30C3: Gefälschte Nachrichtenticker und Wachschutz fürs Internet-TV
Sicherheitsforscher warnen seit Monaten vor Angriffs- und Überwachungsmöglichkeiten bei Smart-TVs. Nun läuft über den Standard HbbTV der erste "Spooofticker". Einzelne Sender sollen bei der Nutzeranalyse zu weit gehen.
Sicherheitsforscher warnen seit Monaten vor diversen Angriffs- und Überwachungsmöglichkeiten bei Smart-TVs. Martin Herfurt von der Hackergruppe trifinite.org hat auf dem 30. Chaos Communication Congress (30C3) in Hamburg nun den ersten gefälschten Nachrichtenticker fürs Internetfernsehen vorgestellt, der auf dem Standard HbbTV (Hybrid broadcast broadband TV) aufbaut.
Über HbbTV lassen sich unter anderem Inhalte aus Mediatheken sowie kanalgebundene Zusatzinformationen zum Fernsehprogramm abrufen. Der "Spooofticker" macht sich nun die Eigenschaft zunutze, dass der so auf den Bildschirm gezauberte Content vergleichsweise einfach manipuliert und durch "Eigenproduktionen" ersetzt werden kann. Konkret werden damit derzeit Nachrichtensendungen der ARD wie "tagesschau 24" und Produktionen des Senders n-tv auf Smart-TVs mit Satire-Nachrichten der Seite "Der Postillon" angereichert.
Die Überlagerung sei "kaum zu unterscheiden vom Original", versicherte Herfurt. Um die ungewöhnliche Programmergänzung genießen zu können, müsse man zunächst aber "HAL" aktivieren. Dieser "HbbTV Access Limiter" ist ein Projekt des Experten, der über die IP 109.230.231.222 als alternativer DNS-Server für vernetzte Fernsehgeräte fungiert.
(Bild: Stefan Krempl)
HAL soll vor allem Missbrauch mit dem sogenannten "Red Button" verhindern. Dabei handelt es sich um ein kleines Infofenster, das den Zuschauer darüber benachrichtigt, dass der aktuelle Sender Inhalte über HbbTV zur Verfügung stellt. Diese kann man über den roten Knopf der Fernbedienung abrufen. Die Information, über welche URL der Fernseher die Daten für den Infodialog abrufen kann, findet sich im DVB-Datenstrom. HAL leitet entsprechende Anfragen zu seinem eigenen HTTP-Server um. Damit soll der Datenschutz erhöht und das Einspielen von Schadcode verhindert werden.
Herfurt räumte ein, dass sich der virtuelle Wachschutz für HbbTV derzeit noch in einem frühen Stadium befinde und nur für erste Experimente tauge. Derzeit würden im Rahmen des Projekts Daten gesammelt über Apps auf Providerseite und das Verhalten von Smart-TVs allgemein. Im Anschluss werde es darum gehen, Zertifizierungskriterien für HbbTV-Anwendungen zu erstellen und ein Prüfverfahren aufzusetzen. Letztlich solle mithilfe der Nutzergemeinde per Crowdsourcing eine Liste mit gefahrlos nutzbaren Inhalten erstellt und gepflegt werden. Eine erste Kooperation mit dem offenen Kanal FS1 in Salzburg stehe kurz vor dem Abschluss.
Viele Medienhäuser haben dem Berater zufolge bislang "kein gutes Verständnis von IT-Sicherheit". Es sei daher wahrscheinlich, dass künftig zahlreiche bereits aufgezeigte Angriffsvektoren ausgenutzt würden. Diese reichten etwa im Bereich der "Content-Attacken" von DVB-Injection über DNS-Spoofing bis hin zu "Watering Hole Attacks" zum Einspeisen eigener Inhalte. Ferner sei eine weitgehende Überwachung der Nutzungsgewohnheiten der Zuschauer oder sogar der Vorlieben der Nachbarn über das Abhören von WLAN-Hotspots denkbar.
Forscher der TU Darmstadt hatten im Frühjahr bereits publik gemacht, dass Smart-TVs selbstständig Kontakt etwa zu Tracking-Diensten wie Google Analytics aufnehmen. Herfurt hat mittlerweile genauer hingeschaut und festgestellt, dass in Deutschland sowie in Österreich und der Schweiz der Analysedienst des kalifornischen Internetkonzerns von 22 Kanälen verwendet wird. Sendern wie Arte, Das Vierte oder Vox wirft er vor, Google Analytics ohne die hierzulande erforderlichen Anonymisierungseinstellungen zu verwenden und damit gegen das Telemediengesetz zu verstoßen. Andere Kanäle setzten Adserver ein, die für ein übermäßiges Sammeln von Nutzerdaten bekannt seien.
Dass LG über bestimmte Smart-TV-Geräte Anwender ausspäht, hat laut Herfurt "wenig mit HbbTV direkt zu tun". Jede größere Herstellerfirma mache Marktforschung, auch Samsung etwa telefoniere "nach Hause". Dabei werde der Verkehr aber verschlüsselt, sodass Einzelheiten über die Datenabrufe bislang unbekannt seien. Es sei zu vermuten, dass es dabei eher um Firmware-Updates gehe. Mehr Verschlüsselung etwa über HTTPS würde dem Forscher zufolge für Angreifer "wohl keinen großen Unterschied machen": Die internetfähigen TV-Geräte checkten derzeit sowieso keine entsprechenden Sicherheitszertifikate. (hos)
