Risker och problem
I början uppdateras en uppkopplad smart-tv per automatik, men många tillverkare slutar ganska snart att skicka uppdateringar. Det kan vara sårbarheter som är unika för själva produkten, men det kan också vara mer generella svagheter i till exempel det operativsystem eller kommunikationsprotokoll som används. Eftersom utvecklingen av uppkopplade enheter går fort framåt är det många tillverkare som lämnar utvecklingen av tidigare produkter ganska kort efter att de har lanserats. I fallet som vi har tittat på lanserades tv-modellen 2014 och den sista uppdateringen kom 2018, alltså bara 4 år senare. Det här kan vara ett stort problem om det handlar om produkter som köparen förväntas använda under en längre tid.
Vid automatisk uppdatering skickas den senaste mjukvaran i form av en krypterad fil. Krypteringsnyckeln till den här filen har läckt ut och finns tillgänglig online, vilket gör det lätt för den som vill att titta på vad mjukvaran innehåller och skapa en egen version fast med skadligt innehåll. I testet hittade vi ytterligare krypteringsnycklar i själva mjukvaran men vi har inte lyckats bekräfta när och hur de används.
Mjukvaruuppdatering
Det största problemet med den testade modellen är hanteringen av mjukvaruuppdateringar. Tv:n skickar regelbundet (eller på användarens kommando) förfrågningar till en specifik URL för att se om det finns någon uppdatering tillgänglig. Denna förfrågning görs genom ett äldre protokoll, som kallas HTTP och inte den nyare formen HTTPS, vilket medför att tv:n inte kan verifiera identiteten av servern som svarar på förfrågan.
HTTPS
Förutom att erbjuda kryptering mellan server och klient ger HTTPS möjligheten att verifiera identiteten hos en server. Det sker genom att servern skickar ett certifikat som har signerats av en tredje part som både klienten och servern litar på. Klienten kan på så sätt verifiera att servern faktiskt är den som den utger sig för att vara.
DNS-spoofing
DNS används för att översätta ett domännamn i form av en inskriven webbadress till en sifferbaserad IP-adress. Genom att använda sig av DNS-spoofing är det möjligt att lura användare genom att göra den här översättningen så att ett visst domännamn ger en annan IP-adress. I vårt fall kan vi lura smart-tv:n att fråga efter uppdateringar hos en server som vi kontrollerar i stället för den som tillverkaren driver. Om kommunikationen sker över HTTPS kan den här typen av attack upptäckas av användaren, (i det här fallet smart-tv:n), genom det certifikat som servern skickar för att upprätta anslutningen. Ett sådant certifikat saknas för HTTP vilket gör att den kontrollen uteblir.
Uppdateringsprocessen
När tv:n frågar efter tillgängliga uppdateringar får den ett svar som säger om det finns en uppdatering och en länk som visar var den kan laddas ner. Om man kontrollerar servern som tv:n kommunicerar med, är det möjligt att svara med en länk till en modifierad mjukvara som kan användas för att ta kontroll över tv:n. Nedladdningen av själva mjukvaran till den här modellen sker över HTTP, det gör det möjligt att använda samma DNS-spoofing-teknik till att både besvara frågan om ny mjukvara och själva nedladdningen av den.