2 miljoen Canal Digitaal abonnees (Sat) in elk geval.

[Dreamvoid]

Welke malloot heeft dan ook in vredesnaam bedacht dat Javascript onderdeel moet zijn van HbbTV?

Het hele idee van het draaien van ongeverifieerde remote code in de browser was altijd al een dubieus concept (wat is er mis met enkel HTML parsen op de client?), maar in het geval van TV's en appliances is het helemaal een gotspe.

[Reactie gewijzigd door Dreamvoid op 22 juli 2024 17:27]

[William_H]

Ik lees nergens dat er gebruik wordt gemaakt van Javascript of bedoel je dat dit inherent is aan het gebruik van HTML-code in het Hbb protocol. De enige rede die ik kan bedenken waarom je remote code in de browser uitvoert bij dit protocol is omdat er éénrichtingsverkeer is. Er van uitgaande dat bijv. bij Digitenne en een Smart TV, die TV niet standaard over een internetverbinding hoeft te beschikken!? Maar misschien dat je dan ook niet echt meer over een Smart TV kunt spreken, en dan kun je net zo goed er geen gebruik van maken met zo'n TV van de Hbb dienst.

[Verwijderd]

Een drone die voor je raam zweeft ? Ik vind die onderzoeker gelijk ongeloofwaardig. Verder die interviewer 'can I download it from Russia'. Hij krijgt geen gehoor van de onderzoeker en denkt jammer. Ja hoor we zitten naar een Amerikaans filmpje te kijken.

[Nijl]

Met 1 druk op de knop alle tv's uit Handig!

[Antwan46]

Gaan ze dat vrijdagavond om half negen doen?

[Dark Angel 58]

Met 1 druk op de knop alle tv's uit Handig!

Hopelijk niet wereldwijd...