Extended Copy Protection ( XCP ) — это программный пакет, разработанный британской компанией First 4 Internet (которая 20 ноября 2006 года сменила название на Fortium Technologies Ltd) и продаваемый в качестве схемы защиты от копирования или управления цифровыми правами (DRM) для компакт-дисков . Он использовался на некоторых компакт-дисках, распространяемых Sony BMG, и спровоцировал скандал 2005 года, связанный с защитой от копирования компакт-дисков Sony BMG ; в этом контексте он также известен как руткит Sony .
Исследователи безопасности, начиная с Марка Руссиновича в октябре 2005 года, описали программу как функционально идентичную руткиту : компьютерной программе, используемой злоумышленниками для сокрытия несанкционированных действий в компьютерной системе. Руссинович рассказал об этом в своем блоге Sysinternals, где она привлекла внимание СМИ и других исследователей. [1] В конечном итоге это привело к гражданскому иску и уголовным расследованиям, которые вынудили Sony прекратить использование системы.
Хотя Sony в конечном итоге отозвала компакт-диски, содержащие систему XCP, веб-деинсталлятор был исследован известными исследователями безопасности Эдом Фелтеном и Алексом Халдерманом , которые заявили, что компонент ActiveX , используемый для удаления программного обеспечения, подвергал пользователей гораздо более значительным рискам безопасности, включая выполнение произвольного кода с веб-сайтов в Интернете. [2]
Версия этого программного обеспечения, используемая в компакт-дисках Sony, продается как «XCP-Aurora». Когда пользователь впервые пытается воспроизвести такой компакт-диск в системе Windows , ему предоставляется лицензионное соглашение с конечным пользователем . Если он его принимает, программное обеспечение устанавливается, в противном случае диск извлекается. [3] В лицензионном соглашении EULA не упоминается, что оно устанавливает скрытое программное обеспечение. Затем программное обеспечение остается резидентным в системе пользователя, перехватывая все обращения к CD-приводу, чтобы предотвратить доступ любого программного обеспечения медиаплеера или риппера, отличного от того, которое включено в XCP-Aurora, к музыкальным дорожкам компакт-диска Sony. Очевидного способа удаления программы не предусмотрено. Попытка удалить программное обеспечение путем удаления связанных файлов вручную приведет к тому, что CD-привод станет неработоспособным из-за настроек реестра , которые программа изменила. Однако вскоре было обнаружено, что программное обеспечение можно легко обойти, просто используя перманентный маркер, чтобы нарисовать темную границу по краю диска. [4]
После публикации Марком Руссиновичем своих выводов другие исследователи безопасности поспешили опубликовать свои собственные анализы. Многие из этих выводов были весьма критичны по отношению к Sony и First 4 Internet. В частности, было обнаружено, что программное обеспечение скрывает свою активность в виде руткита и подвергает пользователей последующему вреду от вирусов и троянов .
Метод маскировки XCP, который делает все процессы с именами, начинающимися с $sys$невидимого, может использоваться другими вредоносными программами, « подключающимися » к нему, чтобы гарантировать, что он также скрыт от пользователя. Первый вредоносный троян, скрывающийся с помощью XCP, был обнаружен 10 ноября 2005 года, согласно отчету антивирусной компании BitDefender . [5]
Последующие исследования Фелтена и Хальдермана показали, что веб- деинсталлятор, который Sony позже предложила для программного обеспечения, содержал свои собственные критические проблемы безопасности. [6] Программное обеспечение устанавливает компонент ActiveX , который позволяет любому веб-сайту запускать программное обеспечение на компьютере пользователя без ограничений. Этот компонент используется веб-сайтом First 4 Internet для загрузки и запуска деинсталлятора, но он остается активным и после этого позволяет любому веб-сайту, который посещает пользователь, захватить компьютер.
Поскольку XCP специфичен для Microsoft Windows, он не влияет на все другие операционные системы, такие как Linux , BSD , OS/2 , Solaris или Mac OS X , а это означает, что пользователи этих систем не страдают от потенциального вреда этого программного обеспечения, и им также не мешает копировать обычные музыкальные треки с компакт-диска. (Некоторые диски, вовлеченные в скандал с Sony, содержали конкурирующую технологию MediaMax от SunnComm , которая пытается установить расширение ядра на Mac OS X. Однако из-за разрешений Mac OS X не было зарегистрировано массовых заражений среди пользователей Mac.)
Хотя Руссинович был первым, кто опубликовал информацию о рутките, другие исследователи обнаружили его примерно в то же время, но либо все еще анализировали его, либо решили не раскрывать информацию раньше из-за сдерживающего эффекта пункта об обходе Закона об авторском праве в цифровую эпоху . [7]
Вскоре после того, как независимые исследователи раскрыли эту историю, поставщики программного обеспечения безопасности отреагировали, выпустив подробные описания компонентов XCP, а также программное обеспечение для удаления $sys$*компонента маскировки. С другой стороны, пока не было выпущено программное обеспечение для удаления компонента драйвера фильтра CD-ROM. Computer Associates , создатели антишпионского программного обеспечения PestPatrol , характеризуют программное обеспечение XCP как троянского коня и руткит : [8]
XCP.Sony.Rootkit устанавливает исполняемый файл DRM как службу Windows , но ошибочно называет эту службу " Plug and Play Device Manager", используя технику, обычно используемую авторами вредоносных программ, чтобы обмануть обычных пользователей, заставив их поверить, что это часть Windows. Примерно каждые 1,5 секунды эта служба запрашивает основные исполняемые файлы, связанные со всеми процессами, запущенными на машине, что приводит к почти непрерывным попыткам чтения на жестком диске. Было показано, что это сокращает срок службы диска.
Кроме того, XCP.Sony.Rootkit устанавливает драйвер устройства , в частности драйвер фильтра CD-ROM, который перехватывает вызовы привода CD-ROM. Если какой-либо процесс, кроме включенного музыкального проигрывателя (player.exe), пытается прочитать аудиораздел компакт-диска, драйвер фильтра вставляет в возвращаемые данные, казалось бы, случайный шум, делая музыку непригодной для прослушивания.
XCP.Sony.Rootkit загружает драйвер системного фильтра, который перехватывает все вызовы для листингов процессов, каталогов или реестра, даже те, которые не связаны с приложением Sony BMG. Этот драйвер руткита изменяет информацию, видимую операционной системе, чтобы скрыть программное обеспечение Sony BMG. Это обычно называют технологией руткита. Более того, руткит влияет не только на файлы XCP.Sony.Rootkit. Этот руткит скрывает каждый файл, процесс или ключ реестра, начинающийся с
$sys$. Это представляет собой уязвимость, которая уже использовалась для сокрытия взломов World of Warcraft RING0 на момент написания этой статьи и может потенциально скрыть файлы и процессы злоумышленника после получения доступа к зараженной системе.
В ноябре 2005 года компания Computer Associates объявила, что ее антишпионский продукт PestPatrol сможет удалить программное обеспечение Sony. [8] [9] Месяц спустя Microsoft выпустила обновление для своего инструмента удаления вредоносного ПО , которое может удалить вредоносное ПО F4IRootkit. [10] [11]
Однако несколько медленный и неполный ответ некоторых антивирусных компаний был подвергнут сомнению Брюсом Шнайером , экспертом по информационной безопасности и автором статей и текстов по безопасности, включая Secrets and Lies . В статье для Wired News г-н Шнайер спрашивает: «Что происходит, когда создатели вредоносных программ вступают в сговор с теми самыми компаниями, которых мы нанимаем для защиты от этих вредоносных программ?» Его ответ заключается в том, что «пользователи теряют... Опасный и разрушительный руткит внедряется в дикую природу, и полмиллиона компьютеров заражаются прежде, чем кто-либо что-либо делает». [12]
Начиная с августа 2005 года пользователи Windows сообщали о сбоях, связанных с программой aries.sys , при этом необъяснимым образом не могли найти файл на своих компьютерах. [13] Теперь известно, что этот файл является частью XCP. Ведущий Call for Help Лео Лапорт сказал, что он столкнулся с ростом числа сообщений о «пропавших» CD-ROM-приводах, что является признаком неудачных попыток удалить XCP. [14]
Исследователь безопасности Дэн Камински использовал анализ кэша DNS , чтобы определить, что 568 000 сетей по всему миру могут содержать по крайней мере один компьютер, зараженный XCP. Метод Камински использует тот факт, что серверы имен DNS кэшируют недавно полученные результаты, и что XCP звонит домой на определенное имя хоста . Найдя серверы DNS, которые содержат это имя хоста в кэше, Камински смог приблизительно оценить количество затронутых сетей. [15] После публикации данных Камински узнал, что пока еще не определенное количество «улучшенных компакт-дисков» без руткита также звонит домой на тот же адрес, который используют диски, зараженные руткитом, поэтому показатели заражения все еще активно изучаются.
По данным аналитической компании Gartner , XCP страдает от того же недостатка в реализации DRM, что и любая технология DRM (текущая или будущая), которая пытается применить DRM к аудио CD, предназначенным для воспроизведения на автономных CD-плеерах. По данным Gartner, поскольку установка XCP или любого программного обеспечения DRM основана на том, что CD является многосессионным, нанесение чернил (с помощью обычного фломастера) на внешний край диска делает дорожку данных CD нечитаемой, тем самым заставляя ПК обрабатывать диск как обычный односессионный музыкальный CD. [4]
Программа AnyDVD от Slysoft , которая снимает защиту от копирования с DVD и Blu-ray дисков, также обходит DRM на аудио CD. Когда активна и вставлен аудио CD, AnyDVD блокирует доступ ПК к любым сеансам, кроме аудио, делая сеансы данных нечитаемыми и предотвращая установку вредоносного ПО, такого как XCP. [16]
Существует много предположений о том, в какой степени действия, предпринимаемые этим программным обеспечением, являются нарушением различных законов против несанкционированного вмешательства в работу компьютеров или законов о вторжении в частную жизнь « шпионским ПО », и как они подвергают Sony и First 4 Internet юридической ответственности. Штаты Калифорния, Нью-Йорк и Техас, а также Италия уже подали иски против обеих компаний, и вероятны новые коллективные иски. Однако простая попытка просмотра или удаления этого программного обеспечения с целью определения или предотвращения его изменения Windows теоретически будет представлять собой гражданское или уголовное правонарушение в соответствии с определенным законодательством против обхода, таким как спорный Закон об авторском праве в цифровую эпоху в Соединенных Штатах.
Фред фон Ломанн из Electronic Frontier Foundation также подверг резкой критике XCP EULA , назвав его «легальным руткитом». [17]
Одной из основных причин эксперимента XCP является проблема добавления DRM к устаревшему стандарту. Эти проблемы исследует профессор Рэндал Пикер, профессор права юридического факультета Чикагского университета , в своей статье «Управление цифровыми правами на основе недоверия», опубликованной в 5-м томе журнала « Телекоммуникации и высокотехнологичное право » . Компакт-диски сами по себе не способны обновлять устаревшее оборудование, такое как автономные проигрыватели компакт-дисков, и не имеют возможности изменять или обновлять прошивку для чтения DRM. Таким образом, DRM необходимо добавлять, чтобы не мешать работе устаревших проигрывателей, но при этом продолжать работать, когда тот же компакт-диск вставлен в компьютер. Пикер анализирует четыре основные проблемы с дополнительными DRM.
Первая проблема, как показано в примере XCP, заключается в том, что способные потребители могут просто обойти DRM. Отключение автозапуска предотвратило установку руткита и, таким образом, сделало схему DRM недействительной.
Вторая проблема — реакция потребителей. Добавление DRM к устаревшему продукту, такому как музыкальные компакт-диски, которые традиционно не имели схемы управления правами, разозлит потребителей. Пикер указывает, что на волне негативной рекламы вокруг дополнительного DRM Sony, Amazon.com начал предупреждать клиентов о том, какие компакт-диски Sony содержат XCP. Клиенты могли бы полностью избегать DRM, сводя на нет эффективность.
Третья проблема заключается в юридическом ответе. EFF, а также генеральные прокуроры штатов провели расследование и подали иск против Sony за программу XCP. Пикер не анализирует юридические достоинства таких исков, но стоимость судебного разбирательства потенциально перевешивает выгоду от попытки добавить DRM.
Четвертая и последняя проблема заключается в лицензионном соглашении конечного пользователя, которое пытаются реализовать с помощью DRM-дополнения. Возможность фактического исполнения этих соглашений с помощью DRM-дополнения ограничена тем простым фактом, что без активной регистрации и отслеживания компакт-дисков компании не с кем будет бороться. Таким образом, ожидаемая выгода от принудительного исполнения EULA против нарушителей фактически отсутствует; однако затраты на реализацию схемы DRM-дополнения в виде государственных и федеральных расследований, частных исков, негативной рекламы, негативной реакции потребителей и технических ограничений намного перевешивают выгоды.
Исследователь Себастьян Порст [18] , Матти Никки [19] и ряд экспертов по программному обеспечению опубликовали доказательства того, что программное обеспечение XCP нарушает авторские права кодировщика LAME mp3 , [20] mpglib , [21] FAAC [22] id3lib [23] ( чтение и запись тегов ID3 ), mpg123 и медиаплеера VLC . [24]
Исследователь из Принстона Алекс Халдерман обнаружил, что почти на каждом компакт-диске XCP есть код, который использует модифицированную версию программного обеспечения DRMS Джона Йохансена , позволяющую открывать FairPlay DRM от Apple Computer . [25] Он обнаружил, что код неактивен, но полностью функционален, так как он мог использовать его для вставки песен в Fairplay. DRMS, mpg123 и VLC лицензированы в соответствии с GNU General Public License (GPL). Другое обнаруженное программное обеспечение, такое как LAME, лицензировано в соответствии с условиями GNU Lesser General Public License (LGPL), также как свободное программное обеспечение . Если утверждения верны, то Sony/BMG распространяла защищенные авторским правом материалы незаконно.
Йон Йохансен написал в своем блоге [26] , что после разговора с юристом он считает, что не может подавать в суд; однако есть мнения, что данный ему совет неверен. [27] Разработчики LAME опубликовали в сети открытое письмо [28] в адрес Sony/BMG.
Нарушения авторских прав, в которых может быть обвинена Sony [29], включают в себя:
Sony уже предоставляет [30] версию исходного кода id3lib на своем веб-сайте, но она не связана с XCP.
В программе Национального общественного радио Томас Гессе , президент глобального цифрового бизнес-подразделения Sony BMG, спросил: «Большинство людей, я думаю, даже не знают, что такое руткит, так почему же они должны об этом беспокоиться?» [31] Он объяснил, что «программное обеспечение предназначено для защиты наших компакт-дисков от несанкционированного копирования и рипа ».
Sony также утверждает, что «компонент не является вредоносным и не ставит под угрозу безопасность», но «чтобы развеять любые опасения пользователей по поводу того, что программа представляет потенциальные уязвимости безопасности, было выпущено это обновление, позволяющее пользователям удалить компонент руткита со своих компьютеров». [ необходима цитата ]
Анализ этого деинсталлятора был опубликован Марком Руссиновичем, который изначально обнаружил XCP, под названием «Подробнее о Sony: опасный патч для деклоакации, лицензионные соглашения и звонок домой». [32] Для получения оригинального деинсталлятора требуется использовать определенный браузер (Microsoft Internet Explorer ) и заполнить онлайн-форму со своим адресом электронной почты, получить электронное письмо, установить патч, заполнить вторую онлайн-форму, а затем получить ссылку на деинсталлятор. Ссылка персонализирована и не будет работать для нескольких деинсталляций. Кроме того, в Политике конфиденциальности Sony [33] указано, что этот адрес может использоваться для рекламных акций или предоставляться аффилированным лицам или «авторитетным третьим лицам, которые могут связаться с вами напрямую».
Также сообщалось, что у деинсталлятора могут быть проблемы с безопасностью, которые позволят удаленное выполнение кода. [19] Страница деинсталляции Sony попытается установить элемент управления ActiveX, когда она отображается в Internet Explorer. Этот элемент управления ActiveX был помечен как «Безопасный для сценариев», что означает, что любая веб-страница может использовать элемент управления и его методы. Некоторые из методов, предоставляемых этим элементом управления, были опасными, поскольку они могли позволить злоумышленнику загрузить и выполнить произвольный код.
11 ноября 2005 года компания Sony объявила [34], что приостановит производство компакт-дисков с использованием системы XCP:
«В качестве меры предосторожности Sony BMG временно приостанавливает производство компакт-дисков, содержащих технологию XCP», — говорится в заявлении компании.
«Мы также намерены пересмотреть все аспекты нашей инициативы по защите контента, чтобы убедиться, что она продолжает соответствовать нашим целям безопасности и простоты использования потребителями», — добавили в Sony BMG.
Это произошло после комментариев Стюарта Бейкера , помощника министра внутренней безопасности по вопросам политики, в которых он подверг резкой критике производителей DRM, о чем сообщала The Washington Post :
В своем замечании, явно направленном непосредственно на Sony и другие лейблы, Стюарт продолжил: «Очень важно помнить, что это ваша интеллектуальная собственность, а не ваш компьютер. И в стремлении защитить интеллектуальную собственность важно не нарушать и не подрывать меры безопасности, которые людям необходимо принимать в наши дни».
По данным The New York Times , [35] Sony BMG заявила, что «было отправлено около 4,7 миллионов компакт-дисков, содержащих программное обеспечение, и около 2,1 миллиона продано». Sony-BMG распространила 52 альбома, содержащих XCP. [36]
14 ноября 2005 года компания Sony объявила об отзыве затронутых компакт-дисков и планах предложить обмен потребителям, купившим эти диски. [37]
Electronic Frontier Foundation опубликовал свой первоначальный список из 19 названий 9 ноября 2005 года. [38] 15 ноября 2005 года The Register опубликовал статью [39] , в которой говорилось, что может быть до 47 названий. Sony BMG утверждает, что существует 52 компакт-диска XCP. [36]
Amazon заявляет, что рассматривает компакт-диски XCP как дефектный товар и предложит возврат средств вместе с доставкой, если клиент укажет запрос. [40] Различные неблагоприятные побочные эффекты XCP можно рационально рассматривать как дефекты, поскольку они не являются частью (очевидной) предполагаемой функции XCP; эта точка зрения обходит более существенный вопрос о том, нарушила ли Sony права владельцев компьютеров, намеренно модифицируя их компьютерные системы без согласия.