Un desarrollador aprovechó la filtración de claves privadas de la entidad eMudhra para bloquear anuncios en televisores Samsung. Mediante la falsificación de certificados, logró interceptar el tráfico HTTPS y reemplazar la publicidad por fotos personales. Aunque es una solución curiosa, el autor advierte que confiar en certificados comprometidos representa un riesgo grave de seguridad.




La exposición de la clave privada de eMudhra ha sido un desastre de seguridad, pero también significa que puedes bloquear esos molestos anuncios en las smart TV si así lo deseas.

Afortunadamente para aquellos con algunos conocimientos y odio por los anuncios de las smart TV, el desarrollador de software checo Daniel Vrátil ha hecho el trabajo por ti y ha publicado su proyecto en GitHub para cualquiera que quiera intentarlo y hacer el trabajo necesario para añadir soporte a su propio televisor lleno de publicidad.

Vrátil dijo en su sitio que había estado bloqueando anuncios en su smart TV Samsung usando un Pi-hole (software de bloqueo de anuncios basado en DNS que puede ejecutarse en una Raspberry Pi, para quienes no estén familiarizados), pero justo cuando se desencadenó el lío de la filtración de certificados de eMudhra, cometió un error mientras manipulaba su laboratorio casero y los anuncios regresaron.

REG AD

Primero, un poco de contexto sobre el desastre de eMudhra. La empresa, con sede en la India, operaba una autoridad de certificación HTTPS confiable públicamente y afirma haber emitido más de 60 millones de certificados digitales. Como aprendimos el mes pasado, eMudhra no hizo lo posible por mantener seguras sus claves criptográficas: se descubrió que ocho claves privadas de CA intermedias eran absurdamente débiles, siendo una de ellas el número cuatro y las demás números de dos o tres dígitos que podían adivinarse con poco esfuerzo.

REG AD

Desde entonces, eMudhra ha dejado el negocio de las CA, afirmando que no era un gran problema para ellos ya que la emisión de certificados era una pequeña parte de su negocio. La empresa ha culpado de la raíz del problema a un mal script de software implementado para generar claves que su hardware no podía manejar.

Lo que todo esto significa, en sentido práctico, es que cualquiera podría falsificar un certificado de eMudhra para suplantar un sitio web y realizar algo malicioso. También significa que los investigadores de seguridad que pudieron obtener dispositivos que aún confían en los certificados de eMudhra podrían divertirse aprendiendo cómo funcionan sus comunicaciones, que es exactamente de lo que se aprovechó Vrátil.

Las claves privadas de eMudhra fueron añadidas al servicio de código abierto mitmproxy —un proxy HTTPS totalmente interactivo que puede usarse para bien o para mal— poco después de ser expuestas. Combina eso con una smart TV Samsung de 2022 que aún confía en los certificados comprometidos de eMudhra, y tienes una forma de inspeccionar su tráfico HTTPS y redirigir solicitudes seleccionadas a un servidor de tu elección.

Según el relato de Vrátil, cambiar los molestos anuncios por fotos de su familia en la pantalla principal de su televisor fue una tarea bastante sencilla.

“Por suerte para mí, Samsung aún no había lanzado una actualización para mi televisor que revocara el certificado”, explicó Vrátil en su informe. “Esto me permitió enrutar todo el tráfico del televisor a través de mitmproxy y obtener una lista de todos los dominios y endpoints con los que habla mi televisor, pero también ver la estructura de las solicitudes y las cargas útiles de respuesta”.

Resulta que el flujo de tráfico publicitario era bastante básico: la actividad en el televisor se retransmite a un servidor de anuncios, que sirve anuncios en la pantalla de inicio basándose en una respuesta JSON. Al generar un certificado para los dominios publicitarios de Samsung utilizando una clave de firma de eMudhra comprometida, y configurar su router para dirigir las solicitudes de esos dominios a un servidor en su red doméstica, Vrátil pudo reemplazar los anuncios con fotos familiares servidas desde su NAS. También añadió código que lanza otras solicitudes a esos dominios publicitarios, incluidos los datos de seguimiento, a un agujero negro en lugar de reenviarlas a los servidores de Samsung.

Como se mencionó anteriormente, está en GitHub para aquellos que quieran engañar a su televisor, si este aún soporta los certificados de eMudhra, pero tendrás que hacer el trabajo de diseccionar cómo tu dispositivo recibe los anuncios y ajustar el código para que funcione.

“No es exactamente una configuración de un solo clic”, dijo Vrátil en un correo electrónico. Ha invitado a la gente a probarlo, pero nadie se ha molestado en enviar una solicitud de cambio (pull request) para añadir soporte para su propio dispositivo a su repositorio público.

REG AD

También cabe señalar que esto solo funcionará mientras los dispositivos vulnerables sigan confiando en los certificados de eMudhra, lo que esperemos signifique que debes actuar rápido. Dicho esto, las smart TV que ya no tienen soporte podrían no recibir nunca tal actualización, dejándolas expuestas a la debilidad del certificado incluso si sus propietarios bloquean los anuncios.

“Los certificados comprometidos de eMudhra abren muchas oportunidades para comprender y suplantar solicitudes de red de dispositivos embebidos, especialmente aquellos que ya no reciben actualizaciones de seguridad”, nos dijo Vrátil. “Y aunque reemplazar anuncios en la pantalla de inicio de un televisor con fotos de mi familia es divertido, también hay innumerables aplicaciones mucho más siniestras de esta vulnerabilidad”.

En cuanto a Vrátil, todavía está intentando averiguar cómo bloquear la actualización de firmware que eventualmente podría dejar su método obsoleto, aunque eso, como él señala, es un riesgo de seguridad en sí mismo.

“Quiero ejecutar el tráfico a través de un proxy que valide la conexión contra un almacén de confianza actualizado para al menos mitigar que alguien intercepte el tráfico de mi televisor o suplante las respuestas, como hago con mi pequeño proyecto aquí, pero no me protegerá de otros riesgos de seguridad potenciales, así que hay una compensación”, explicó.

Suponemos que a estas alturas puedes elegir el tipo de abuso. Puedes usar una vulnerabilidad para bloquear anuncios y parte del seguimiento mientras dejas tu televisor expuesto a una posible interceptación, o dejar que el fabricante sirva anuncios y recopile datos sobre tus hábitos de visualización. Hay formas más seguras de bloquear anuncios que confiar en que un televisor siga confiando en una CA comprometida. 

Fuente:
TheRegister