Riassunto:
Il noto media hardware tecnologico Gamers Nexus, insieme a Level1Techs e una serie di ricercatori indipendenti sulla sicurezza di rete, hanno recentemente pubblicato un approfondito rapporto di indagine congiunta che ha richiesto diversi mesi per essere completata. I risultati dei test mostrano che le smart TV LG dotate di sistema webOS presentano molteplici rischi radicali per la raccolta dati e la sicurezza della privacy, come la scansione ad alta frequenza dei dispositivi LAN domestici, la raccolta delle impronte digitali delle reti Wi-Fi circostanti e la registrazione dell'audio del microfono quando lo schermo è spento, durante l'uso quotidiano o anche in modalità standby.
Nei test su una varietà di smart TV OLED al dettaglio sul mercato, tra cui LG G5, il team di ricerca ha utilizzato strumenti di acquisizione di pacchetti come Wireshark per monitorare il traffico di rete e ha scoperto che, dopo aver collegato la TV alla rete domestica, trasmetteva attivamente e continuamente i rilevamenti alla rete locale (LAN) per identificare ed elencare altri hardware di rete non correlati alle funzioni di riproduzione di base della TV, inclusi smartphone, orologi intelligenti, personal computer, termostati, stampanti e server interni. Oltre a individuare gli indirizzi IP interni e la topologia LAN, il sistema raccoglie anche il nome (SSID), la potenza del segnale e informazioni approssimative sulla posizione geografica delle reti Wi-Fi vicine. Si conferma che i dati rilevanti verranno ritrasmessi a LG Ad Solutions, la business unit pubblicitaria di precisione di LG, per profilare gli utenti familiari e supportare la pubblicità mirata su più dispositivi.
Ciò che solleva maggiori preoccupazioni sulla privacy è il test benchmark del microfono integrato della TV. I ricercatori hanno scoperto che dopo un'interazione specifica o un risveglio attivato, anche se lo schermo della TV si è oscurato ed è entrato in una modalità standby che sembra essere completamente spenta, il dispositivo può continuare a registrare un parlato chiaro in sottofondo e archiviare temporaneamente la registrazione vocale nel supporto di memorizzazione locale. Nel test offline in cui le connessioni di rete Ethernet e wireless del televisore sono state deliberatamente interrotte, i dati di registrazione non sono andati persi, ma sono stati crittografati, impacchettati e caricati sul server remoto non appena la rete è stata ricollegata.
Inoltre, il team investigativo ha scoperto anche numerose vulnerabilità non divulgate di esecuzione di codice remoto (RCE) in webOS e ha dimostrato come gli aggressori possano ottenere i più alti privilegi di root di un dispositivo con un'interazione minima da parte dell'utente o la necessità di credenziali complesse, trasformando così completamente la TV in soggiorno in un trampolino di lancio per l'intercettazione e la penetrazione laterale della intranet che può essere controllata da remoto. I test mostrano inoltre che, anche se alcuni modelli sono dotati di un interruttore di disconnessione fisico del microfono, il canale audio accessorio USB esterno potrebbe comunque bypassare l'interruttore a livello hardware per mantenere la ricezione del suono.
Di fronte al pervasivo riconoscimento automatico dei contenuti (ACR) e ai meccanismi di restituzione dei dati di telemetria di tali elettrodomestici intelligenti, gli esperti di sicurezza di rete raccomandano agli utenti altamente sensibili alla privacy di valutare attentamente le autorizzazioni di rete delle smart TV. Il metodo di prevenzione più completo consiste nel disconnettere completamente la smart TV dal Wi-Fi e dai cavi di rete, utilizzarla solo come un puro pannello di visualizzazione e utilizzare set-top box multimediali in streaming indipendenti con controlli di autorizzazione più severi come Apple TV per soddisfare le esigenze di riproduzione; se è necessario connettersi a Internet, si consiglia di isolare la TV in una rete locale virtuale (VLAN) Wi-Fi o IoT ospite indipendente e di disattivare manualmente tutte le pubblicità personalizzate e gli interruttori di tracciamento automatico dei contenuti nelle impostazioni di sistema.
Questo video registra in dettaglio l'effettivo processo di test del team di ricerca sulla sicurezza e i dettagli di raccolta delle prove tecniche sull'analisi dell'acquisizione dei pacchetti di LG TV, sulla registrazione in standby e sulla scansione della LAN.
Commenti