Protección extendida contra copias

Extended Copy Protection ( XCP ) es un paquete de software desarrollado por la empresa británica First 4 Internet (que el 20 de noviembre de 2006 cambió su nombre a Fortium Technologies Ltd) y se comercializó como un sistema de protección contra copias o gestión de derechos digitales (DRM) para discos compactos . Se utilizó en algunos CD distribuidos por Sony BMG y desencadenó el escándalo de protección contra copias de CD de Sony BMG en 2005 ; en ese contexto, también se le conoce como el rootkit de Sony .

Investigadores de seguridad, comenzando con Mark Russinovich en octubre de 2005, describieron el programa como funcionalmente idéntico a un rootkit : un programa informático utilizado por intrusos para ocultar actividades no autorizadas en un sistema informático. Russinovich dio a conocer la noticia en su blog Sysinternals, donde atrajo la atención de los medios y otros investigadores. ^{[ 1 ]} Esto finalmente condujo a una demanda civil e investigaciones penales, que obligaron a Sony a suspender el uso del sistema.

Aunque Sony finalmente retiró los CD que contenían el sistema XCP, el desinstalador basado en web fue investigado por los reconocidos investigadores de seguridad Ed Felten y Alex Halderman , quienes afirmaron que el componente ActiveX utilizado para eliminar el software exponía a los usuarios a riesgos de seguridad mucho más significativos, incluida la ejecución de código arbitrario desde sitios web en Internet. ^{[ 2 ]}

La versión de este software utilizada en los CD de Sony es la comercializada como XCP-Aurora. La primera vez que un usuario intenta reproducir un CD de este tipo en un sistema Windows , se le presenta un acuerdo de licencia de usuario final (EULA). Si lo acepta, el software se instala; de lo contrario, el disco se expulsa. ^{[ 1 ]} El EULA no mencionaba que instalaba software oculto. El software permanece entonces en el sistema del usuario, interceptando todos los accesos a la unidad de CD para impedir que cualquier reproductor multimedia o software de extracción, aparte del incluido con XCP-Aurora, acceda a las pistas de música del CD de Sony. No se proporciona una forma obvia de desinstalar el programa. Intentar eliminar el software borrando manualmente los archivos asociados inutilizará la unidad de CD debido a la modificación del registro por parte del programa. Sin embargo, pronto se descubrió que el software podía eludirse fácilmente dibujando un borde oscuro con un rotulador permanente a lo largo del borde del disco. ^{[ 3 ]}

Tras la publicación de los hallazgos de Mark Russinovich, otros investigadores de seguridad no tardaron en publicar sus propios análisis. Muchos de estos análisis criticaban duramente a Sony y a First 4 Internet. En concreto, se descubrió que el software ocultaba su actividad como un rootkit y exponía a los usuarios a daños posteriores causados ​​por virus y troyanos .

La técnica de ocultación de XCP, que hace $sys$invisibles todos los procesos cuyos nombres comienzan con un prefijo específico, puede ser utilizada por otros programas maliciosos que se aprovechan de ella para garantizar que también permanezcan ocultos a la vista del usuario. El primer troyano malicioso que se ocultó mediante XCP fue descubierto el 10 de noviembre de 2005, según un informe de la empresa antivirus BitDefender . ^{[ 4 ]}

Una investigación posterior realizada por Felten y Halderman demostró que el desinstalador web que Sony ofreció posteriormente para el software contenía problemas de seguridad críticos. ^{[ 5 ]} El software instala un componente ActiveX que permite que cualquier sitio web ejecute software en el ordenador del usuario sin restricciones. Este componente es utilizado por el sitio web de First 4 Internet para descargar y ejecutar el desinstalador, pero permanece activo posteriormente, permitiendo que cualquier sitio web que visite el usuario tome el control del ordenador.

Dado que XCP es específico de Microsoft Windows, no afecta a otros sistemas operativos como Linux , BSD , OS/2 , Solaris o Mac OS X. Esto significa que los usuarios de dichos sistemas no sufren los posibles daños de este software y tampoco se ven impedidos de extraer las pistas de música normales del CD. (Algunos discos implicados en el escándalo de Sony contenían una tecnología competidora, MediaMax de SunnComm , que intentaba instalar una extensión del kernel en Mac OS X. Sin embargo, debido a los permisos de Mac OS X, no se produjeron infecciones generalizadas entre los usuarios de Mac).

Aunque Russinovich fue el primero en publicar sobre el rootkit, otros investigadores lo habían descubierto casi al mismo tiempo, pero o bien aún lo estaban analizando o decidieron no revelar nada antes debido al efecto disuasorio de la cláusula anticircunvención de la Ley de Derechos de Autor del Milenio Digital . ^{[ 6 ]}

Desde agosto de 2005, los usuarios de Windows reportaron fallos relacionados con un programa llamado aries.sys , sin poder encontrar inexplicablemente el archivo en sus computadoras. ^{[ 12 ]} Ahora se sabe que este archivo forma parte de XCP. Leo Laporte, presentador de Call for Help, afirmó haber experimentado un aumento en los informes de unidades de CD-ROM "desaparecidas", un síntoma de intentos fallidos de eliminar XCP. ^{[ 13 ]}

El investigador de seguridad Dan Kaminsky utilizó el análisis de caché DNS para determinar que 568.000 redes en todo el mundo podrían contener al menos un ordenador infectado con XCP. La técnica de Kaminsky se basa en el hecho de que los servidores de nombres DNS almacenan en caché los resultados obtenidos recientemente y que XCP se conecta a un nombre de host específico . Al encontrar servidores DNS que contienen ese nombre de host en caché, Kaminsky pudo aproximar el número de redes afectadas. ^{[ 14 ]} Tras la publicación de los datos, Kaminsky descubrió que un número aún indeterminado de "CD mejorados" sin el rootkit también se conectan a la misma dirección que utilizan los discos infectados con el rootkit, por lo que las tasas de infección siguen bajo investigación activa.

Según la firma de análisis Gartner , XCP adolece del mismo defecto en la implementación de DRM que cualquier tecnología DRM (actual o futura) que intente aplicar DRM a CD de audio diseñados para reproducirse en reproductores de CD independientes. Según Gartner, dado que la instalación de XCP o cualquier software DRM depende de que el CD sea multisesión, la aplicación de tinta (mediante un rotulador común) en el borde exterior del disco hace que la pista de datos del CD sea ilegible, lo que provoca que el PC trate el disco como un CD de música de una sola sesión. ^{[ 3 ]}

Existe mucha especulación sobre hasta qué punto las acciones de este software infringen diversas leyes contra la manipulación no autorizada de ordenadores o las relativas a la invasión de la privacidad mediante software espía , y cómo estas acciones pueden acarrear responsabilidades legales para Sony y First 4 Internet. Los estados de California, Nueva York y Texas, así como Italia, ya han emprendido acciones legales contra ambas compañías, y es probable que se presenten más demandas colectivas. Sin embargo, el mero hecho de intentar visualizar o eliminar este software para determinar o impedir su alteración de Windows constituiría, en teoría, un delito civil o penal según ciertas leyes contra la elusión de la ley, como la controvertida Ley de Derechos de Autor del Milenio Digital ( DMCA) en Estados Unidos.

Fred von Lohmann, de la Electronic Frontier Foundation , también criticó duramente el EULA de XCP , calificándolo de "rootkit legalista". ^{[ 15 ]}

Una de las razones principales del experimento XCP radica en el problema de agregar DRM a un estándar heredado. Estos problemas son explorados por el profesor Randal Picker, catedrático de Derecho de la Facultad de Derecho de la Universidad de Chicago , en su artículo "Gestión de derechos digitales basada en la desconfianza", publicado en el volumen 5 de la Revista de Derecho de Telecomunicaciones y Alta Tecnología . Los CD por sí solos son incapaces de actualizar hardware heredado, como reproductores de CD independientes, y carecen de la capacidad de cambiar o actualizar el firmware para leer DRM. Por lo tanto, el DRM debe agregarse para no interferir con el funcionamiento de los reproductores heredados, pero que aún funcionen cuando el mismo CD se inserta en una computadora. Picker analiza los cuatro problemas principales con el DRM agregado.

El primer problema, como se demuestra en el ejemplo de XCP, es que los consumidores con conocimientos técnicos pueden simplemente eludir la protección DRM. Desactivar la ejecución automática impidió la instalación del rootkit y, por lo tanto, invalidó el sistema DRM.

El segundo problema es la reacción del consumidor. Añadir DRM a un producto tradicional como los CD de música, que tradicionalmente no contaban con un sistema de gestión de derechos, enfurecerá a los consumidores. Picker señala que, tras la publicidad negativa en torno al DRM adicional de Sony, Amazon.com comenzó a alertar a los clientes sobre qué CD de Sony contenían XCP. Los clientes podían evitar el DRM por completo, anulando así su eficacia.

El tercer problema radica en la respuesta legal. La EFF, así como los fiscales generales estatales, investigaron y demandaron a Sony por el programa XCP. Picker no analiza los méritos legales de dichas demandas, pero el costo del litigio podría superar el beneficio de intentar implementar la gestión de derechos digitales (DRM).

El cuarto y último problema radica en el Acuerdo de Licencia de Usuario Final (EULA) que se intenta hacer cumplir mediante el DRM adicional. La capacidad de hacer cumplir realmente estos acuerdos en el DRM adicional se ve limitada por el simple hecho de que, sin el registro y seguimiento activos de los CD, la empresa no tendrá contra quién reclamar. Por lo tanto, el beneficio esperado de hacer cumplir el EULA contra los infractores es prácticamente inexistente; sin embargo, los costos de implementar el sistema DRM adicional, en forma de investigaciones estatales y federales, demandas privadas, publicidad negativa, reacciones adversas de los consumidores y limitaciones técnicas, superan con creces los beneficios.

En un programa de National Public Radio , Thomas Hesse , presidente de la división de negocios digitales globales de Sony BMG, preguntó: "Creo que la mayoría de la gente ni siquiera sabe qué es un rootkit, así que ¿por qué debería importarles?" ^{[ 26 ]} Explicó que "El software está diseñado para proteger nuestros CD de copias y extracciones no autorizadas ".

Mark Russinovich, quien descubrió inicialmente XCP, publicó un análisis de este desinstalador titulado "Más sobre Sony: parche de descifrado peligroso, EULA y llamadas a casa". ^{[ 27 ]} Para obtener el desinstalador original, es necesario usar un navegador específico (Microsoft Internet Explorer ) y completar un formulario en línea con la dirección de correo electrónico, recibir un correo electrónico, instalar el parche, completar un segundo formulario en línea y, finalmente, recibir un enlace al desinstalador. El enlace es personalizado y no funciona para desinstalaciones múltiples. Además, la Política de Privacidad de Sony ^{[ 28 ]} establece que esta dirección puede usarse para promociones o proporcionarse a afiliados o "terceros de buena reputación que pueden contactarlo directamente".

También se ha informado de que el desinstalador podría tener problemas de seguridad que permitirían la ejecución remota de código. La página de desinstalación de Sony intentaba instalar un control ActiveX al visualizarse en Internet Explorer. Este control ActiveX estaba marcado como "Seguro para scripts", lo que significa que cualquier página web podía utilizarlo y sus métodos. Algunos de los métodos que ofrecía este control eran peligrosos, ya que podrían haber permitido a un atacante cargar y ejecutar código arbitrario.

El 11 de noviembre de 2005, Sony anunció ^{[ 29 ]} que suspendería la fabricación de CD que utilizan el sistema XCP:

«Como medida de precaución, Sony BMG suspende temporalmente la fabricación de CD que contienen la tecnología XCP», indicó en un comunicado. «También tenemos la intención de revisar todos los aspectos de nuestra iniciativa de protección de contenido para asegurarnos de que siga cumpliendo nuestros objetivos de seguridad y facilidad de uso para el consumidor», añadió Sony BMG.

Esto se produjo tras los comentarios de Stewart Baker , subsecretario de política del Departamento de Seguridad Nacional , en los que criticó duramente a los fabricantes de DRM, según informó The Washington Post :

En una declaración claramente dirigida a Sony y otras compañías, Stewart continuó: "Es muy importante recordar que es su propiedad intelectual, no su computadora. Y en la búsqueda de la protección de la propiedad intelectual, es importante no eludir ni socavar las medidas de seguridad que la gente necesita adoptar en estos tiempos".

Según The New York Times , ^{[ 30 ]} Sony BMG dijo que "se habían enviado aproximadamente 4,7 millones de CD que contenían el software y se habían vendido aproximadamente 2,1 millones". Sony-BMG distribuyó 52 álbumes que contenían XCP. ^{[ 31 ]}

El 14 de noviembre de 2005, Sony anunció que retiraría los CD afectados y que planeaba ofrecer cambios a los consumidores que habían comprado los discos. ^{[ 32 ]}

La Electronic Frontier Foundation publicó su lista original de 19 títulos el 9 de noviembre de 2005. ^{[ 33 ]} El 15 de noviembre de 2005, The Register publicó un artículo ^{[ 34 ]} que decía que podría haber hasta 47 títulos. Sony BMG dice que hay 52 CD de XCP. ^{[ 31 ]}

Amazon afirma que está tratando los CD de XCP como mercancía defectuosa y ofrecerá un reembolso con los gastos de envío, siempre que el cliente especifique la solicitud. ^{[ 35 ]}

• Krebs, Brian (8 de noviembre de 2005). "Demanda en California contra Sony" . The Washington Post . Archivado del original el 27 de abril de 2006.

• Los CD con protección DRM de Sony instalan rootkits de Windows (según Wikinews).