Основатель и глава исследовательской компании AG Security Research Адам Говдяк сообщил, что обнаружил уязвимость в технологии защиты контента PlayReady от Microsoft. По его словам, благодаря этому эксплойту пользователи могут незаконно скачивать фильмы со стриминговых сервисов.
PlayReady — технология предотвращения копирования медиаконтента, которую используют международные стриминговые сервисы. Она включаtn в себя шифрование, предотвращение вывода и DRM. В Microsoft называют её «самой широко распространённой технологией защиты контента в мире».
Говдяк ещё в 2022 году заявлял, что ему удалось скачать контент, защищённый PlayReady. Тогда речь шла о премиальной VOD-платформу в Польше Canal+. Исследование Говдяка включало взлом ТВ-приставок для получения ключей, которые нужны для доступа к защищённому контенту.
Canal+ не стала реагировать на попытки эксперта продемонстрировать уязвимость, а спустя год закрыла платформу, так и не признав работу Говдяка. В Microsoft, в свою очередь, заявили, что «описанные проблемы касаются настроек, контролируемых поставщиком услуг, и безопасности стороннего клиента». Представители корпорации подчеркнули, что проблема была не в службе или клиенте Microsoft. После этого Говдяк продолжил изучать безопасность PlayReady.
В новом исследовании глава AG Security Research обошёлся без взлома телевизионных приставок. Построенная им стратегия атаки была направлена на технологии Protected Media Path (PMP), которые обеспечивают безопасность контента в средах Windows. Кроме того, Говдяк пытался получить доступ к контенту через компилятор Warbird, разработанный Microsoft для усложнения реверс-инжиниринга компонентов Windows.
По словам эксперта, найденные им уязвимости могут быть использованы для получения доступа к текстовым ключам контента. Благодаря использованию этих ключей злоумышленники могут расшифровать контент популярных стриминговых сервисов.
Атака идёт через использование временного окна, в течение которого ключи контента имеют XOR-форму. Текстовое значение этих ключей может быть получено посредством простой операции XOR с 128-битной ключевой magic-последовательностью, говорится в блоге Security Explorations. Тесты показали, что в выпущенных после 2022 года версии Windows используются только две такие последовательности — одна для Windows 10, другая для Windows 11.
В блоге Security Explorations также опубликованы видеоролики, в которых показан процесс загрузки фильмов с Canal+ и получения ключа контента для фильма Netflix. Отмечается, что эта стратегия может работать и на других платформах, в том числе HBO Max, Amazon Prime Video и Sky Showtime.
По словам Говдяка, ему удалось скачать фильмы в HD-качестве на локальный накопитель после загрузки в приложении для просмотра офлайн. Эти файлы эксперт смог открыть с помощью Windows Media Player. Говдяк утверждает, что злоумышленнику нужны только Windows и доступ (подписка) к стриминговой платформе.
Никаких технических подробностей глава AG Security Research пока не предоставил, в том числе самой Microsoft. Говдяк лишь отметил, что использование эксплойта оказалось не таким простым: исследование заняло девять месяцев, без учёта шести месяцев, потраченных на анализ PlayReady в 2022 году. Microsoft запросила дополнительную информацию о проблеме, однако Говдяк заявил, что готов ей поделиться с корпорацией лишь в рамках коммерческого соглашения: эксперт остался недоволен тем, как Microsoft по сути проигнорировала его прошлое исследование.
