Resumen:
El conocido medio tecnológico de hardware Gamers Nexus, junto con Level1Techs y varios investigadores independientes de seguridad de redes, publicaron recientemente un informe de investigación conjunto en profundidad que tardó varios meses en completarse. Los resultados de las pruebas muestran que los televisores inteligentes LG equipados con el sistema webOS tienen múltiples riesgos radicales de recopilación de datos y seguridad de la privacidad, como el escaneo de alta frecuencia de dispositivos LAN domésticos, la recopilación de huellas dactilares de las redes Wi-Fi circundantes y la grabación de audio del micrófono cuando la pantalla está apagada, durante el uso diario o incluso en modo de espera.
En pruebas en una variedad de televisores inteligentes OLED minoristas en el mercado, incluido LG G5, el equipo de investigación utilizó herramientas de captura de paquetes como Wireshark para monitorear el tráfico de la red y descubrió que después de que el televisor se conectaba a la red doméstica, transmitía activa y continuamente las detecciones a la red de área local (LAN) para identificar y enumerar otro hardware en red no relacionado con las funciones básicas de reproducción del televisor, incluidos teléfonos inteligentes, relojes inteligentes, computadoras personales, termostatos, impresoras y servidores internos. Además de rastrear las direcciones IP internas y la topología de la LAN, el sistema también recopila el nombre (SSID), la intensidad de la señal y la información aproximada de la ubicación geográfica de las redes Wi-Fi cercanas. Se confirma que los datos relevantes se transmitirán a LG Ad Solutions, la unidad de negocios de publicidad de precisión de LG, para perfilar a los usuarios familiares y respaldar la publicidad dirigida en varios dispositivos.
Lo que genera más preocupaciones sobre la privacidad es la prueba comparativa del micrófono integrado del televisor. Los investigadores descubrieron que después de una interacción específica o un despertar activado, incluso si la pantalla del televisor se ha atenuado y ha entrado en un modo de espera que parece estar completamente apagado, el dispositivo aún puede continuar grabando voz ambiental clara en segundo plano y almacenar temporalmente la grabación de voz en el medio de almacenamiento local. En la prueba fuera de línea en la que se cortaron deliberadamente las conexiones Ethernet y de red inalámbrica del televisor, los datos de grabación no se perdieron, sino que se cifraron, empaquetaron y cargaron en el servidor remoto tan pronto como se volvió a conectar la red.
Además, el equipo de investigación también descubrió múltiples vulnerabilidades de ejecución remota de código (RCE) no reveladas en webOS y demostró cómo los atacantes pueden obtener los privilegios de raíz más altos de un dispositivo con una interacción mínima del usuario o la necesidad de credenciales complejas, convirtiendo así por completo el televisor de la sala de estar en un trampolín para escuchas y penetración lateral en la intranet que se puede controlar de forma remota. Las pruebas también muestran que incluso si algunos modelos están equipados con un interruptor de desconexión de micrófono físico, el canal de audio accesorio USB externo aún puede pasar por alto el interruptor a nivel de hardware para mantener la recepción del sonido.
Ante el omnipresente reconocimiento automático de contenido (ACR) y los mecanismos de devolución de datos de telemetría de estos electrodomésticos inteligentes, los expertos en seguridad de redes recomiendan que los usuarios que son muy sensibles a la privacidad evalúen cuidadosamente los permisos de red de los televisores inteligentes. El método de prevención más completo es desconectar completamente el televisor inteligente de los cables de red y Wi-Fi, usarlo solo como un panel de visualización puro y usar decodificadores de medios de transmisión independientes con controles de permisos más estrictos, como Apple TV, para satisfacer las necesidades de reproducción; Si es necesario conectar Internet, se recomienda aislar el televisor en una red de área local virtual (VLAN) Wi-Fi o IoT para invitados independiente y desactivar manualmente toda la publicidad personalizada y los interruptores de seguimiento automático de contenido en la configuración del sistema.
Este video registra en detalle el proceso de prueba real del equipo de investigación de seguridad y los detalles de la recopilación de evidencia técnica del análisis de captura de paquetes de TV LG, la grabación en espera y el escaneo de LAN.
Comentarios