Layanan streaming teratas menyukai Netflix Dan Disney+ telah melakukan investasi berkelanjutan selama bertahun -tahun untuk mengunci konten mereka. Setiap kali mereka bisa, mereka mencegah pengguna mengakses video tanpa berlangganan atau menonton konten yang diblokir di wilayah. Temuan baru yang disajikan hari ini di Defcon Konferensi keamanan di Las Vegas, menunjukkan bahwa platform streaming yang digunakan untuk hal -hal seperti siaran perusahaan internal dan streaming streaming olahraga dapat berisi kelemahan desain dasar yang memungkinkan siapa saja untuk mengakses sejumlah besar konten tanpa masuk.
Peneliti independen Farzan Karimi pertama kali menyadari bertahun -tahun yang lalu bahwa salah konfigurasi dalam antarmuka pemrograman aplikasi, atau API, mengekspos konten streaming ke akses yang tidak sah. Pada tahun 2020 ia mengungkapkan satu set kelemahan tersebut kepada Vimeo yang dapat memungkinkannya untuk mengakses hampir 2.000 pertemuan perusahaan internal bersama dengan jenis streaming langsung lainnya. Perusahaan dengan cepat memperbaiki masalah pada saat itu, tetapi temuan meninggalkan Karimi dengan kekhawatiran bahwa masalah serupa bisa bersembunyi di platform lain.
Bertahun -tahun kemudian, ia menyadari bahwa dengan memperbaiki teknik untuk memetakan bagaimana API mengambil data dan berinteraksi, ia dapat mencari platform rentan lainnya. Di DEFCON, Karimi menyajikan temuan tentang paparan saat ini dalam satu platform streaming olahraga utama – ia tidak memberi nama situs karena masalah belum diselesaikan – dan merilis alat untuk membantu orang lain mengidentifikasi masalah di situs tambahan.
“Untuk perusahaan semua tangan atau pertemuan sensitif lainnya, mungkin ada informasi internal utama yang dibagikan – CEO atau eksekutif lain berbicara tentang PHK atau kekayaan intelektual sensitif,” kata Karimi kepada Wired menjelang pembicaraan konferensi. “Anda dapat melihat pola yang buruk muncul dalam seberapa mudah Anda dapat menghindari otentikasi untuk mengakses aliran, tetapi kelas masalah ini sebelumnya dianggap membutuhkan pengetahuan mendalam tentang bisnis yang diberikan untuk diidentifikasi.”
API adalah layanan yang mengambil dan mengembalikan data kepada siapa pun yang memintanya. Karimi memberikan contoh bahwa Anda dapat mencari filmnya Fight Club Pada platform streaming, dan streaming untuk film mungkin kembali dengan informasi tentang panjang film, trailer, aktor dalam film, dan metadata lainnya. Beberapa API bekerja bersama untuk merakit semua informasi ini dengan masing -masing mengambil jenis data tertentu. Demikian pula, jika Anda mencari Brad Pitt, satu set API akan berinteraksi untuk memberikan Fight Club bersama dengan film lain yang dia bintangi Troy Dan Tujuh. Beberapa API ini dirancang untuk membutuhkan bukti otentikasi sebelum mereka akan mengembalikan hasil, tetapi jika suatu sistem tidak diteliti secara mendalam, adalah umum bagi API lain untuk mengembalikan data secara membabi buta tanpa memerlukan bukti otorisasi pada asumsi bahwa hanya pemohon yang diautentikasi yang akan berada dalam posisi untuk mengirim kueri.
“Seringkali pada dasarnya ada empat, lima, sejumlah API yang memiliki semua metadata ini, dan jika Anda tahu cara melacaknya, Anda dapat membuka kunci konten paywalled secara gratis,” kata Karimi. “Ini adalah model ‘keamanan melalui ketidakjelasan’ di mana mereka tidak akan pernah berpikir bahwa seseorang akan dapat secara manual menghubungkan titik -titik antara API ini. Otomatisasi yang saya perkenalkan, bagaimanapun, membantu menemukan kekurangan otorisasi ini dengan cepat pada skala.”
Karimi menekankan bahwa layanan streaming teratas sebagian besar terkunci dan mengoreksi kesalahan konfigurasi API tersebut sejak lama atau menghindarinya sejak awal. Tetapi dia menekankan bahwa platform yang lebih utilitarian untuk streaming perusahaan dan acara langsung lainnya-termasuk kamera yang selalu ada di arena olahraga dan tempat-tempat lain yang dimaksudkan untuk hanya dapat diakses pada waktu-waktu tertentu-kemungkinan rentan dan mengekspos video yang dianggap dilindungi.
