MARIO449830 escribió:A mí en DMAX me salió lo de las cookies, pero servicio hbbtv 0
En DMAX están
haciendo promociones creo que de la caixa, cuando sale su anuncio pulsando el boton verde te venden la moto de que te dan un patinete electrico o algo asi... primero ponen un corte con un anuncio que te avisan que el siguiente anuncio tiene sorteo, y cuando emiten el siguiente anuncio sale un menu raro por encima, pero estoy de vacaciones y pasé de mirarlo.
En cuanto a LOVES el servicio ha ido degradándose y sigue implementado de forma desastrosa incluso en televisores con buen cpu la fluidez del UX es muy pobre ademas de que cada vez más cosas están excluidas del U7D, ademas el proveedor esta cambiando la forma de autorizar los enlaces intentando dificultar la reproduccion de contenidos fuera de su app.
Nada es gratis
LOVES es basicamente un Anevia Flamingo conectado a la tdt y algunos apis que sube video dash a amazon, lo cual tiene un coste bastante grande, debo suponer que la explotación de los datos HBB por esta empresa tiene fines mucho mas oscuros y sobre todo comerciales
Desde luego el trabajo en el UX/font-end lleva meses parado por lo que podría suponer que desde entonces trabajan en las funcionalidades comerciales y destinadas a publicidad interactiva, que es donde ellos realmente van a sacar manteca, publicidad híbrida la llaman...
Esto abre un abanico nuevo de implicaciones de seguridad ya que como sabemos, las empresas de marketing por Internet son las más voraces en cuanto a captura de datos, infección de equipos con malware/adware etc... a estas empresas se les esta abriendo un dispositivo ejecutándose con el nivel de privilegio de cualquier otra aplicación (igual que una instalada), en el cual el usuario no tiene el control para decidir que autoriza o no, por ejemplo en mi lg webos3 no hay forma de definir un proxy o usar un dns alternativo que bloquee peticiones si no se levanta un servidor dns especial en el que se resuelven ciertas urls de manera especial.
Podeis mirar la implementacion del
objeto OIPF para ver la de cosas a las que estas aplicaciones tienen acceso, algo jugoso por ejemplo, NotifSocket, basicamente un socket TCP raw que puede usarse para pivotar dentro de la red, o para mantener una conexión abierta con un servidor C&C. El nivel de acceso de estas apps a nuestra TV es absurdo, por no hablar que ya según el fabricante, se abre un mundo de 0days explotables, para los más profanos en el tema, tomad el ejemplo de
como se "liberó" la play4 a través de una vulnerabilidad en webkit, siendo precisamente webkit el motor del webos2/3 (palm os) de lg o el navegador de sony (version antigua, la nueva es android oreo) o samsung y todos los android, osea, probablemente la mayoría.
Pues bien, el app de loves ya autoriza a ejecutar scripts de servidores de terceros (mediaset/atresmedia/rtve) libremente según el manifiesto que se extrae del AIT (application information table) por lo que estos terceros pueden dar acceso a mas terceros para hacer y deshacer en nuestros equipos a gusto. Algo que ya hacen por ejemplo, es recolectar la lista de canales en la tv y el orden que le habéis dado, aparte del tiempo que se permanece en el canal o el efecto rebote en anuncios.
Todo este tema híbrido, además, parece funcionar sobre un cierto vació legal o ambiguedad total, ya que realmente en el infierno absurdo de los derechos digitales que existe hoy en día, las televisiones tienen los derechos de emisión por TDT pero no para internet, para subir a internet están sujetos a la misma legislación de derechos digitales que un tío que abre una cuenta en youtube, asi que habría que ver el encaje de bolillos que hacen para pasar todos esos contenidos y anuncios por internet, y ya veremos en el tema de privacidad y publicidad, pero todo apunta a que habrá que desactivar hbbtv permanentemente porque no hay otra forma de evitar el control total del dispositivo por parte del proveedor o
indefinidos terceros e incluso atacantes de estas plataformas. He trabajado con algunas tv locales y ya os digo que el tema de los derechos de imagen es un absurdo, por ejemplo se puede dar el caso de que una obra con derechos digitales para internet tenga un audio (o varios) que no se puede emitir por internet (de ahi que youtube ofrezca cambiar audio con copiright en videos) o que una distribuidora define por contrato que una pelicula no puede subirse a servicios U7D o ser accesible fuera de españa... es un caos absoluto. En medio de este jaleo, quieren vender que la distribución se realiza via dvbt y no http, aunque en la practica no se necesita dvbt para reproducir su contenido...
De hecho la plataforma lovestv en su back-end es absolutamente lamentable, del modo que se pasan trozos de url mediante php (file_get_contents sin sanear lmao) y lo pasa directamente al software java (struts http bloqueado al exterior) del flamingo para leer el PVR, ni siquiera hay cache, uno de los motivos por lo que va tan lento, al menos hace unos meses cuando hice la investigación, además de un montón de cosas más que no debo contar por aquí, ya que ademas está claro que hay un becario en cellnex revisando este hilo a ver que sale, me parece ridícula la manera de montar la infraestructura en cuanto a seguridad, pues un atacante podría inyectar código que se ejecuta en todos los dispositivos...
En los próximos meses voy a intentar estudiar más a fondo el sistema hbbtv puesto que existen un montón de puntos débiles en la especificación que me gustaría explorar. Nunca me había interesado demasiado el tema dvb pero la seguridad algo más, así que he montado un laboratorio de señales (un pc que me encontré en un contenedor con una dektec-115 de ebay y un receptor tdt chino...) con el que montar mi propio MUX/canales/apps y servicios ""hibridos""... El proceso es un poco complicado debido al bajisimo control posible del sistema de la tv sobre todo para temas de inspección y temas de privilegios, ademas es distinto en cada fabricante o incluso entre modelos, pero ya es bastante evidente que todos estos sistemas embedidos, iot... intentare preparar una ponencia más detallada de este tema para principios del año que viene.
Perdón por el ladrillo, si has llegado hasta aquí y un día nos encontramos te invito a una cerveza. Saludos
