Vypínáte sběr dat o sledování TV? U Samsungu možná zbytečně

Přepnete v nastavení televizoru zákaz sledování a čekáte, že tím příběh končí. Jenže u některých testovaných televizí Samsung pokračoval síťový provoz, který odpovídal automatickému rozpoznávání obsahu (ACR) i poté. Televizory tak podle výzkumníků mohly dál hlásit, co se na obrazovce děje. Leckoho přitom možná překvapí, že dokonce třeba i při přehrávání přes HDMI.

Abychom zase nepřeháněli. Výzkum má jeden zásadní háček. Vědci totiž zachytili šifrovaná spojení, jejichž chování odpovídalo ACR, ale neviděli jejich obsah. Že televizory po odmítnutí opravdu odesílaly data o sledovaných pořadech, tak nelze s jistotou prohlásit. I tak ale výsledky vzbuzují podezření a ukazují, že vypnutí příslušné funkce rozhodně nemusí zastavit veškerý související provoz. Jasný důkaz porušení soukromí to však není.

Síťový provoz prozradí víc, než se zdá

Výzkumníci z Northeastern University sledovali síťový provoz dvanácti televizorů od deseti značek. Pokryli osm operačních systémů, které podle studie představují zhruba 95 procent amerického trhu, a provedli celkem 5 943 kontrolovaných měření.

ACR funguje trochu jako Shazam pro obrazovku. Televizor pořizuje krátké vzorky obrazu či zvuku, případně z nich vytvoří digitální otisk, a odešle ho ke vzdálené službě. Ta se pokusí určit, co právě sledujete. A protože ACR běží na úrovni televizoru, může se zajímat i o film z Blu-ray přehrávače nebo obraz z herní konzole. Nezáleží tedy jen na tom, kterou aplikaci otevřete.

testbed sběr dat o sledovani TV 1272x672x

Výzkumníci ovládali televizory na dálku, kamerami ověřovali obraz a analyzovali jejich síťový provoz, zdroj: watchingthewatchers.github.io

Výzkumníci nemuseli televizory hackovat ani číst jejich interní data. Sledovali, kam se přístroje připojují, jak často a jak se provoz mění při přehrávání různého obsahu. Když se komunikace s konkrétním serverem objevovala při zapnutém ACR a reagovala na obraz na displeji, mohli ji s touto funkcí spojit.

Faktem ale zůstává, že HTTPS šifrování obsah dat pro výzkumníkům ukrylo. Ne vždy ale utají, kam televizor se televizor připojuje, kdy a kolik dat přenáší. Právě tyto síťové stopy vědci porovnávali před vypnutím ACR i po něm.

Nejvyšší podezření na sběr dat u Tizenu a Vizia

Největší otazníky studie vznesla kolem systému Samsung Tizen a televizorů Vizio. Po vypnutí ACR totiž komunikace s podezřelými servery nepřestala. U Tizenu se objevovala při sledování vestavěné streamovací služby, v části měření s anténou a také při přehrávání přes HDMI. A stejné to bylo u televizorů Vizio, které v USA prodává Walmart. I tady výzkumníci zaznamenali komunikaci se servery spojenými s ACR ve všech testovaných scénářích.

Samotný síťový provoz ale není důkazem, že televizory dál odesílaly údaje o sledovaném obsahu. Spojení byla šifrovaná, takže výzkumníci nemohli přečíst jejich obsah ani ověřit, co se s daty dělo na serveru. Vizio serveru The Verge tvrdilo, že šlo o běžnou diagnostiku a provozní data, nikoli o ACR. Samsung pak obecně uvádí, že ACR je volitelná funkce a lze ji vypnout. K výsledkům samotné studie se však v citovaných zprávách nevyjádřil.

U Roku se problém týkal především u streamovací služby The Roku Channel, na kterou se ale podle podmínek platformy vypnutí sledování nevztahuje. U ostatních zdrojů ho výzkumníci zaznamenali jen v několika případech. Pomyslnou hvězdičku si ovšem z testovaných televizorů odneslo pouze LG se systémem webOS, Sony s Google TV a pak ještě Fire TV od Amazonu. U nich po odmítnutí sledování odpovídající provoz zcela ustal. Výsledky se pochopitelně vztahují ke konkrétním testovaným modelům a verzím softwaru, takže je nelze automaticky považovat za univerzálně platné napříč nabídkami společností.

Výzkumníci se na sběr dat podívali i z druhé strany

U systému VIDAA výzkumníci odhalili bezpečnostní chybu v infrastruktuře ACR spojené s reklamní platformou Unruly. Našli server, který přijímal zprávy z televizorů bez ověření přístupu. Během tří hodin z něj získali přes 57 milionů výsledků rozpoznávání obsahu z více než milionu televizorů. Nešlo o další laboratorní testy: zprávy přicházely z přístrojů používaných v reálném prostředí.

Z nálezu ale nelze vyvodit, že všichni jejich majitelé se sběrem dat nesouhlasili. Výzkumníci neznali nastavení soukromí jednotlivých televizorů ani souhlas jejich uživatelů. Ukázali však, že zprávy včetně identifikátorů televizorů mohl ze serveru získat kdokoli bez přihlášení. Provozovatel následně přístup zabezpečil, samotná komunikace podle studie zůstala nešifrovaná.

A co tedy s tím?

Pokud patříte mezi ty, kterým jakýkoli sběr dat o sledování TV vadí, pak existuje hned několik možností, jak jej omezit. Vedle vypnutí ACR v nastavení lze televizor odpojit od internetu a jeho chytré funkce svěřit externímu přehrávači. Provoz známých ACR serverů lze také blokovat pomocí domácího routeru nebo DNS filtrů. Je ale potřeba počítat s tím, že takový zásah už může ovlivnit i další funkce. A ani s tím alternativním přehrávačem to nemusí být výhra, pokud je také připojený k internetu.

Zdá se, že v aktuálně možná pomůže i vibecoding, který někteří uživatelé používají k úpravám uživatelského prostředí televizorů. Změna domovské obrazovky však neznamená, že se zastaví sledování ukryté hlouběji v systému. K tomu je třeba řešit také síťovou komunikaci a nastavení soukromí. Osobně se ale domnívám, že to u systémů chytrých televizorů nebude až tak velký problém.

A pak je tu ještě jeden pohled na celý problém. Personalizovaná doporučení nejsou vždy obtěžující. Často je tomu přesně naopak. Nepříjemné ale je, že bez sběru dat by nemohou fungovat. Právě díky znalosti našeho vkusu jsou totiž lákavější a úspěšnější než náhodná nabídka obsahu. Mně osobně tak příliš nevadí. Například u dětí bych ale z jejich vlivu už tak nadšený nebyl. Ať už člověk patří do kteréhokoli tábora, jedno je jisté. Pokud výrobce nabízí možnost sběr dat zastavit, měl by toto rozhodnutí respektovat.

Zdroje: watchingthewatchers.github.io, watchingthewatchers.github.io, theverge.com, arstechnica.com, samsung.com