Умный телевизор может оказаться не только экраном для сериалов, но и чужим сетевым узлом. Исследователи Spur Labs нашли компоненты резидентских прокси в 2 058 из 6 038 приложений для LG webOS и Samsung Tizen. Для владельца это означает неприятную вещь: домашний IP-адрес могут использовать в коммерческой прокси-сети, а человек часто узнает об этом только из длинного пользовательского соглашения.
LG уже пообещала удалить такой функционал из каталога webOS и приостанавливать приложения, если разработчики его не уберут. Для рынка умных телевизоров это редкий случай, когда платформодержатель публично признает проблему не на уровне «сомнительной телеметрии», а на уровне сетевого поведения сторонних приложений.
Что именно нашли в магазинах приложений
Spur Labs проверила 6 038 приложений для телевизоров LG и Samsung. Следы SDK для резидентских прокси нашли в 2 058 из них, то есть в 34,1% выборки.
По платформам разрыв заметный, но обе цифры выглядят тревожно. В каталоге LG webOS такие компоненты нашли в 42,5% приложений, в экосистеме Samsung Tizen — в 26,9%. Речь не о единичных «серых» утилитах: прокси-функции обнаружили в заставках, простых играх и служебных приложениях.
Схема прозаична. Разработчик встраивает в приложение сторонний SDK, который позволяет использовать телевизор как узел прокси-сети. Пользователю могут предложить выбор: смотреть рекламу или согласиться на «обмен сетевыми ресурсами». На практике это означает, что через домашнее подключение пойдет чужой трафик, а телевизор для такого сценария почти идеален: он постоянно в сети, редко выключается полностью и у большинства людей не ассоциируется с устройством, которое вообще стоит проверять на сетевую активность.
Почему LG вмешалась, а Samsung пока молчит
После публикации исследования старший вице-президент LG Джон Тейлор заявил, что использование телевизоров компании как узлов резидентской прокси-сети не соответствует назначению платформы webOS. Компания начала проверку каталога и предупредила разработчиков: если прокси-функции не уберут, приложения будут приостановлены.
LG также пообещала ужесточить проверку SDK, которые разработчики добавляют в сборки. Это важный момент: проблема здесь не в самих прокси как классе технологий, а в том, что такой механизм массово прячут в бытовых устройствах, которые пользователь не умеет и не планирует аудировать.
Публичной реакции Samsung такого же уровня на момент подготовки текста не было. Но по цифрам Spur проблема у Tizen тоже системная, просто доля таких приложений там ниже, чем у LG.
Чем это грозит пользователям и ИБ-командам
Резидентские прокси сами по себе не вне закона. Их используют для проверки рекламы, мониторинга цен, тестирования сервисов, сбора открытых данных и других легальных задач. Проблема начинается там, где домашний IP-адрес превращают в товар без внятной прозрачности и постоянного контроля.
Для пользователя риск очевиден: через его соединение может идти трафик, к которому он не имеет отношения. Для команд информационной безопасности проблема глубже. Если провайдер прокси плохо фильтрует запросы, такой узел может использоваться для обхода ограничений, агрессивного сбора данных или другой сомнительной активности. В расследованиях, антифроде и работе с репутацией IP это создает лишний шум: подозрительный трафик формально идет с домашнего адреса обычного человека.
Для российского и СНГ-рынка вывод практичный. Умные телевизоры давно перестали быть «просто бытовой техникой» и требуют того же отношения, что и другие подключенные устройства в сети. Если дома или в офисе используют Smart TV, имеет смысл удалить ненужные игры, заставки и утилиты, пересмотреть разрешения приложений и по возможности держать такие устройства в отдельном сегменте сети. Особенно если телевизор стоит в переговорной, шоуруме или съемной квартире, где к нему имеет доступ много людей.
Если LG действительно доведет зачистку до конца, рынку телевизионных приложений придется быстрее взрослеть: скрытая монетизация через сетевые ресурсы пользователя уже выглядит не как «хитрый способ заработать», а как прямой путь к блокировке в магазине приложений. Оригинал: .