В 5943 контролируемых экспериментах телевизоры на Samsung Tizen, Vizio OS и Roku OS продолжали обращаться к конечным точкам системы автоматического распознавания контента даже после отключения отслеживания в настройках. Исследование Northeastern University, о котором сообщает Ars Technica, не доказывает содержимое передаваемых данных из-за шифрования, но показывает неприятный разрыв между обещанием «не отслеживать» и наблюдаемым поведением устройства. Для пользователей и команд, отвечающих за домашнюю и корпоративную IoT-безопасность, слежка Smart TV перестаёт быть исключительно вопросом галочки в меню.
Авторы работы «Watching the Watchers: Privacy Analysis of US Smart TV Automatic Content Recognition» изучили восемь телевизионных ОС на 12 моделях десяти производителей: Amazon, Hisense, LG, Roku, Samsung, Sony, Supersonic, TCL, Vizio и Westinghouse. По оценке ведущего автора Илгара Маммадова, эти ОС покрывают около 95% рынка США. Исследователи управляли устройствами по Wi‑Fi, фиксировали их сетевой обмен инструментами Mon(IoT)r и SPHERE Research Infrastructure и определяли адреса ACR-сервисов для каждой платформы.
ACR — это технология автоматического распознавания контента. Телевизор может формировать снимки экрана или фрагменты аудио и отправлять их на сервер, где данные применяют для измерения аудитории и таргетированной рекламы. В теории отказ от отслеживания должен ограничить такой обмен. На практике исследователи увидели трафик, согласующийся с работой ACR, уже после opt-out. Это важная оговорка: зашифрованные полезные данные они не расшифровывали, поэтому не могут утверждать, что устройства точно передавали аудио или изображения. Но сам факт регулярных обращений к профильным точкам назначения после запрета выглядит как минимум подозрительно.
На Roku OS такое поведение обнаружили только при использовании встроенного сервиса The Roku Channel. Это отдельно оговорено в условиях использования Roku и, как указывают авторы, в настройках TCL-телевизоров с этой ОС. С Samsung Tizen и Vizio OS картина сложнее: обращения фиксировались в большем числе сценариев, включая просмотр через фирменные приложения, антенну и HDMI. Samsung и Vizio на момент публикации не ответили Ars Technica на вопрос, почему трафик направляется к ACR-конечным точкам, когда пользователь отключил отслеживание.
Что увидели на Tizen и Vizio OS
У Samsung Tizen трафик, похожий на ACR, сохранялся во всех 30 измерениях с фирменным стриминговым приложением. В сценариях с антенной он наблюдался в 41 из 60 тестов, а при подключении по HDMI — в 18 из 30. Более чем в половине экспериментов с динамическим видео и аудио от внешнего HDMI-источника исследователи также видели обращения к ACR-адресам. Это не равно доказанному сбору пользовательских данных: телеметрия, проверка конфигурации или ошибка реализации теоретически тоже могут породить сетевой обмен. Однако для владельца телевизора разница невелика: его выбор не отражается в сетевом поведении устройства.
В Vizio OS исследователи сочли наиболее похожим на ACR назначением сервис Amazon Kinesis. Трафик к нему прекращался при использовании сторонних стриминговых приложений и трансляции экрана — это согласуется с заявлением Vizio из отчётности 2021 года о том, что ACR не собирает данные из таких источников. Но во всех сценариях с отключённым отслеживанием — 100% измерений — обращения к этому endpoint сохранялись. Более того, телевизор посылал трафик, когда простаивал. Авторы не утверждают, что Vizio игнорирует настройку намеренно, но фиксируют отсутствие наблюдаемого эффекта от неё.
Маммадов считает маловероятной версию, при которой операторы ОС всё же передают данные, а затем просто удаляют их на сервере. Такой подход расходует пользовательский трафик и ресурсы инфраструктуры без понятной пользы. При этом исследование не позволяет независимо проверить серверную сторону. Авторы аккуратно ограничивают выводы: разные поставщики ACR и ОС запускают распознавание в разных условиях, поэтому переносить результаты на устройства вне выборки нельзя. Зато методика воспроизводима — это редкий случай, когда непрозрачность прошивок можно хотя бы частично компенсировать сетевыми измерениями.
Старая проблема в новом интерфейсе
У телевизионного рынка уже есть история конфликтов вокруг согласия пользователя. В 2017 году Федеральная торговая комиссия США заявила, что Vizio собирала данные через ACR без согласия, и компания выплатила 2,2 млн долларов для урегулирования претензий. Годом ранее генеральный прокурор Техаса Кен Пакстон подал иск к Samsung, Hisense, LG, Sony и TCL, обвинив их в незаконном сборе персональных данных через ACR; Samsung впоследствии согласилась яснее описывать эту практику в условиях использования. Новая работа не повторяет юридические выводы регуляторов, но напоминает, почему формулировка и работа кнопки отказа должны совпадать.
Для разработчиков телевизионных платформ это история не только о комплаенсе. Если настройка приватности меняет лишь интерфейс, но не сетевой профиль устройства, её невозможно надёжно проверить ни пользователю, ни службе ИБ. Исследователи предлагают производителям прямо указывать в политике конфиденциальности все источники, которые видит ACR: эфирный сигнал, HDMI, приложения и трансляцию экрана, а также аутентифицировать и шифровать ACR-трафик. Последний совет особенно показателен: шифрование защищает данные в пути, но одновременно осложняет внешний аудит того, выполняется ли отказ от их сбора.
Практический вывод для тех, кто не готов доверять закрытой телеметрии: отделить телевизор от основной сети, блокировать известные домены ACR на DNS или шлюзе и использовать внешнее устройство для просмотра контента, если оно не применяет такое распознавание. Это не универсальный рецепт: блокировки могут затронуть функции платформы, а список адресов меняется. Но в условиях, когда слежка Smart TV может продолжаться после отключения в меню, сетевой контроль остаётся понятнее и проверяемее, чем настройка с оптимистичным названием. Открытый вопрос теперь не в том, есть ли у пользователей переключатель, а в том, могут ли независимые исследователи подтвердить, что он действительно отключает сбор данных. Методологию, результаты и перечень адресов ACR авторы опубликовали вместе с исследованием, на которое ссылается .
