Hacking Ginga: uma avaliação de segurança da plataforma de aplicações interativas da TV digital brasileira
Resumo
Este artigo apresenta resultados preliminares obtidos pelo CPqD na avaliação de segurança de algumas tecnologias da televisão digital interativa (TVDi) brasileira. Em particular, as aplicações interativas e os receptores de TVDi de prateleira embarcados com Ginga-NCL e Lua. Foram identificadas e documentadas diversas vulnerabilidades de programação insegura. Varreduras de vulnerabilidades e testes de segurança em receptores revelaram vulnerabilidades graves tanto de configuração dos sistemas subjacentes quanto de proteção de aplicações.Referências
ABNT NBR 15605-1 (2008). Associação Brasileira de Normas Técnicas. Televisão digital terrestre - Tópicos de Segurança. Parte 1: Controle de cópias. ABNT 2008. ISBN 978-85-07-01041-8
ABNT NBR 15605-2 (em preparação). Associação Brasileira de Normas Técnicas. Televisão digital terrestre - Tópicos de Segurança. Parte 2: Mecanismos de segurança para aplicativos interativos.
Anderson, R. (1993). Why cryptosystems fail. In Proceedings of the 1st ACM Conference on Computer and Communications Security (Fairfax, Virginia, United States, November 03 - 05, 1993). CCS '93. ACM, New York, NY, 215-227.
Barbosa, S. D. J. e Soares, L. F. G. (2008). TV Digital Interativa no Brasil se Faz com Ginga - Fundamentos, Padrões, Autoria Declarativa e Usabilidade. Livro da Jornada de Atualização em Informática (JAI), Capítulo 3. Congresso da Sociedade Brasileira de Computação. 2008.
Bickford, J., O'Hare, R., Baliga, A., Ganapathy, V., and Iftode, L. (2010) Rootkits on smart phones: attacks, implications and opportunities. In Proceedings of the Eleventh Workshop on Mobile Computing Systems & Applications (Annapolis, Maryland, February 22 - 23, 2010). HotMobile '10. ACM, New York, NY, 49-54. 2010.
Braga, A. M. e Restani, G.S. (2010). Análise de segurança de receptores de TV Digital Interativa, de GINga-NCL e de Lua. Relatório Técnico PD.30.12.34A.0013A/RT-02-AA, resultado do projeto Serviço Multiplataforma de TV Interativa - SMTVI, meta Serviço T-Commerce (M6), junho, 2010. Fundação CPqD, Campinas, SP.
Cai, L., Machiraju, S., and Chen, H. (2009) Defending against sensor-sniffing attacks on mobile phones. In Proceedings of the 1st ACM Workshop on Networking, Systems, and Applications For Mobile Handhelds (Barcelona, Spain, August 17 - 17, 2009). MobiHeld '09. ACM, New York, NY, 31-36. 2009.
Carvalho, D. F., Milanez, M. G., Avelino, M. J. B., Bruschi, S. M., e Goularte, R. (2007) SecBox: Uma abordagem para segurança de set-top boxes em TV Digital. Anais do VII Simpósio Brasileiro em Segurança da Informação e de Sistemas Computacionais. ISBN: 978-85-7669-127-3.
CWE/SANS Top 25 (2010). CWE/SANS Top 25 Most Dangerous Programming Errors. Version 2.0, 2010. https://cwe.mitre.org/top25 e https://www.sans.org/top25-programming-errors.
Honorato, G. d. and Barbosa, S. D. (2010). NCL-inspector: towards improving NCL code. In Proceedings of the 2010 ACM Symposium on Applied Computing (Sierre, Switzerland, March 22 - 26, 2010). SAC '10. ACM, New York, NY, 1946-1947
Howard, M. and LeBlanc, D. (2002). Writing Secure Code, Second Edition. December 04, 2002. ISBN 9780735617223
Hypponen, M. (2007). State of Cell Phone Malware in 2007. USENIX. Disponível on-line na URL https://www.usenix.org/events/sec07/tech/hypponen.pdf
Kocher, P., Lee, R., McGraw, G., and Raghunathan, A. (2004). Security as a new dimension in embedded system design. In Proceedings of the 41st Annual Design Automation Conference (San Diego, CA, USA, June 07 - 11, 2004). DAC '04. ACM, New York, NY, 753-760.
Lerusalimschy, R. (2003). Programming in Lua, 1st. Ed. 2003. ISBN 85-903798-1-7. https://www.lua.org/pil.
Lerusalimschy, R.(2009). Uma Introdução à Programação em Lua. Livro da Jornada de Atualização em Informática (JAI), Capítulo 3. Congresso da Sociedade Brasileira de Computação. 2009.
Lerusalimschy, R., Figueiredo L. H. e Celes, W. (2006). Lua 5.1 Reference Manual. 2006. ISBN 85-903798-3-3. https://www.lua.org/manual/5.1/pt.
Oberheide, J. and Jahanian, F. (2010) When mobile is harder than fixed (and vice versa): demystifying security challenges in mobile environments. In Proceedings of the Eleventh Workshop on Mobile Computing Systems & Applications (Annapolis, Maryland, February 22 - 23, 2010). HotMobile '10. ACM, New York, NY, 43-48. 2010.
Oberheide, J., Veeraraghavan, K., Cooke, E., Flinn, J., and Jahanian, F. (2008) Virtualized in-cloud security services for mobile devices. In Proceedings of the First Workshop on Virtualization in Mobile Computing (Breckenridge, Colorado, June 17 - 17, 2008). MobiVirt '08. ACM, New York, NY, 31-35. 2008.
OWASP Top 10 (2010). The Ten Most Critical Web Application Security Risks. 2010. https://www.owasp.org/index.php/Category:OWASP_Top_Ten_Project.
Ravi, S., Raghunathan, A., Kocher, P., and Hattangady, S. 2004. Security in embedded systems: Design challenges. ACM Trans. Embed. Comput. Syst. 3, 3 (Aug. 2004), 461-491.
Traynor, P., Lin, M., Ongtang, M., Rao, V., Jaeger, T., McDaniel, P., and La Porta, T. (2009) On cellular botnets: measuring the impact of malicious devices on a cellular network core. In Proceedings of the 16th ACM Conference on Computer and Communications Security (Chicago, Illinois, USA, November 09 - 13, 2009). CCS '09. ACM, New York, NY, 223-234. 2009.
Viega, J. and McGraw, G. (2001). Building Secure Software: How to Avoid Security Problems the Right Way. Addison-Wesley Professional. October 4, 2001. ISBN 978-0201721522.
ABNT NBR 15605-2 (em preparação). Associação Brasileira de Normas Técnicas. Televisão digital terrestre - Tópicos de Segurança. Parte 2: Mecanismos de segurança para aplicativos interativos.
Anderson, R. (1993). Why cryptosystems fail. In Proceedings of the 1st ACM Conference on Computer and Communications Security (Fairfax, Virginia, United States, November 03 - 05, 1993). CCS '93. ACM, New York, NY, 215-227.
Barbosa, S. D. J. e Soares, L. F. G. (2008). TV Digital Interativa no Brasil se Faz com Ginga - Fundamentos, Padrões, Autoria Declarativa e Usabilidade. Livro da Jornada de Atualização em Informática (JAI), Capítulo 3. Congresso da Sociedade Brasileira de Computação. 2008.
Bickford, J., O'Hare, R., Baliga, A., Ganapathy, V., and Iftode, L. (2010) Rootkits on smart phones: attacks, implications and opportunities. In Proceedings of the Eleventh Workshop on Mobile Computing Systems & Applications (Annapolis, Maryland, February 22 - 23, 2010). HotMobile '10. ACM, New York, NY, 49-54. 2010.
Braga, A. M. e Restani, G.S. (2010). Análise de segurança de receptores de TV Digital Interativa, de GINga-NCL e de Lua. Relatório Técnico PD.30.12.34A.0013A/RT-02-AA, resultado do projeto Serviço Multiplataforma de TV Interativa - SMTVI, meta Serviço T-Commerce (M6), junho, 2010. Fundação CPqD, Campinas, SP.
Cai, L., Machiraju, S., and Chen, H. (2009) Defending against sensor-sniffing attacks on mobile phones. In Proceedings of the 1st ACM Workshop on Networking, Systems, and Applications For Mobile Handhelds (Barcelona, Spain, August 17 - 17, 2009). MobiHeld '09. ACM, New York, NY, 31-36. 2009.
Carvalho, D. F., Milanez, M. G., Avelino, M. J. B., Bruschi, S. M., e Goularte, R. (2007) SecBox: Uma abordagem para segurança de set-top boxes em TV Digital. Anais do VII Simpósio Brasileiro em Segurança da Informação e de Sistemas Computacionais. ISBN: 978-85-7669-127-3.
CWE/SANS Top 25 (2010). CWE/SANS Top 25 Most Dangerous Programming Errors. Version 2.0, 2010. https://cwe.mitre.org/top25 e https://www.sans.org/top25-programming-errors.
Honorato, G. d. and Barbosa, S. D. (2010). NCL-inspector: towards improving NCL code. In Proceedings of the 2010 ACM Symposium on Applied Computing (Sierre, Switzerland, March 22 - 26, 2010). SAC '10. ACM, New York, NY, 1946-1947
Howard, M. and LeBlanc, D. (2002). Writing Secure Code, Second Edition. December 04, 2002. ISBN 9780735617223
Hypponen, M. (2007). State of Cell Phone Malware in 2007. USENIX. Disponível on-line na URL https://www.usenix.org/events/sec07/tech/hypponen.pdf
Kocher, P., Lee, R., McGraw, G., and Raghunathan, A. (2004). Security as a new dimension in embedded system design. In Proceedings of the 41st Annual Design Automation Conference (San Diego, CA, USA, June 07 - 11, 2004). DAC '04. ACM, New York, NY, 753-760.
Lerusalimschy, R. (2003). Programming in Lua, 1st. Ed. 2003. ISBN 85-903798-1-7. https://www.lua.org/pil.
Lerusalimschy, R.(2009). Uma Introdução à Programação em Lua. Livro da Jornada de Atualização em Informática (JAI), Capítulo 3. Congresso da Sociedade Brasileira de Computação. 2009.
Lerusalimschy, R., Figueiredo L. H. e Celes, W. (2006). Lua 5.1 Reference Manual. 2006. ISBN 85-903798-3-3. https://www.lua.org/manual/5.1/pt.
Oberheide, J. and Jahanian, F. (2010) When mobile is harder than fixed (and vice versa): demystifying security challenges in mobile environments. In Proceedings of the Eleventh Workshop on Mobile Computing Systems & Applications (Annapolis, Maryland, February 22 - 23, 2010). HotMobile '10. ACM, New York, NY, 43-48. 2010.
Oberheide, J., Veeraraghavan, K., Cooke, E., Flinn, J., and Jahanian, F. (2008) Virtualized in-cloud security services for mobile devices. In Proceedings of the First Workshop on Virtualization in Mobile Computing (Breckenridge, Colorado, June 17 - 17, 2008). MobiVirt '08. ACM, New York, NY, 31-35. 2008.
OWASP Top 10 (2010). The Ten Most Critical Web Application Security Risks. 2010. https://www.owasp.org/index.php/Category:OWASP_Top_Ten_Project.
Ravi, S., Raghunathan, A., Kocher, P., and Hattangady, S. 2004. Security in embedded systems: Design challenges. ACM Trans. Embed. Comput. Syst. 3, 3 (Aug. 2004), 461-491.
Traynor, P., Lin, M., Ongtang, M., Rao, V., Jaeger, T., McDaniel, P., and La Porta, T. (2009) On cellular botnets: measuring the impact of malicious devices on a cellular network core. In Proceedings of the 16th ACM Conference on Computer and Communications Security (Chicago, Illinois, USA, November 09 - 13, 2009). CCS '09. ACM, New York, NY, 223-234. 2009.
Viega, J. and McGraw, G. (2001). Building Secure Software: How to Avoid Security Problems the Right Way. Addison-Wesley Professional. October 4, 2001. ISBN 978-0201721522.
Publicado
11/10/2010
Como Citar
BRAGA, Alexandre Melo; RESTANI, Gilmara Santos.
Hacking Ginga: uma avaliação de segurança da plataforma de aplicações interativas da TV digital brasileira. In: SIMPÓSIO BRASILEIRO DE SEGURANÇA DA INFORMAÇÃO E DE SISTEMAS COMPUTACIONAIS (SBSEG), 10. , 2010, Fortaleza.
Anais [...].
Porto Alegre: Sociedade Brasileira de Computação,
2010
.
p. 213-226.
DOI: https://doi.org/10.5753/sbseg.2010.20589.
