Voisiko älytelevisio toimia bottiverkon orjana? Periaatteessa kyllä: se on liitetty nettiin ja se on vjo varsin tehokas tietokone. Mutta siihen pitäisi saada ujutettua jokin haittaohjelma. Onko se mahdollista?
Lyhyt vastaus on ei. Passiivinen HDMI-kaapeli ei siirrä haittaohjelmia. HDMI ei ole tiedostonsiirtoväylä. Tutkimuksissa on silti tunnistettu kolme skenaariota, joissa HDMI liittyy tietoturvariskiin. Ne eivät ole arkipäivää, mutta auttavat ymmärtämään, mistä puhutaan.
Ensimmäinen uhka on haitallinen tai manipuloitu HDMI-laite. HDMI:n kautta kulkee ohjausdataa, kuten näytön tunnistetietoja. Tietokoneen ajurit lukevat ja käsittelevät tämän datan automaattisesti. Tutkimuksissa on osoitettu, että jos näyttö, telakka tai adapteri syöttää tarkoituksella poikkeavaa tai virheellistä ohjausdataa, se voi paljastaa ajurivirheitä. Teoriassa tätä voisi käyttää hyväksi haittakoodin ajamiseen, jos järjestelmässä on vakava haavoittuvuus. Käytännössä tämä vaatii erikoisvalmisteisen laitteen ja kohdennetun hyökkäyksen. Tavallinen näyttö tai kaapeli ei tähän pysty.
Älytelevisiot ja muut AV-laitteet osana hyökkäysketjua? Älytelevisiot, digiboksit ja mediasoittimet ovat jatkuvasti verkossa ja päivittyvät usein huonosti. Ne ovat houkuttelevia kohteita bottiverkoille. HDMI ei yleensä ole varsinainen tartuntareitti, mutta HDMI:n ohjausprotokollat voivat mahdollistaa laitteiden keskinäisen ohjailun. Huonosti suojatussa ympäristössä HDMI voi olla yksi lenkki ketjussa, jossa haavoittuva älylaite kaapataan ja liitetään bottiverkkoon. Tässäkin pääongelma on laitteen ohjelmiston laatu, ei HDMI-kaapeli.
Entäpä ns. side channel- eli sivukanavahyökkäys? Osa HDMI:hen liitetyistä uhkakuvista ei liity haittaohjelmien asentamiseen lainkaan. Tutkimuksissa on osoitettu, että HDMI-kaapelista lähteviä sähkömagneettisia emissioita voidaan analysoida ja ruudulla näkyvää sisältöä osin päätellä. Tämä on vakoilua ja tiedon vuotoa, ei ohjelmistotartuntaa. Se vaatii kallista laitteistoa ja lähietäisyyttä, eikä koske tavallista kotikäyttöä.
Isoa riskiä ei siis ole. HDMI-kaapeli ei kanna viruksia. Haittaohjelman lataaminen HDMI:n yli on mahdollista vain hyvin rajatuissa ja keinotekoisissa skenaarioissa, joissa mukana on älylaitteita, telakoita tai ajurivirheitä. Todelliset riskit liittyvät päivitysten puutteeseen ja älylaitteiden tietoturvaan, eivät itse HDMI-liitäntään.
Suojattu flash-muisti tarjoaa verkkoon liitetyille laitteille ja järjestelmille laitteistopohjaisen suojauskerroksen ja täyttää NIST SP800-193 -ohjeistuksen mukaiset häiriönsietovaatimukset. Muistipiireihin erikoistuneen Winbondin kehittämä suojattu flash-piiri on myös suoraan korvaava ja täysin yhteensopiva tavanomaisten NOR-flash-piirien kanssa.