La guerre entre les pirates et Hollywood pourrait repartir de plus belle ! Les studios avaient pourtant trouvé une arme redoutable avec les DRM (Digital Rights Management), des technologies pour empêcher la copie et la diffusion illégales de films. C’était compter sans un bug dans le navigateur Chrome de Google. Deux chercheurs en sécurité ont découvert qu’il était possible d’exploiter cette faille pour intercepter les vidéos diffusées sur Chrome par des sites tels que Netflix et Amazon Prime. Dans la vidéo ci-dessous, David Livshits, de l’université Ben-Gurion en Israël, et Alexandra Mikityuk, des laboratoires Telekom Innovation à Berlin, donnent une preuve de ce qu’ils avancent.
La vidéo montre l’écran d’un ordinateur sous Windows 7, utilisant la version 50 du navigateur Chrome. Une vidéo protégée par DRM (accessible sur le site demo.castlabs.com) est capturée lors de sa lecture puis sauvegardée sur le disque dur en version comprimée (H.264) et non comprimée. Ensuite, la vidéo sauvegardée est lue par un autre lecteur multimédia.
Le problème vient de la technologie Widevine, détenue depuis 2010 par une filiale de Google et utilisée par Chrome pour diffuser des vidéos protégées. En particulier, le module de décryptage de contenu (CDM pour Content Decryption Module) n’est pas correctement sécurisé. Après les échanges de clés et de licences, la vidéo protégée est décryptée par le module CDM, puis transmise au lecteur vidéo du navigateur. Avec Chrome, cette transmission n’est pas sécurisée et peut donc être interceptée pour sauvegarder la vidéo.
Une faille très simple à corriger
Les deux chercheurs ont alertés Google le 24 mai au sujet de ce bug qu’ils qualifient de « très simple » sans pour autant en révéler les détails. Google n’a pour l’instant pas annoncé de correctif mais Livshits et Mikityuk estiment que la faille peut être facilement colmatée. Pour cela, il faut modifier l’utilisation du module CDM afin qu’il s’exécute dans une zone de mémoire protégé (Trusted Execution Environment) afin que la vidéo ne puisse pas être interceptée.
Notons que les navigateurs Firefox et Opéra utilisent aussi la technologie de protection Widevine, mais que les chercheurs n’ont pas vérifié si la faille était présente. Safari d’Apple et Internet Explorer/Edge de Microsoft n’utilisent pas Widevine, mais leurs propres modules CDM.
Selon le site Wired, un porte-parole de Google a répondu que le problème était en cours d’examen, mais concernait aussi tous les navigateurs conçu à partir du code open source Chromium, dont Chrome constitue une variation. En clair, ce n’est pas parce Google aura corrigé le problème dans Chrome que des développeurs ne pourront pas concevoir des navigateurs exploitant le bug. Mais il n’est pas exclu que les fournisseurs de vidéos protégées fassent pression sur Google pour que le problème soit rapidement résolu sur Chrome, le navigateur actuellement le plus utilisé, si des piratages importants venaient à se produire.
🔴 Pour ne manquer aucune actualité de 01net, suivez-nous sur Google Actualités et WhatsApp.
