Détail du bug Netflix qui a ouvert les smart TV aux attaques, 4 ans plus tard

Révélation d’une faille de sécurité

Une faille dans le protocole de diffusion d’écran de Netflix a permis à des pirates de détourner des flux vidéo et de s’en prendre à des victimes insoupçonnées. Cette faille a été corrigée en 2019 après avoir été découverte par le chercheur Yunus Çadirci. Lors de la conférence Black Hat Middle East and Africa, il a publié pour la première fois les détails techniques de cette vulnérabilité.

La faille, nommée DIALStranger, affecte les téléviseurs, les consoles de jeux et tout autre matériel visible par un appareil à proximité dans un réseau local prenant également en charge le protocole DIAL.

Depuis la découverte de cette faille, les téléviseurs intelligents et les autres appareils ont été renforcés pour limiter les risques d’exploitation d’une telle faille.

Manque de sécurité élémentaire sur le DIAL protocol

Le protocole DIAL, développé par Netflix et YouTube, en collaboration avec Sony et Samsung, permet de diffuser facilement du contenu entre des appareils connectés au même réseau local. Cependant, Çadirci a remarqué que le protocole ne couvrait pas certaines fonctions de sécurité de base, ce qui permettait aux pirates de l’utiliser pour diffuser du contenu sur des appareils connectés à un réseau local sans aucune intervention de l’utilisateur.

Conséquences et risques potentiels

Çadirci a démontré la vulnérabilité à Black Hat en utilisant la chanson “Never Gonna Give You Up” de Rick Astley sur un téléviseur intelligent LG. Mais au-delà des farces, cette faille pourrait potentiellement être utilisée à des fins de propagande ou de publicité ciblée. En outre, elle pourrait permettre aux pirates de prendre le contrôle à distance de centaines de milliers de dispositifs pour accumuler des vues sur une vidéo spécifique.

Complexité du correctif pour les dispositifs IoT

Après avoir découvert cette vulnérabilité, Çadirci a constaté que le processus de correction des failles sur les dispositifs IoT est complexe et peut prendre plusieurs années. Il a également souligné que de nombreux anciens dispositifs ne seront probablement jamais mis à jour en raison de décisions commerciales des fabricants.

Cependant, malgré ces difficultés, des améliorations ont été apportées au protocole DIAL et des efforts continuent d’être déployés pour rendre les dispositifs IoT plus sécurisés.

Source : www.scmagazine.com