As smart TVs da Samsung e da Vizio continuaram enviando tráfego compatível com o reconhecimento automático de conteúdo (ACR, sigla de Automatic Content Recognition), mesmo depois que pesquisadores desativaram o recurso.
O caso levanta dúvidas sobre o quanto os controles de privacidade são confiáveis para impedir a vigilância sobre o que o usuário assiste. No entanto, conexões criptografadas impediram os pesquisadores de confirmar se essas transmissões continham dados de visualização ou se os fabricantes os retinham.
O estudo, intitulado “Watching the Watchers: Privacy Analysis of US Smart TV Automatic Content Recognition” (algo como “Observando os observadores: análise de privacidade do reconhecimento automático de conteúdo em smart TVs dos EUA”), examinou 12 televisores de 10 fabricantes, que utilizam oito sistemas operacionais diferentes.
Os pesquisadores realizaram 5.943 experimentos automatizados, testando cenários de visualização com o ACR ativado e desativado.
Falhas nas smart TVs
O ACR identifica o conteúdo exibido na tela por meio de impressões digitais de áudio ou vídeo, que são comparadas com bibliotecas de referência. Essa tecnologia pode identificar a programação assistida por antena, por dispositivos conectados via HDMI (interface multimídia de alta definição) ou por serviços de streaming compatíveis, o que possibilita medir audiência e exibir publicidade direcionada. Diferentemente das análises comuns de aplicativos, o ACR pode funcionar em diversas entradas externas.
Os pesquisadores capturaram o tráfego de rede enquanto forneciam conteúdo controlado por conexões de antena, entradas HDMI e espelhamento de tela.
Cada cenário foi repetido 30 vezes para as duas configurações de privacidade, o que permitiu comparar o comportamento com a opção de compartilhamento ativada e desativada.
A análise separou o tráfego do ACR relacionado ao conteúdo das comunicações de segundo plano. Para avaliar a eficácia da desativação, os pesquisadores desconsideraram pequenos volumes residuais, abaixo de 5% do tráfego com a opção ativada.
As TVs da Samsung com sistema Tizen continuaram gerando tráfego semelhante ao do ACR em todos os 30 testes com a opção desativada que envolviam seu serviço de streaming integrado. O tráfego também apareceu em 41 de 60 execuções via antena, 18 de 30 via HDMI e 6 de 30 testes com o Tubi.
Da mesma forma, os televisores SmartCast da Vizio não mostraram redução perceptível do tráfego enviado ao endpoint identificado do ACR na Amazon Kinesis após a desativação. O endpoint continuou recebendo tráfego em todas as execuções com a opção desativada, em todos os cenários testados.
Essas constatações contradizem as declarações dos fabricantes sobre seus controles de privacidade. A Samsung afirma que o ACR é opcional e pode ser desativado nas configurações.
Ao mesmo tempo, a Vizio diz que os usuários podem deixar o programa Viewing Data a qualquer momento. Em contraste, as implementações da LG webOS, do Sony Google TV, do VIDAA e do Fire TV apresentaram desativações eficazes. No entanto, os controles da Roku não se estenderam ao seu próprio serviço de streaming, o que evidencia inconsistências sobre o que realmente significa desativar essa função.
A investigação também revelou caminhos separados de exposição de dados de visualização. O VIDAA transmitia impressões digitais de áudio e identificadores persistentes do dispositivo por meio de conexões MQTT (protocolo de mensagens de telemetria) não criptografadas.
Um servidor sem autenticação expôs mais de 57 milhões de resultados de reconhecimento vinculados a mais de um milhão de televisores durante um período de amostragem de três horas. Embora o VIDAA tenha introduzido posteriormente a autenticação do servidor, os pesquisadores relataram que as transmissões continuaram sem criptografia.
Em outro caso, o serviço WatchFree+ da Vizio expôs informações sobre programas ou canais por meio de consultas DNS (sistema de nomes de domínio) legíveis e de campos SNI (indicação de nome de servidor) do protocolo TLS, associados à infraestrutura de distribuição da Amagi, independentemente das configurações do ACR.
Essas constatações se referem apenas aos dispositivos testados e a seus firmwares, e não se aplicam a todos os modelos. Embora o tráfego criptografado contínuo indique inconsistências no processo de desativação, ele não esclarece quais informações as empresas receberam, processaram ou retiveram.
