Μια εκτενής έρευνα του Gamers Nexus, σε συνεργασία με το Level1Techs και ανεξάρτητους ερευνητές ασφαλείας, φέρνει στο φως σοβαρά ζητήματα ιδιωτικότητας και ασφάλειας σε ορισμένες Smart TVs της LG με το λειτουργικό σύστημα webOS. Τα ευρήματα αφορούν τόσο τη συλλογή υπερβολικών δεδομένων κατά την κανονική λειτουργία της τηλεόρασης όσο και ευπάθειες που, εφόσον αξιοποιηθούν, μπορούν να δώσουν σε έναν επιτιθέμενο πολύ μεγαλύτερο έλεγχο στη συσκευή και να την κάνουν μέχρι και να «κρυφακούει», ακόμη και όταν η οθόνη φαίνεται κλειστή και η τηλεόραση βρίσκεται σε standby.
Περνώντας σε λεπτομέρειες, οι ερευνητές ασφαλείας εξέτασαν εμπορικά OLED μοντέλα, μεταξύ των οποίων και την LG G5, καταγράφοντας την κίνηση του δικτύου. Μέσα από τις δοκιμές τους διαπίστωσαν ότι οι τηλεοράσεις πραγματοποιούσαν αναζητήσεις μέσα στο τοπικό δίκτυο, εντοπίζοντας άλλες συνδεδεμένες συσκευές, ενώ συνέλεγαν και πληροφορίες για γειτονικά Wi-Fi δίκτυα, όπως τα ονόματα και την ισχύ του σήματός τους. Το συγκεκριμένο κομμάτι αφορά συμπεριφορές που παρατηρήθηκαν στην κανονική λειτουργία της πλατφόρμας και δεν απαιτούσαν παραβίαση της τηλεόρασης.
Μέρος της συλλογής δεδομένων συνδέεται με το Automated Content Recognition, γνωστό ως ACR, τεχνολογία που χρησιμοποιείται ευρέως στις Smart TVs. Το ACR δημιουργεί ψηφιακά «αποτυπώματα» από εικόνα και ήχο, ώστε να αναγνωρίζει τι παρακολουθεί ο χρήστης ακόμη και όταν το περιεχόμενο προέρχεται από εξωτερική πηγή, όπως κονσόλα ή αποκωδικοποιητή. Ναι, παρόλο που μπορεί να μην το γνωρίζατε, πολλές smart τηλεοράσεις πλέον έχουν αυτή την τεχνολογία, η οποία σχετίζεται με τη στοχευμένη διαφήμιση και δεν χρειάζεται ούτε hacking, ούτε κάποια ευπάθεια, αφού πραγματοποιείται στο πλαίσιο της τυπικής λειτουργίας της συσκευής.
Το πιο ανησυχητικό εύρημα αφορά όμως το μικρόφωνο. Συγκεκριμένα, οι ερευνητές έδειξαν είναι ότι μια παραβιασμένη τηλεόραση μπορεί να χρησιμοποιηθεί για καταγραφή καθαρού ήχου ακόμη και όταν η οθόνη φαίνεται κλειστή και η συσκευή βρίσκεται σε standby. Σε αυτό το σενάριο, ο ήχος μπορούσε να αποθηκευτεί τοπικά όταν η τηλεόραση δεν είχε πρόσβαση στο internet και να ανακτηθεί αργότερα. Βέβαια, αυτό δεν σημαίνει ότι η ίδια η LG αποθηκεύει και αποστέλλει σκόπιμα τέτοιες συνομιλίες στους servers της, αλλά οι ερευνητές εντόπισαν ευπάθειες στο webOS που μπορούν, εφόσον αξιοποιηθούν για την παραβίαση της συσκευής από κακόβουλους, να τη μετατρέψουν σε ιδιαίτερα αποτελεσματικό “κοριό”.
Η διάκριση φυσικά είναι σημαντική και επισημαίνεται και από τη Malwarebytes που ειδικεύεται στην κυβερνασφάλεια: Άλλο πράγμα είναι οι λειτουργίες και η τηλεμετρία που υπάρχουν κανονικά στο webOS και άλλο οι δυνατότητες που αποκτώνται μετά από εκμετάλλευση ευπαθειών.
Τέλος, η ερευνητική ομάδα εντόπισε και ευπάθειες remote code execution στο webOS. Οι τεχνικές λεπτομέρειες δεν έχουν ακόμη δημοσιοποιηθεί, καθώς τα προβλήματα βρίσκονται σε διαδικασία responsible disclosure προς την LG. Μέχρι να δοθούν περισσότερα στοιχεία, δεν υπάρχει ένδειξη ότι οι συγκεκριμένες ευπάθειες αξιοποιούνται ήδη μαζικά σε πραγματικές επιθέσεις.
Μέχρι να κυκλοφορήσουν διορθώσεις, οι ερευνητές προτείνουν την εγκατάσταση όλων των διαθέσιμων ενημερώσεων, την απενεργοποίηση λειτουργιών όπως το ACR και ο φωνητικός έλεγχος αν δεν χρησιμοποιούνται και για όσους θέλουν τη μέγιστη δυνατή απομόνωση, την αποσύνδεση της τηλεόρασης από το internet και τη χρήση άλλης εξωτερικής συσκευής για πρόσβαση στο YouTube, το Netflix κ.ά.
Πηγή: unboxholics.com