LG akıllı televizyonlar bekleme modunda ses kaydediyor ve ev ağlarını haritalıyor, Gamers Nexus ortaya çıkardı

Soruşturmada ne bulundu

Gamers Nexus, Level1Techs ve bağımsız güvenlik araştırmacılarıyla birlikte çalışarak G5 dahil olmak üzere perakende LG OLED televizyonları test etti ve trafiğini Wireshark ile izledi. Bulguları aktaran Notebookcheck'e göre, paket kayıtları televizyonların, telefonlar ve akıllı saatler dahil olmak üzere televizyonla ilgisiz donanımlar için ev ağında etkin biçimde araştırma yaptığını gösterdi.

Rapora göre televizyonlar iç IP adreslerinin yanı sıra komşu Wi-Fi ağlarının adlarını ve sinyal güçlerini de konum verisiyle birlikte topladı. Testler ayrıca televizyonların işletim sistemi olan webOS'un kullanıcıların sesli promptlarını düz metin olarak sakladığına işaret etti.

Ekran kapalıyken mikrofon kayıtları

En çarpıcı iddia bekleme modu davranışıyla ilgili. Notebookcheck tarafından anlatılan tezgah üstü testler sırasında televizyon, ekranı kapalıyken, ya da en azından kapalı görünürken, anlaşılır mikrofon sesi kaydetti. Araştırmacılar Ethernet kablosunu çıkardıklarında ise televizyonun ses girdisini yerel depolamaya kaydetmeye devam ettiği ve ağ erişimi geri geldiği anda biriken dosyaları yüklediği bildirildi.

Bu tamponlama davranışı önemli: Televizyonu kısa süreliğine çevrimdışı bırakmak mutlaka veri toplamayı durdurmuyor; iletimi bağlantı geri gelene kadar erteleyebiliyor.

Verinin arkasındaki reklam hattı

Notebookcheck, toplanan bilgi havuzunun LG'nin hedefli reklam birimi olan LG Ad Solutions'ı beslediğini bildiriyor. LG küresel çapta yaklaşık 216 milyon akıllı televizyon satışı olduğunu iddia ederken, reklam bölümü yalnızca ABD'de aynı ağlardaki diğer donanımı izleyerek 363 milyon ikincil adreslenebilir cihaza erişimi olduğunu söylüyor.

Televizyonlar ayrıca, izleyicilerin girdiler arasında ne izlediğini kaydetmek için ekrandaki sesi ve görüntüyü dijital parmak izlerine örnekleyen Automated Content Recognition (ACR) çalıştırıyor. Notebookcheck'in de belirttiği gibi, akıllı televizyonlardaki ACR yıllardır iyi belgelenmiş bir durum; yeni testlerin öne çıkardığı şey, LG'nin veri toplamasının içerik tanımanın çok ötesine uzandığı.

Hâlâ ifşa sürecinde olan güvenlik açıkları

Gizlilik bulgularının ötesinde araştırmacılar, webOS'ta uzaktan kod yürütme (remote code execution) zafiyetleri belgeledi. Bu sorunlar şu anda sorumlu ifşa (responsible disclosure) sürecinden geçtiği için teknik ayrıntılar şimdilik sınırlı.

Televizyonların kutudan çıktığı haliyle geniş kapsamlı ağ dinleyicileri ve ağ taramalarıyla birlikte gelmesi nedeniyle ekibin önerisi netti: LG televizyonları internetten tamamen ayırın ve bunun yerine harici bir yayın cihazı kullanın. Notebookcheck, yayım tarihi itibarıyla LG'nin bulgulardan hiçbirine yorum yapmadığını not ediyor.

Neden önemli

Ev ağındaki her cihazı haritalayan, sahiplerinin izlediği her şeyi parmak izine çeviren ve kapalı görünürken oda sesini kaydeden bir televizyon, oturma odasında "kapalı" kelimesinin anlamını değiştiriyor. LG Ad Solutions'a bağlı rakamlar ölçeği hissettiriyor: Yüz milyonlarca satılmış televizyon ve yalnızca televizyonlardan biriyle aynı yönlendiriciyi paylaştıkları için şirkete görünür hale gelen yüz milyonlarca ek hane cihazı.

Düz metin sesli kayıtlar ve devam eden uzaktan kod yürütme ifşaları, gizlilik sorununun üzerine bir güvenlik boyutu ekliyor; çünkü reklam verisi toplamayı mümkün kılan ağa dönük davranış aynı zamanda saldırı yüzeyini de genişletiyor. Ve donanım bağlantı kesildiğinde kaydetmeye devam edip sonra yüklediği için, aralıklı bağlantı kesme güvenilir bir çözüm değil. Araştırmacıların pratik çıkarımı rahatsız edici ama basit: En ucuz çözüm, akıllı televizyonu aptal tutmak ve yayını ayrı bir kutuya yaptırmak.