SamsungとVizioのスマートTVは、研究者が自動コンテンツ認識（ACR）機能を無効にした後も、ACRと一致する通信を送り続けていました。
この結果は、視聴状況の監視を防ぐプライバシー設定がどこまで信頼できるのかという疑問を投げかけています。ただし、暗号化された通信のため、研究者はこれらの送信内容に視聴データが含まれていたかどうか、またメーカーがそれを保持していたかどうかを確認できませんでした。
「Watching the Watchers: Privacy Analysis of US Smart TV Automatic Content Recognition」と題するこの研究は、10社のメーカーが手がける12台のテレビ、8種類のOSを対象に分析しました。
研究者は5,943回の自動実験を実施し、ACRを有効にした場合と無効にした場合の視聴シナリオを検証しました。
スマートTVの欠陥
ACRは、音声や映像のフィンガープリントを参照ライブラリと照合し、画面に表示されているコンテンツを識別します。この技術を使えば、アンテナ放送、HDMI接続機器、対応するストリーミングサービスのいずれで視聴した番組も把握できます。視聴率の測定やターゲティング広告に活用できる仕組みです。通常のアプリ分析とは異なり、ACRはさまざまな外部入力をまたいで動作します。
研究者は、アンテナ接続、HDMI入力、画面ミラーリングを通じて制御されたコンテンツを流しながら、ネットワークトラフィックを記録しました。
各シナリオは、2つのプライバシー設定それぞれで30回ずつ繰り返しました。これにより、オプトインした場合とオプトアウトした場合の挙動を比較できます。
分析では、コンテンツに関連するACR通信とバックグラウンド通信を区別しました。オプトアウトの有効性を評価する際は、オプトイン時の通信量の5%を下回る微量の残存分を除外しています。
SamsungのTizen搭載テレビでは、オプトアウト状態で実施した内蔵ストリーミングサービスのテスト30回すべてで、ACRに類似した通信が発生しました。通信はアンテナ経由の60回中41回、HDMI経由の30回中18回、Tubiのテスト30回中6回でも確認されました。
VizioのSmartCast搭載テレビも同様です。オプトアウト後も、特定されたAmazon KinesisのACRエンドポイントへの通信に目立った減少は見られませんでした。テストしたすべてのシナリオで、オプトアウトした実行のたびにこのエンドポイントへの通信が続きました。
これらの結果は、プライバシー設定に関するメーカー側の説明と矛盾します。Samsungは、ACRは任意であり設定から無効にできると説明しています。
一方、Vizioは、ユーザーはいつでも「Viewing Data」プログラムから離脱できるとしています。これに対し、LGのwebOS、SonyのGoogle TV、VIDAA、Fire TVの実装では、オプトアウトが有効に機能していました。ただし、Rokuの設定は自社のストリーミングサービスには適用されず、オプトアウトが実際に何を意味するのかにばらつきがあることが浮き彫りになりました。
調査では、視聴データが漏えいする別の経路も見つかりました。VIDAAは、音声フィンガープリントと永続的なデバイス識別子を、暗号化されていないMQTT接続で送信していました。
認証のないサーバーでは、3時間のサンプリング期間中に、100万台を超えるテレビに関連する5,700万件以上の認識結果が閲覧できる状態でした。VIDAAはその後サーバー認証を導入しましたが、通信は暗号化されないままだったと研究者は報告しています。
別の事例では、VizioのWatchFree+サービスが、ACRの設定とは無関係に、Amagiの配信インフラに関連する読み取り可能なDNSクエリとTLSのServer Name Indicationフィールドを通じて、番組やチャンネルの情報を露出していました。
これらの結果はテスト対象の端末とそのファームウェアに限ったもので、すべてのモデルに当てはまるわけではありません。暗号化された通信が続いていることは、オプトアウトの処理に不整合があることを示しています。ただし、企業がどのような情報を受け取り、処理し、保持していたのかまでは明らかになっていません。
MTTRを21分短縮し、被害が出る前にサイバー脅威を阻止。ANYRUNのサンドボックスをSOCに導入。
AuditSecurity
翻訳元: https://gbhackers.com/samsung-and-vizio-smart-tvs-continue-sending-viewing-data/
