Умные ТВ продолжают связываться с серверами отслеживания просмотров даже после отключения слежки в настройках

Исследователи Северо‑Восточного университета выявили более 57 млн общедоступных записей о том, какой контент смотрели пользователи. Эти записи связаны с более чем 1 млн уникальных умных телевизоров. Также проект обнаружил, что некоторые платформы продолжали передавать данные даже после того, как пользователи отключили функцию автоматического распознавания контента (ACR).

В рамках исследования Watching the Watchers проанализировали 12 смарт‑телевизоров от десяти производителей. Исследуемые устройства работали под управлением 8 операционных систем. Всё это в совокупности составляет примерно 95% американского рынка умных ТВ.

Авторы работы провели почти 6 тыс. автоматизированных экспериментов для оценки работы систем слежения, эффективности отказа от сбора данных и доступности информации о просмотрах. Самую серьёзную утечку зафиксировали в операционной системе Vidaa — ACR‑система передавала данные на серверы Unruly по незашифрованному протоколу MQTT.

Передаваемые телевизорами данные содержали постоянный идентификатор устройства, часовой пояс, название приложения, источник входного сигнала, номер телеканала и аудиофингерпринтинг. Для доступа к соответствующему серверу не требовалась аутентификация. Это позволяло третьим лицам просматривать результаты распознавания контента, полученные с других телевизоров.

Исследователи собирали данные в течение трёх часов — эксперимент ограничили по времени из этических соображений. Однако за это время удалось получить свыше 57 млн записей. Результаты включали 82 категории контента, включая политику, религию, здравоохранение и медицину.

Метаданные приложений также выявили потенциально деликатные интересы. Проект выявил отслеживание с помощью Vidaa Kids, что вызвало опасения по поводу конфиденциальности детей, в то время как другое приложение передавало названия теле‑ и кинофильмов напрямую.

Vidaa подтвердила наличие проблемы после её раскрытия. Компания внедрила аутентификацию, но исследователи отметили, что сообщения оставались незашифрованными.

Команда также воспроизвела ранее зафиксированное сообщение, которое достигло тестового телевизора. Исследователи не пытались доставить вредоносный контент, поэтому потенциальное воздействие осталось неподтверждённым.

ACR‑системы идентифицируют программы путём сопоставления аудио‑ и видеотпечатков с эталонными библиотеками. Во время тестирования исследователи проверяли работу ACR‑системы при просмотре эфирного телевидения через антенну, использовании стриминговых сервисов, подключении устройств через HDMI, зеркалировании экрана и в режиме ожидания.

Функция отказа от участия полностью работала на протестированных версиях LG webOS, Sony Google TV, Amazon Fire TV и Vidaa.

В ходе 30 тестов встроенного потокового сервиса Tizen от Samsung продолжала генерировать трафик, соответствующий заявленным параметрам распознавания. Остаточный трафик также наблюдался при просмотре через антенну, HDMI и Tubi.

После отключения функции SmartCast от Vizio трафик к указанной точке распознавания Amazon Kinesis заметно не снизился. Настройки Roku не распространялись на собственный стриминговый сервис.

Большая часть трафика, связанного с распознаванием контента, была зашифрована. Если телевизор продолжал передавать данные после отключения ACR, исследователи имели возможность зафиксировать поведение. Однако команда не могла достоверно установить, какие данные передавались внутри зашифрованных сообщений, как серверы обрабатывали полученную информацию, сохранялись ли эти данные и как долго.

Сервис WatchFree+ от Vizio раскрывал названия программ и каналов через незашифрованные DNS‑запросы и протокол TLS Server Name Indication, связанный с потоковым провайдером Amagi. Это позволяло наблюдателям за сетевым трафиком восстанавливать последовательность просмотра независимо от настроек ACR.

Полученные результаты относятся к протестированным устройствам и прошивкам, а не ко всем телевизорам. Исследователи рекомендуют аутентифицировать и шифровать трафик распознавания, проводить независимую проверку отказов от участия и удалять информацию о просмотре из имён хостов потокового вещания. Они также призывают к более чёткому раскрытию информации, идентифицирующей контролируемые входные данные и приложения.