Скандал из-за руткита в DRM от Sony

Скандал из-за руткита в DRM от Sony — скандал, произошедший в 2005 году из-за программного обеспечения DRM от компании Sony BMG. Более чем на 20 миллионах копий музыкальных дисков было обнаружено несколько программ, отвечающих за защиту интеллектуальной собственности. Однако вместе с этим, они могли модифицировать параметры операционных систем Windows и macOS, собирать пользовательские данные и в конечном итоге создавали серьезные уязвимости в безопасности. О наличии стороннего ПО не было упомянуто в лицензионном соглашении (EULA). Обе программы были классифицированы как rootkit. Убыток составил около 1.5 млн долларов США^[1].

В августе 2000 года, вице-президент Sony Pictures Entertainment в США — Стив Хеклер, заявил о необходимости принять «агрессивные» меры против пиратства^[2].

В 2001 году Sony BMG подверглась скандалу в Европе, когда выпустила второй альбом исполнительницы Натали Имбрульи на CD, без каких либо предупреждений или упоминаний о том, что они содержат DRM^[3][4]. В конечном итоге диски пришлось заменить. Однако уже в 2002 году было заявлено, что все диски издаваемые Sony BMG на Европейском рынке будут содержать защиту^[5].

Два компонента по обеспечению защиты от копирования, из-за которых произошел скандал в 2005 году были включены в более чем 22 миллиона компакт-дисков проданных Sony BMG в 2004 году. Около двух миллионов копий содержали защиту именуемую как «Extended Copy Protection» (XCP). Она устанавливалась сразу, как только пользователь принимал соглашение в котором данное ПО не упоминалось^[6].

В остальных же 20 миллионах копий, была обнаружена защита «MediaMax CD-3», компании SunnComm. Она попадала на ПК пользователей независимо от того, было ли принято лицензионное соглашение. macOS запрашивала у пользователя подтверждение, когда ПО пыталось внести изменения в работу ОС^[7].

Скандал начался 31 октября 2005 года^[8]. Тогда исследователь из подразделения Winternals — Марк Руссинович, опубликовал в своем блоге детальный технический анализ программы «F4I XCP», которая была установлена на его компьютер через компакт-диск от Sony BMG. Он отметил, что программа не была упомянута в соглашении и что средства защиты авторских прав «зашли слишком далеко»^[9].

Антивирусная компания F-Secure постановила, что сама программа не является напрямую вредоносной, однако использует техники маскировки, характерные для вредоносного ПО^[10].

Руссинович выделил несколько наиболее главных проблем с безопасностью XCP в Windows:

• Программа создает потенциальные уязвимости в ОС для различного рода червей, троянов и вирусов.

• Программа может внезапно запуститься в фоне и начать потреблять оперативную память, даже при отсутствии диска в приводе.

• Использует небезопасные процедуры запуска и остановки, что может привести к системным вылетам.

• Программа скрывает свои файлы в системе, у пользователя нет возможности ее удалить посредством деинсталятора.

Было замечено несколько случаев эксплуатации созданных дыр в безопасности^[11].

Sony BMG выпустили патч для XCP^[12], а также программу по удалению защиты от копирования, однако она сразу была раскритикована. Для ее использования необходимо было указать email адрес, а вскоре в ней был обнаружен бэкдор^[13][14][15]. 18 ноября 2005, Sony BMG выпустили новую утилиту по удалению руткитов с Windows систем^[16]. Пользователям предлагалось полностью удалить DRM вместе со всеми файлами и ключами реестра, либо устанавливать обновления, если они желали продолжать использовать CD с данной программой.

Sony BMG отозвали практически все не проданные диски которые содержали защиту, разрешили покупателям заменить их на CD без DRM^[17]. Во многих штатах против компании были поданы иски^[18]. Пострадавшие от действий руткита получили денежную компенсацию в размере до 175 долларов. Sony создали вебсайт, посвященный решению проблем связанных с инцидентом^[1][19].

Исследователи также обнаружили, что Sony BMG и разработчики защиты от копирования нарушили копилефт-лицензии на ПО, использовав код взятый из свободных программ. В их число входили: LAME MP3, mpglib, FAAC, id3lib, mpg123 а также VLC media player^[20][21][22].

• Electronic Frontier Foundation