26 יונ' 2016

 

Google Chrome icon
קבוצה של חוקרי אבטחת סייבר ממרכז המחקר לאבטחת סייבר (CSRC)​ באוניברסיטת בן-גוריון בנגב, בשיתוף עם חוקרים ממעבדות החדשנות של חברת "דוייטשה טלקום" בברלין, גרמניה, גילו חולשה בטכנולוגיית Widevine EME/CDM של "גוגל", טכנולוגיה שתפקידה להגן (באמצעות הצפנה) על סרטי וידיאו הנצפים דרך דפדפנים שונים כגון "גוגל כרום". החולשה פותחת דרך לתוקפים להעתיק תוכן וידאו מוגן, הנרכש ומסופק על ידי שירותי תוכן (סטרימינג) פופולריים שונים, מה שגורם לתוכן הלא מוגן להיות זמין להפצה בלתי חוקית.

 

חוקר האבטחה וסטודנט לתואר שלישי דוד ליבשיץ, בהנחיתו של ד"ר אסף שבתאי ממרכז המחקר לאבטחת סייבר, ובשיתוף עם אלכסנדרה מיקיטיוק, חוקרת ממעבדות החדשות "טלקום" בברלין, הוכיחו היתכנות של התקפה שמסוגלת לשמור על כונן המחשב גרסה מפוענחת של כל תוכן מוזרם המוגן על-ידי Widevine DRM של גוגל ומופעל דרך "גוגל כרום". הוכחת ההיתכנות נבדקה בהצלחה על גרסאות עדכניות שונות של "גוגל כרום", בשילוב עם שירותי הסטרימינג של Netflix ו- Amazon TV.
 
"הפשטות שבה ניתן לגנוב תוכן מוגן מייצרת בעיה לספקי התוכן המסתמכים על טכנולוגיות כאלה כדי להגן על נכסיה," אמר דוד ליבשיץ. DRM (Digital RightsManagement, ניהול זכויות דיגיטלי) היא טכנולוגיה שמטרתה להגן על תוכן בעל זכויות יוצרים מגניבות ומהפצה בלתי חוקית. CDM (Content Decryption Module, מודול פענוח תוכן) הוא רכיב בדפדפן ששולט בצפייה של התוכן המוגן הכולל פענוח של ההצפנה. EME (Encrypted Media Extensions הוא ממשק ב- HTML5 המספק ערוץ תקשורת בין הדפדפן ל-CDM. "CDM המשתמש ב-TEE, סביבת מחשוב אמינה (Trusted Execution Environment), הוא גישה חדשה להגנה על תוכן, ומהווה שלב נוסף בהפיכתו למוגן יותר", אומרת אלכסנדרה מיקיטיוק.
 
הוכחת ההיתכנות של התקיפה יושמה כקובץ התקנה אשר יכול להיות מותקן על כל מחשב המריץ דפדפן "גוגל כרום" כדי להשיג את המטרה. הוכחת ההיתכנות ופרטי החולשה שהתגלו דווחו לצוות האבטחה של גוגל, והחוקרים תומכים בכל בקשה בתהליך מניעת חולשה זו, כדי להבטיח שהבעיה נפתרת בהקדם האפשרי.
 
"אנו דבקים במדיניות החשיפה האחראית של "פרויקט זירו" של "גוגל", ונפרסם את הפרטים לגבי החולשה רק כאשר יינתן למשתמשים פתרון, כדי למנוע שימוש לרעה בחולשה זו לפני שתהיה הגנה ראויה זמינה", אמר ד"ר אסף שבתאי.
 

סרטון ההדגמה מראה באיזו קלות אפשר לגנוב תוכן מווידיאו מוגן, גניבה שהופכת אותו לזמין להפצה בלתי חוקית:

 

"אנו מקווים שחשיפת החולשה הזו תדרבן ספקים אחרים של DRM להעריך מחדש את אבטחת המוצרים שלהם ולספק עוד שכבות הגנה", אמר ד"ר רמי פוזיס, חוקר במרכז המחקר לאבטחת סייבר.
 

"הערכת האבטחה של טכנולוגיות הגנה על תוכן, וכמו כן תכנון אסטרטגיות הגנה, הם יכולות מרכזיות של אוניברסיטת בן-גוריון בנגב", אמר דודו מימרן, מנהל טכנולוגי ראשי במרכז המחקר.

אלכסנדרה מיקיטיוק משמשת גם כחוקרת בקתדרה לאבטחה בטלקומוניקציה (SECT) ב-Technical University. מרכז המחקר לאבטחת סייבר באוניברסיטת בן-גוריון בנגב, המנוהל על-ידי פרופ' יובל אלוביץ, הוא שיתוף פעולה בין האוניברסיטה לבין מטה הסייבר הלאומי של ישראל, ומתמקד בנושאים מתקדמים באבטחת סייבר.