LG išmaniųjų televizorių privatumo rizikos tyrimas

„Gamers Nexus“ ir „Level1Techs“ išbandė LG išmaniuosius televizorius ir nustatė, kad jie renka daug duomenų. Pasinaudoję pažeidžiamumu ir įgiję root prieigą, tyrėjai taip pat aptiko galimybę įrašyti garsą bei vaizdą, nors televizorius atrodė išjungtas.

Daugelio gamintojų išmanieji televizoriai įprastai stebi žiūrėjimo įpročius ir dalijasi šiais duomenimis su partneriais. Daugelyje įrenginių naudojama automatinio turinio atpažinimo technologija ACR, kuri sukuria iš vidinių programėlių ar išorinių įvesčių gaunamo garso arba vaizdo skaitmeninį atspaudą ir lygina jį su duomenų bazėmis. Tai naudojama rekomendacijoms ir tikslinei reklamai. Tokios bendrovės kaip „Nielsen“ panašius duomenis taip pat naudoja žiūrimumui įvairiose platformose matuoti.

Sutikimo rinkti duomenis paprastai prašoma per pirminį nustatymą, tačiau tyrėjai teigia, kad tokie pranešimai gali būti paslėpti ilgose sutartyse, o sąsajos dizainas gali skatinti vartotoją sutikti. LG bandymo metu „Gamers Nexus“ parodė, kad televizorius pateikė šešis atskirus sutikimus, iš kurių vienas buvo susijęs su ACR. Numatytasis pasirinkimas buvo „pasirinkti viską“, nors norint užbaigti nustatymą pakako sutikti tik su dviem sąlygomis.

Vėliau „Gamers Nexus“ ir „Level1Techs“, pasinaudoję pažeidžiamumu, įgijo root prieigą prie LG televizoriaus ir išsamiau ištyrė jo veikimą. Po šio proceso jie pastebėjo, kad televizorius galėjo įrašyti garsą ir vaizdą, nors atrodė išjungtas, o informacija apie vietinį tinklą buvo perduodama į LG serverius. Šios išvados taikomos konkrečiam išbandytam įrenginiui, kuriame buvo įgyta root prieiga.

Tyrėjai taip pat išbandė mikrofoną. Kai balso paieška buvo aktyvi, televizorius įrašinėjo dar maždaug 10–15 sekundžių po paskutinės aptiktos kalbos. Įjungę tolimojo lauko mikrofono režimą ir padidinę jautrumą, jie galėjo užfiksuoti pažadinimo frazę „Hi LG“ bei kitus garsus iš didesnio atstumo.

Tokiomis sąlygomis po aktyvavimo tęsiama kalba galėjo būti užfiksuota kaip balso paieškos dalis. Mikrofono bandymuose jautrumas buvo sąmoningai padidintas, o veikimo nuotoliui išplėsti naudota pasirenkama pažadinimo žodžio funkcija.

Kibernetinio saugumo tyrėjai pažymi, kad užpuolikui paprastai reikėtų prieigos prie naudotojo privataus tinklo, kad galėtų išnaudoti pažeidžiamumą ir įgyti root prieigą. „Gamers Nexus“ atstovas Steve'as Burke'as teigė, kad atjungus eterneto kabelį televizorius galėtų persijungti į kitą tinklą ir perduoti duomenis, tačiau vaizdo įraše nepateikta įrodymų, jog realiai naudojami LG televizoriai iš tiesų taip elgiasi. Šis teiginys tebėra spekuliatyvus.

Privatumu besirūpinantys naudotojai gali sutikti tik su pagrindiniam veikimui būtinomis sąlygomis ir televizoriaus nustatymuose išjungti reklamos bei stebėjimo parinktis. Televizoriaus paskyrai verta naudoti atskirą el. pašto adresą ir peržiūrėti privatumo meniu, nes parinkčių pavadinimai skirtinguose modeliuose gali skirtis.

Jei balso valdymas nereikalingas, išjunkite televizoriaus mikrofoną arba naudokite išorinį srautinio turinio įrenginį su atskiru asistentu. Išjungus „Wi-Fi“ ir atjungus eterneto kabelį, tinklo veikla sumažės, o televizorius iš esmės veiks kaip paprastas ekranas. Tuomet srautinį turinį galima leisti per atskirą įrenginį. Kai kurie srautinio turinio grotuvai, pavyzdžiui, „Apple TV 4K“, nenaudoja ACR, nors „Apple“ vis tiek renka naudojimo duomenis suasmenintoms rekomendacijoms, o srautinio turinio programėlės registruoja naudotojų veiklą.

Ne visi „Gamers Nexus“ vaizdo įraše pateikti teiginiai yra vienodai pagrįsti dokumentais. Keli galimai nerimą keliantys veikimo būdai buvo pastebėti tik tyrėjams įgijus root prieigą prie įrenginio, o kai kurie scenarijai tebėra labiau hipotetiniai nei pademonstruoti nemodifikuotuose televizoriuose.