A Meo lançou um serviço que permite ao cliente decidir quais os programas a gravar através do telemóvel (3G TMN) ou pela net.
È um serviço remoto que algumas pessoas irão dar alguma utilização, mas que me fez pensar um pouco na segurança da mesma.
Eu não tenho MEO, mas pelo que sei e corrijam-me se tiver errado, para que este serviço funcione as STB's têm de possuir a funcionalidade "Remote DVR" activada que irá comunicar ao router, via UPNP, qual o porto que este deve fazer FORWARDING de modo a que o servidor remoto da MEO consiga iniciar uma comunicação TCP com a BOX.
O sinal digital da TV que chega à STB usa a rede IP privada multicast, mas esta comunicação remota é realizada ao IP unicast público do router. Isto não significa que existe um windows server 2008 Hyper-V com um porto acessível ao público podendo no futuro devido a alguma vulnerabilidade, terceiros cracharem ou terem acessos indevidos às funcionalidades da STB?

Não percebo o mal de existir um Windows server com um porto publico... todas as comunicações entre a STB e o servior são efectuados via SOAP... sendo esses serviços SOAP servidos por um IIS6 via porta 80... Podes mandar á vontade qualquer request para esse servidor e ele responde-te em conformidade...

PS-os pedidos/respostas soap vem encriptados, podendo ser desencriptados, ha alguns meses escrevi um proggiezito em java para isso mesmo... http://pastebin.com/f12f3527a

Acho que não entendeste o meu ponto de vista.
Quando me referi ao porto aberto do windows server 2008 Hyper-V, referia-me ao SO que está na STB e não a nenhum servidor da telco que fornece webservices, como o EPG que a STB consulta. Não há problemas quando é a STB a fazer os requests.

O que está aqui em causa neste serviço de remote DVR é que o servidor, quem tem o porto em LISTEN, é a própria STB.

Não vejo nenhum port forwarded configurado no router para isto funcionar.

Não querendo dizer "baboseiras" parece-me que tinha visto algures por ali no HGW que existem vlans especificas para comunicações.... posso não estar bem recordado, mas fiquei com essa ideia.

Eu não tenho MEO, logo não tenho acesso ao HGW. Se puderes dar mais informações sobre isso, óptimo.

Tive a ver e o router suporta 802.1q, pelo é possível que receba um trunk, e a STB esteja preparada para receber uma vlan privada para este fim. Faria mais sentido.

Preferia um upgrade ao software para ter uma opção para começar a gravar 15 minutos antes de começar programa X não apenas a opção de parar de gravar X minutos depois do suposto programa terminar.

Em primeiro lugar esquece o Windows 2008 Hyper-V, deves ter lido a press-release da Microsoft em que o o MS Mediaroom(o middleware usado pelo meo) agora suporta virtualização em Hyper-V, tanto quanto tenho observado os servidores sao Server2003
Em relação á STB... Se fizeres um portscan á STB vais encontrar duas portas abertas, a 8082 e a 8080, a primiera é um especie de comando remoto remoto(sim não me enganei, remoto duas vezes), isto é, permite emular o controlo remoto da STB por TCP, em vez de usares o comando normal fazes um telnet á caixa e mudas os canais, a segunda porta supostamente é a responsavel por essa função, mas se tentares ligar a essa porta vais obter pacote RST a cortar a ligação...
Tenho andado a "estudar" o sistema mediaroom durante o ultimo ano e meio, e qualquer pedido/reposta á caixa tem que ter uma assinatura digital...
Mas percebo o facto de ter uma porta aberta representar um risco de segurança, afinal estamos a falar do windowsCE em que tudo corre em ring0... Mas o risco de segurança é o mesmo que qualquer sistema com portas em listen apresenta...

Quanto ás vlans... No Meo fibra, existem duas vlans, uma para video, outra para a internet normal no meo adsl existem dois PVPs ATM, o 0.35 para internet e o 1.35 para video) Qualquer tentativa de ligação á porta 8080 recebe um RST, não sei como se comportará na vlan/pvp de video...

Agradeço a explicação,
Também tive a investigar mais um pouco, e depreendo pelo que aqui foi dito, que a MEO deve andar a usar uma tipologia semelhante à híbrida idealizada neste documento.
No entanto também descobri que nos states, pelo menos este ISP não usa vlans (no last mile) mas sim a o método que descrevi no POST, que basicamente é como o Windows Media Connect funciona.

"when the set top box is switched on for remote DVR, a listening port is set up, the Verizon router is informed via UPnP of a port and local address to forward to, and the periodic messages to Verizon begin of packets containing current external IP address

Se o porto estivesse exposto publicamente, mesmo com assinaturas digitais, está sempre vulnerável a coisas deste género.

AFAIK não ha hyper-V nem tao pouco nenhum win2008 na box. Estamos a falar de uma maquina RISC com capacidades de RAM e CPU reduzidas.



O SO é o Windows CE 5.1. Sobre ele corre o tal mediaroom da M$ para disponibilizar conteudos. Há ainda uns sistemas de codificação/cifra proprietarios que dependem do media server do meo, no ISP.

O registo é feito via cliente(box) servidor, e não ao contrario. Os clientes usam IP estaticos e AFAIK registam toda a sua configuração (agendamentos/gravações/etc) nos servidores da Meo.

Ou seja, a FW não interessa muito, pois toda a comunicação relevante é iniciada do interior (boxes) para o exterior.

No caso exposto, remote DVR, a comunicação é iniciada remotamente pelo servidor da MEO para a box.