Smart-tv’er indsamler data om, hvad der bliver set. Det er ikke nyt. Men en ny undersøgelse viser, at det kan være svært at stole på, at et fravalg faktisk stopper sporingen.
Forskere fra Northeastern University har overvåget 12 tv fra 10 producenter for at teste, om det virker at slå såkaldt ACR fra. ACR står for automatic content recognition og er en teknologi, der kan registrere, hvad der bliver vist eller afspillet på tv’et.
Ifølge The Verge virkede fravalget på de fleste tv i testen. Men Samsung og Roku sendte stadig noget data, og Walmart-ejede Vizio fortsatte tilsyneladende, som om fravalget slet ikke var sket.
Sådan virker overvågningen
ACR-systemer tager små prøver af lyd eller billede fra det, der afspilles på tv’et. De bliver omdannet til digitale fingeraftryk og sendt til en database, som kan identificere indholdet.
Tv-selskaber bruger ifølge undersøgelsen de oplysninger til blandt andet anbefalinger, seertal og målrettede reklamer. Forskerne ville derfor finde ud af, hvornår ACR var aktivt, om fravalg gjorde en forskel, og hvilken type data systemerne indsamlede.
Forskerne testede tv’ene med indhold fra producenternes egne streamingtjenester, tredjepartsapps som Netflix og YouTube, via HDMI-kabel, antenne og skærmspejling. Flere af tv’ene så slet ikke ud til at have ACR-aktivitet, blandt andet et Westinghouse-tv med Xumo og tre modeller med Google TV fra Sony, Hisense og TCL.
Ikke alle tv reagerede ens
Blandt de tv, hvor forskerne fandt trafik forbundet med ACR, scannede alle antennesignaler. De fleste – undtagen Google og Amazon – brugte også teknologien på deres egne streamingtjenester som The Roku Channel og LG Channels.
På tredjepartsapps som Netflix og YouTube fandt forskerne ikke ACR, bortset fra en mindre mængde på webOS, som forsvandt efter fravalg. Skærmspejling så også ud til at være fri for overvågning på alle tv bortset fra modellen med Vidaa OS.
Da forskerne slog ACR fra, stoppede trafikken helt på webOS, Fire OS, Vidaa OS og en Sony-model med Google TV. På Samsungs Tizen OS faldt aktiviteten, men forsvandt ikke helt. På de to Roku OS-tv gjaldt sporingen stadig i Roku Channel-appen. TCL oplyser den begrænsning i menuen, mens Roku-tv’et ifølge The Verge ikke gør det.
Sårbarhed gav adgang til data fra andre tv
Undersøgelsen fandt også en sårbarhed i Vidaa OS. Her kunne forskerne få adgang til en såkaldt MQTT-broker, som fungerer som mellemled mellem Vidaa OS og annonceplatformen Unruly, og modtage ACR-resultater fra andre brugeres tv.
Forskerne skriver i undersøgelsen: “We interpret the continued presence of traffic consistent with ACR tracking after opt-out as suspicious, though we cannot confirm the contents of the network traffic (due to encryption), nor whether data is processed or retained on the server side.”
Over tre timer indsamlede forskerne data fra mere end 1 million unikke tv. De oplyste Vidaa om sårbarheden, som selskabet bekræftede og siden har håndteret ved at kræve login til serveren, skriver The Verge.
Projektleder David Choffnes, professor ved Northeastern University, siger til The Verge: “For the large-scale automated tests, we applied the opt-out through the TVs’ settings menus after setup, not during the setup process,”
Forskerne anbefaler ifølge The Verge den mest enkle løsning: at koble tv’et helt fra internettet og i stedet bruge en separat streaming-enhed, som ikke bruger ACR. Hvis man vil bruge tv’ets egne apps, peger de på webOS, Fire TV OS, Google TV på Sony og Vidaa OS – men kun hvis man fravælger så meget sporing som muligt.