Onderzoekers hebben kwetsbaarheden in een specificatie ontdekt die in miljoenen smart televisies aanwezig is en via de lucht kan worden aangevallen. De problemen bevinden zich in de Hybrid Broadcast-Broadband Television (HbbTV) specificatie, die door steeds meer televisies wordt ondersteund.

Deze specificatie is door het Digital Video Broadcasting (DVB) consortium ontwikkeld en zorgt ervoor dat breedbandinternetfeatures aan traditionele televisie-uitzendingen kunnen worden toegevoegd. Het zorgt ervoor dat uitzendingen ingebedde HTML bevatten, die vervolgens door de televisie wordt weergegeven. De interactieve features zijn via de rode knop op de afstandsbediening op te roepen. Met name in Europa wordt het systeem veel gebruikt.

Onderzoekers van de Columbia Universiteit ontdekten dat de breedband- en uitzendsystemen op onveilige wijze met elkaar worden gecombineerd. Dit maakt het mogelijk om het signaal uit de lucht op te vangen, van kwaadaardige code te voorzien en naar de smart televisie door te sturen. Zodra de kijker op het gecompromitteerde televisiekanaal afstemt wordt de meegestuurde code automatisch uitgevoerd. Het is niet nodig om op de rode knop te drukken.

Via deze "man-in-the-middle" aanval is het bijvoorbeeld mogelijk om kortingsbonnen te printen in het geval een printer op de smart televisie is aangesloten, valse Facebookberichten te plaatsen als de gebruiker via zijn tv op Facebook inlogt en aangesloten computers en routers proberen aan te vallen.

Herkomst

De kern van het probleem is dat de specificatie zich niet aan het same-origin policy-model houdt. Als een HbbTV-app via het internet wordt gedownload, is de herkomst via de URL gedefinieerd. Als de app via een uitzending wordt meegestuurd, wordt de herkomst verwijderd. Een aanvaller die de stream opvangt kan vervolgens een kwaadaardige app injecteren die de televisie overneemt, maar de gebruiker kan laten geloven dat het een Facebook-app is.

De onderzoekers rapporteerden het probleem aan de verantwoordelijke organen, maar die stelden dat de aanval te kostbaar is om uit te voeren en te weinig voor aanvallers zou opleveren. In een druk bevolkt gebied kan een aanvaller met slechts 450 dollar aan apparatuur in één aanval 20.000 systemen tegelijkertijd aanvallen.

Daarnaast is de aanval zo goed als ontraceerbaar. Om de aanvaller te lokaliseren zou eerst de locatie van het signaal via triangulatie moeten worden vastgesteld. Tegen de tijd dat opsporingsdiensten dit hebben gedaan is de aanvaller al lang verdwenen, meldt Forbes.