Moje odkazy

• Nabídka služeb
• Relational pipes
• SQL-Výuka.cz
• SQL-DK
• Nekuřák.cz
• i1984.cz
• Telekomunikační slovník

Ostatní odkazy

• GNU.org
• FSF.org
• Monča.cz

Včera 6. května byl Mezinárodní den boje proti DRM (Digital Restrictions Management). DRM obecně jsou technologie, které škodí uživatelům a brání jim v tom, aby mohli používat svůj majetek (např. počítač nebo datové nosiče). Typicky se jedná o malware a další škodlivé prostředky.

Jednou z technologií postižených DRM je DVD. Pokud jste tak poctiví nebo zoufale nemoderní jako já, potřebujete občas nějaké to DVD přehrát. Řada DVD nosičů je kontaminována DRM ve formě Content Scramble System (CSS), což brání jejich přehrávání. Stejně jako jiné ochrany proti kopírování, je i tato na nic a byla prolomena – už před řadou let, v říjnu 1999 – problém byl tedy vyřešen a stačí nám nainstalovat knihovnu libdvdcss.

Jenže to by bylo moc jednoduché. Kromě technologických škůdců vytvářejících DRM vstupují do hry i právničtí škůdci, kteří vám budou bránit v šíření softwaru kompenzujícího chyby DRM (výše uvedená knihovna je svobodný software a z licenčního ani morálního hlediska jejímu šíření nic nebrání). V důsledku jejich činnosti nemůže většina distribucí obsahovat přímo tuto knihovnu – vývojáři jednoduše nechtějí čelit teroru ze strany státní moci, a tak balíček raději nezařadili.

Důsledkem je, že si uživatel nemůže přehrát DVD (některá nepostižená ano, ale většinu ne). Stejně jako se podařilo obejít technický problém (DeCSS), podařilo se obejít i právní problém. Distribuce neobsahují přímo balíček, ale pouze skript pro jeho stažení. Návodů existuje řada (např. pro Ubuntu), takže i pro běžného uživatele je to jednoduše řešitelné. Bohužel.

Proč bohužel? Tohle právě bývá častý bezpečnostní problém a díra do jinak bezpečného systému. Asi už jste narazili na návody typu:

curl http://example.com/installer | php

Tohle je právě zlo. Stáhnete si cosi z Internetu a spustíte (nejlépe s právy roota). Stahujete po nešifrovaném protokolu a nekontrolujete žádné podpisy, takže kdokoli po cestě vám může podstrčit vlastní kód a vy ho pak spustíte. Není to vůbec nereálné – nepředstavujte si nějakého pomateného úchyla, který celé dny vysedává napíchnutý na vaší lince a čeká, až si zrovna budete stahovat knihovnu k přehrávání filmů. Existuje software, který dělá takovou injektáž automatizovaně a za letu. Takový software si může pořídit třeba policie, tajná služba, zločinnecká organizace ve vašem městě, nebo třeba někdo, kdo se nudí nebo chce postavit botnet a pak ho prodat kyberteroristům.

A podobně vypadá ten skript na instalaci knihovny DeCSS. Najít ho můžete zhruba tady: /usr/share/doc/libdvdread4/install-css.sh. Sice nemá jeden řádek, nýbrž cca sto, ale dělá v principu totéž – nic složitého. Zjistí, jakou máte verzi OS a architekturu, stáhne příslušný balíček a nainstaluje ho.

Nainstaluje balíček stažený z Internetu bez jakýchkoli kontrol – což se rovná spuštění kódu staženého z Internetu s právy roota (balíček může obsahovat po-instalační skript, navíc ta knihovna či program se typicky instalují, aby byly spouštěny). Kdokoli cestou mezi serverem (download.videolan.org) a vaším počítačem vám tam mohl podstrčit svůj malware/backdoor.

Je to jako dát si k hlavě pistoli, kterou jste našli na ulici, a při stisknutí spouště doufat, že není nabitá.

Obcházet (jak po technické, tak právní stránce) DRM je správné, třeba jim jednou dojde, že to nemá smysl a nemohou vyhrát. Ale musíme při tom dávat pozor, aby nedocházelo k vedlejším ztrátám, ke kterým to bohužel často svádí.

Všechny tyto skripty je potřeba opravit. Skript by měl minimálně kontrolovat elektronický podpis autora. Pokud věříte autorovi, můžete pak věřit i staženému programu. Autoři DeCSS balíčky již teď podepisují – hned vedle těch binárek je .dsc soubor s PGP podpisem. O to smutnější je, že ho skript nekontroluje.

Jak získat veřejný klíč autora a jak ho bezpečně distribuovat k uživatelům a jak vůbec rozhodnout, zda je autor důvěryhodný… to je zase jiná kapitola. Pro začátek bude ale zlepšením to, že vyloučíme MITM útok na lince mezi námi a serverem autora. Mj. tím zabráníme selektivním útokům na konkrétní oběti a usnadníme odhalení útočníka – k infikovaným souborům bude mít přístup veřejnost, nepůjde jen o jeden za letu změněný soubor určený jedné oběti. Bude to lépe zdokumentované a zpětně snáze dohledatelné.

Co můžete udělat vy teď hned:

• nepoužívat věci postižené DRM – je to chyba těch výrobců, že použili DRM, ne vaše – nekupujte od nich
• když nějaký takový balíček stahujete a instalujte, stáhněte ho z víc míst, z více různých sítí (např. doma, ve škole, v práci) a zkontrolujte otisky (např. sha512sum libdvdcss*.deb by vám měl dát všude stejný výsledek)
• zkontrolujte elektronický podpis, pokud ho autor přiložil, a pokud máte možnost získat nějakou důvěryhodnou cestou veřejný klíč autora (např. od lidí, kteří ho znají osobně)
• podívejte se dovnitř balíčku (stačí ho otevřít např. v Midnight Commanderu) a zkontrolujte po-instalační skripty – to je nejsnazší cesta, jak balíček infikovat
• takto stažené soubory si zazálohujte na externí médium – ať máte důkazy pro vyšetřování případného bezpečnostního incidentu

Opatření to nejsou stoprocentní, ale lepší než nic. Jak pravil Konfucius:

Je lepší rozsvítit, byť jen malou svíčku, než proklínat temnotu.