Lỗ hổng chứng chỉ eMudhra giúp chặn quảng cáo trên smart TV

Tóm tắt

Một nhà phát triển người Séc đã tận dụng lỗ hổng nghiêm trọng trong hệ thống chứng chỉ của eMudhra để chặn quảng cáo và dữ liệu theo dõi trên smart TV Samsung. Thủ thuật này chỉ hoạt động trên những thiết bị vẫn còn tin tưởng chứng chỉ eMudhra, đồng nghĩa với việc nó sẽ mất tác dụng khi nhà sản xuất tung ra bản cập nhật firmware.

Bối cảnh: thảm họa chứng chỉ eMudhra

eMudhra là công ty có trụ sở tại Ấn Độ, từng vận hành một tổ chức cấp chứng chỉ HTTPS (certificate authority – CA) được công khai tin cậy và tuyên bố đã cấp hơn 60 triệu chứng chỉ số. Hồi tháng trước, người ta phát hiện công ty này đã không bảo vệ khóa mật mã của mình đúng cách: tám khóa riêng tư của CA trung gian bị đặt quá yếu, trong đó có một khóa chỉ là số 4, số còn lại là các số có hai hoặc ba chữ số dễ đoán.

Hậu quả là bất kỳ ai cũng có thể giả mạo chứng chỉ eMudhra để mạo danh một website và thực hiện hành vi độc hại. eMudhra sau đó đã từ bỏ mảng kinh doanh CA, cho rằng đây không phải vấn đề lớn vì việc cấp chứng chỉ chỉ chiếm phần nhỏ trong hoạt động của công ty. Công ty đổ lỗi cho một đoạn script phần mềm lỗi dùng để tạo khóa vượt quá khả năng xử lý của phần cứng.

Cách Vrátil biến lỗ hổng thành công cụ chặn quảng cáo

Nhà phát triển phần mềm người Séc Daniel Vrátil vốn đã dùng Pi-hole (phần mềm chặn quảng cáo dựa trên DNS, có thể chạy trên Raspberry Pi) để chặn quảng cáo trên chiếc smart TV Samsung của mình. Nhưng khi đang mày mò với phòng thí nghiệm tại nhà, anh làm hỏng cấu hình và quảng cáo quay trở lại.

Thay vì bỏ cuộc, Vrátil khai thác điểm yếu của eMudhra. Các khóa riêng tư bị lộ đã được thêm vào mitmproxy – một dịch vụ proxy HTTPS tương tác, có thể dùng cho mục đích tốt lẫn xấu. Kết hợp với một chiếc smart TV Samsung năm 2022 vẫn còn tin tưởng chứng chỉ eMudhra, anh có thể kiểm tra toàn bộ lưu lượng HTTPS của TV và chuyển hướng các yêu cầu chọn lọc đến máy chủ của mình.

Theo lời kể của Vrátil, luồng quảng cáo khá đơn giản: hoạt động trên TV được gửi đến máy chủ quảng cáo, máy chủ này trả về quảng cáo trên màn hình chính dựa trên một phản hồi JSON. Bằng cách tạo chứng chỉ cho các tên miền quảng cáo của Samsung bằng khóa ký eMudhra bị lộ, rồi cấu hình router chuyển các yêu cầu đến tên miền đó về một máy chủ trong mạng nội bộ, anh đã thay quảng cáo bằng ảnh gia đình lưu trên NAS. Anh cũng thêm mã đưa các yêu cầu khác tới tên miền quảng cáo – bao gồm dữ liệu theo dõi – vào "hố đen" thay vì chuyển tiếp đến máy chủ Samsung.

"May mắn cho tôi, Samsung chưa phát hành bản cập nhật nào thu hồi chứng chỉ cho chiếc TV của mình. Điều này cho phép tôi định tuyến toàn bộ lưu lượng từ TV qua mitmproxy và lấy được danh sách các tên miền, endpoint mà TV giao tiếp", Vrátil giải thích.

Toàn bộ dự án đã được công bố trên GitHub cho những ai muốn thử, nhưng Vrátil lưu ý: "Đây không hẳn là thiết lập một cú nhấp chuột". Người dùng phải tự phân tích cách thiết bị của mình nhận quảng cáo và chỉnh sửa mã cho phù hợp. Anh cũng cho biết chưa ai gửi pull request để thêm hỗ trợ cho thiết bị của riêng họ.

Cửa sổ cơ hội đang khép dần

Thủ thuật này chỉ hiệu quả chừng nào thiết bị còn tin tưởng chứng chỉ eMudhra. Các smart TV đã hết hỗ trợ có thể sẽ không bao giờ nhận được bản cập nhật thu hồi chứng chỉ, khiến chúng phơi nhiễm lỗ hổng ngay cả khi chủ sở hữu không có ý định chặn quảng cáo.

"Các chứng chỉ eMudhra bị xâm phạm mở ra rất nhiều cơ hội để hiểu và giả mạo các yêu cầu mạng từ thiết bị nhúng, đặc biệt là những thiết bị không còn nhận được bản cập nhật bảo mật", Vrátil nói. "Và dù việc thay quảng cáo trên màn hình chính bằng ảnh gia đình tôi rất vui, lỗ hổng này còn vô số ứng dụng nguy hiểm hơn nhiều."

Bản thân Vrátil vẫn đang tìm cách chặn bản cập nhật firmware có thể vô hiệu hóa phương pháp của mình, dù anh thừa nhận điều đó tự nó cũng là một rủi ro bảo mật.

Góc nhìn

Câu chuyện này là lời nhắc nhở rõ ràng về cái giá của việc thiết bị IoT phụ thuộc vào chuỗi chứng chỉ tin cậy mà chủ sở hữu không kiểm soát được. Với doanh nghiệp và kỹ sư phát triển thiết bị nhúng, việc thiết kế cơ chế cập nhật chứng chỉ, hỗ trợ firmware dài hạn và kiểm soát lưu lượng mạng ra của thiết bị cần được đặt lên bàn ngay từ đầu, thay vì để lại như một vấn đề của tương lai.

Về phía người dùng, việc chặn quảng cáo bằng cách dựa vào một CA đã bị xâm phạm là con dao hai lưỡi: nó chặn được quảng cáo và theo dõi, nhưng đồng thời khiến TV dễ bị nghe lén và giả mạo phản hồi. Các giải pháp chặn quảng cáo ở cấp DNS hoặc ở router vẫn an toàn hơn nhiều so với việc trông đợi thiết bị tiếp tục tin tưởng một CA đã mất uy tín.