Phân tích kỹ thuật: Smart TV Samsung và Vizio tiếp tục thu thập dữ liệu người dùng

• Phát hiện quan trọng: Các thiết bị Smart TV từ Samsung và Vizio tiếp tục gửi lưu lượng truy cập liên quan đến Automatic Content Recognition (ACR) bất chấp việc người dùng đã vô hiệu hóa tính năng này.
• Rủi ro bảo mật: Lưu lượng truy cập được mã hóa khiến việc xác định chính xác dữ liệu bị truyền tải trở nên khó khăn, gây lo ngại về quyền riêng tư và giám sát người dùng.
• Phạm vi nghiên cứu: Nghiên cứu 'Watching the Watchers' đã thực hiện 5.943 thí nghiệm trên 12 mẫu TV thương mại, đại diện cho 95% thị trường Smart TV tại Mỹ.
• Khuyến nghị: Người dùng nên cân nhắc ngắt kết nối internet của TV hoặc chặn các endpoint ACR đã xác định để giảm thiểu rủi ro rò rỉ dữ liệu.

Trong một nghiên cứu chuyên sâu về quyền riêng tư trên các thiết bị gia dụng thông minh, các nhà nghiên cứu bảo mật đã công bố những phát hiện đáng lo ngại về cơ chế hoạt động của tính năng Automatic Content Recognition (ACR) trên các dòng Smart TV phổ biến. ACR là công nghệ cho phép TV nhận diện nội dung đang hiển thị trên màn hình thông qua các mẫu âm thanh, video hoặc dấu vân tay kỹ thuật số (digital fingerprints), từ đó phục vụ mục đích đo lường khán giả và quảng cáo mục tiêu.

Nghiên cứu đã tiến hành 5.943 thí nghiệm tự động, so sánh hoạt động mạng của 12 mẫu TV từ 10 nhà sản xuất khác nhau. Kết quả cho thấy, trong khi các hệ thống như LG webOS, Sony Google TV, Amazon Fire TV và VIDAA tuân thủ việc ngừng gửi dữ liệu khi người dùng chọn 'opt-out', thì Samsung và Vizio lại cho thấy hành vi ngược lại.

Phân tích hành vi truyền tải dữ liệu trên Samsung và Vizio

Đối với các thiết bị Samsung chạy hệ điều hành Tizen, các nhà nghiên cứu ghi nhận lưu lượng truy cập có đặc điểm tương đồng với ACR trong tất cả 30 bài kiểm tra sau khi đã tắt tính năng này. Cụ thể, lưu lượng này xuất hiện trong 41/60 bài kiểm tra qua ăng-ten, 18/30 bài kiểm tra qua cổng HDMI và 6/30 bài kiểm tra trên ứng dụng Tubi.

Tương tự, các dòng TV Vizio SmartCast liên tục duy trì kết nối với endpoint Amazon Kinesis ACR trong mọi kịch bản thử nghiệm, ngay cả khi tính năng đã được vô hiệu hóa. Mặc dù phần lớn lưu lượng này được mã hóa, gây khó khăn cho việc giải mã nội dung, nhưng các nhà nghiên cứu đã dựa vào các mẫu hình mạng (network patterns), thời gian, khối lượng dữ liệu và đích đến để xác định sự tồn tại của các luồng dữ liệu này.

Các rủi ro bảo mật tiềm ẩn

Ngoài vấn đề ACR, nghiên cứu còn chỉ ra các lỗ hổng nghiêm trọng khác trong việc bảo mật dữ liệu người dùng:

• Truyền tải không mã hóa: Hệ thống VIDAA truyền tin nhắn ACR qua giao thức MQTT mà không có mã hóa, làm lộ các định danh thiết bị, tên ứng dụng và dấu vân tay âm thanh.
• Lộ lọt dữ liệu qua DNS: Dịch vụ WatchFree+ của Vizio đặt thông tin chương trình hoặc kênh vào tên mạng, có thể bị quan sát qua các truy vấn DNS và TLS server-name.
• Máy chủ không xác thực: Một máy chủ không được bảo mật đã làm lộ hơn 57 triệu kết quả phát hiện, liên quan đến hơn một triệu thiết bị TV.

Khuyến nghị phòng thủ và giảm thiểu rủi ro

Để bảo vệ quyền riêng tư trước các hành vi thu thập dữ liệu không mong muốn từ Smart TV, các chuyên gia khuyến nghị người dùng và quản trị viên mạng thực hiện các biện pháp hardening sau:

• Ngắt kết nối mạng: Nếu không cần thiết sử dụng các tính năng thông minh, việc ngắt kết nối TV khỏi internet là phương pháp hiệu quả nhất.
• Chặn Endpoint: Sử dụng Firewall hoặc các thiết bị lọc DNS để chặn các domain hoặc IP endpoint ACR đã được xác định trong các báo cáo kỹ thuật.
• Kiểm soát quyền ứng dụng: Thường xuyên rà soát các quyền được cấp cho các ứng dụng cài sẵn trên TV và các dịch vụ đi kèm.
• Sử dụng thiết bị ngoại vi: Ưu tiên sử dụng các thiết bị streaming rời (như Apple TV, Nvidia Shield) và cấu hình quyền riêng tư trên các thiết bị này thay vì sử dụng hệ điều hành tích hợp sẵn trên TV.

Nghiên cứu này là lời cảnh báo cho người dùng về sự thiếu minh bạch trong việc quản lý dữ liệu trên các thiết bị IoT gia đình. Việc tuân thủ các nguyên tắc bảo mật cơ bản và giám sát lưu lượng mạng tại gia đình là cần thiết để ngăn chặn các hành vi xâm phạm quyền riêng tư từ các nhà sản xuất thiết bị. Bạn có thể tham khảo thêm chi tiết về các kỹ thuật phân tích tại CISA hoặc các tài liệu về MITRE ATT&CK để hiểu rõ hơn về các kỹ thuật thu thập dữ liệu mạng.