Безбедносниот пропуст кај индиската компанија eMudhra доби необична примена на паметен телевизор Samsung: чешкиот развивач Даниел Вратил успеал рекламите на почетниот екран да ги замени со фотографии од својата домашна мрежа.

eMudhra претходно работеше како јавно доверлив издавач на HTTPS сертификати и има издадено повеќе од 60 милиони дигитални сертификати. Меѓутоа, осум нејзини приватни клучеви за посреднички сертификати биле откриени како исклучително слаби. Еден од нив бил составен само од бројот четири, додека другите користеле двоцифрени или трицифрени комбинации. Компанијата подоцна објави дека престанува со издавање сертификати и го поврза проблемот со софтверска скрипта за генерирање клучеви.

Таквата слабост овозможува создавање лажни сертификати за домени што уредот сè уште ги смета за доверливи. Во случајот на Вратил, негов Samsung телевизор од 2022 година сè уште не добил ажурирање што би ја отстранило довербата во компромитираните сертификати на eMudhra.

Тој го насочил сообраќајот на телевизорот преку mitmproxy, алатка за анализа на HTTPS комуникација, за да утврди со кои домени и интернет-адреси комуницира уредот. Така го анализирал начинот на кој телевизорот прима реклами и утврдил дека активностите од интерфејсот се испраќаат до рекламни сервери, кои потоа враќаат податоци во JSON формат за прикажување содржина на почетниот екран.

Со сертификат потпишан со компромитиран клуч и со пренасочување на барањата кон локален сервер, Вратил ги заменил рекламните содржини со семејни фотографии сместени на негов NAS уред. Дополнително, неговото решение отфрла дел од другите барања кон истите рекламни домени, вклучително и оние поврзани со следење на користењето.

Проектот е објавен на GitHub, но не е готово решение за секој телевизор. За употреба е потребно корисникот сам да го испита мрежниот сообраќај на својот модел и да го приспособи кодот. Засега нема придонеси за поддршка на други уреди.

Методот има јасна цена: телевизорот останува изложен на ризици што произлегуваат од довербата во компромитирани сертификати. Штом Samsung испорача безбедносно ажурирање што ќе ги отповика, пристапот би престанал да работи. Особено проблематични може да бидат постарите телевизори без софтверска поддршка, бидејќи токму тие би можеле трајно да останат ранливи.