Las protecciones mediante DRM son utilizadas por la industria para entorpecer el intercambio de contenidos de pago entre usuarios, haciendo que este contenido sea dependiente de la plataforma en la que se obtiene. Para visualizarlos Chrome utiliza la tecnología Widevine DRM, que se encarga de cifrar los vídeos de plataformas premium como Netflix, YouTube Red o Amazon Prime.
Pero tal y como leemos en WIRED, un grupo de investigadores de seguridad de Israel y Alemania han descubierto una vulnerabilidad en la manera en la que Google implementa Widevine en Chrome, aprovechándose de la cual han sido capaces de crear una herramienta experimental que extrae automáticamente los vídeos protegidos que se consumen con el navegador.
Un bug simple, pero aún sin solucionar
Widevine permite que el módulo de descifrado de contenido del navegador se comunique con el sistema de protección de Netflix y otras servicios de streaming para que nos envíen sus vídeos cifrados. Los sistemas de DRM se tienen que asegurar de que ese contenido descifrado sólo se pueda consumir en el navegador desde el que se está accediendo a él.
Pero el de Google permite poder copiar los vídeos mientras se reproducen. Sólo tenemos que acceder a ellos en el trayecto que los lleva del módulo de descifrado al reproductor. Esto es algo que según los investigadores puede solucionarse con un simple parche, aunque admiten que si quieren buscar una solución que evite futuros problemas similares Google tendrá que meterle mano al código de la tecnología Widevine, de la cual son dueños pero que ellos no crearon.
Los investigadores han hecho pública la vulnerabilidad 90 días después de comunicársela a Google, aunque la empresa del buscador aún no la ha solucionado. No parece una coincidencia que el plazo sea el mismo que le da Google a los demás con su Project Zero, y del que tanto se ha quejado media industria al considerarlo insuficiente.
Pero ojo porque el problema podría ser más serio y amplio de lo que parece. En unas declaraciones a WIRED, un portavoz de Google ha declarado que el fallo podría replicarse en el proyecto de código abierto Chromium, lo que quiere decir que podría afectar a todos los navegadores basados en él, prácticamente todos excepto unos Safari, Firefox, Internet Explorer, o Edge que utilizan módulos DRM diferentes.
Vía | WIRED
En Genbeta | Los 90 días de plazo del Project Zero de Google traen de cabeza a medio Mountain View
Ver 3 comentarios