LG、スマートTVアプリの住宅向けプロキシ機能を禁止へ

 (krebsonsecurity.com)
1 ポイント 投稿者 GN⁺ 8 시간 전 | 1件のコメント | WhatsAppで共有
  • LG Electronics USAは、TVを常時住宅向けプロキシノードにする機能をwebOSアプリから削除し、従わないアプリはストアで停止する方針
  • Spurの調査によると、LGスマートTVアプリの42%以上、Samsung Tizenアプリの25%以上が、第三者のインターネットトラフィックをユーザーのTV経由で中継するプロキシSDKを含んでいる
  • アプリ開発者はプロキシ事業者のSDKを搭載して収益を得ており、このコンポーネントはPac-Manのようなゲームからスクリーンセーバー、ファイルユーティリティまで幅広く含まれている
  • 最大の供給元であるBright Dataは、明示的な同意、顧客検証、ローカルネットワークへのアクセス防止策を運用しているが、Spurは一度きりの同意だけでは継続的な統制やプラットフォームの監督を代替できないと見ている
  • LGはアプリ審査の強化に乗り出したが、一部のLG LCDモニターが承認なしにWindows Update経由で有料McAfee製品の販促アプリをインストールする別件も確認された

LGのプロキシアプリ整理計画

  • LG Electronics USAは、スマートTVを常時住宅向けプロキシノードへ転換するアプリを停止する計画
  • LGのシニアバイスプレジデントJohn Taylorは、webOSアプリ開発者とプロキシ機能の削除を進めており、これを削除しないアプリは停止されると明らかにした
  • アプリ審査はすでに始まっており、今後は住宅向けプロキシネットワークがスマートTVアプリに含まれないよう管理する方針
  • 開発者が提出するアプリの評価手順を強化し、住宅向けプロキシSDKの含有有無も審査対象に加える予定

スマートTVアプリに広がるプロキシSDK

  • セキュリティ企業Spurの調査によると、LGスマートTVアプリの42%以上が、TVを無期限のプロキシノードにするSDKを含んでいる
  • SamsungのTizenオペレーティングシステム向けアプリでも、25%以上が同様の住宅向けプロキシコンポーネントを搭載している
  • プロキシ事業者はアプリ開発者にSDK搭載の対価を支払い、確保したユーザー機器を有料顧客に貸し出す収益化構造を運営している
  • SDKはPac-Manのような単純なゲームだけでなく、スクリーンセーバーやファイルユーティリティにも入っている

Bright Dataの運用方法と説明

  • Spurの調査では、Bright DataがLGとSamsungのスマートTVの両方で見つかったプロキシSDKの過半を占めていた
  • Bright Dataは、自社ネットワークは同意と責任に基づいており、LGとSamsungの条件に合わせて運用されていると説明している
    • 各参加者は別画面で同意し、その対価を受け取る
    • すべての顧客を検証し、PwCによる2回目の独立監査を完了した
    • 合法的な企業・研究者・機関が公開領域のデータに責任を持ってアクセスできるよう支援する立場だとしている
  • Bright Dataをはじめとするプロキシ事業者は、顧客確認制度(KYC)で合法的な利用目的を検証しており、顧客活動は主にコンテンツスクレイピングと結び付いている
  • また、プロキシ顧客がユーザーのローカルネットワーク上の他の機器と相互作用したり制御したりできないように、技術的な防止策も適用していると述べている

一度きりの同意とプラットフォーム監督の限界

  • Spurが問題視したのは住宅向けプロキシネットワーク自体よりも、消費者がコンピューターとして認識せず、直接監査するのも難しい機器にプロキシ機能が大規模に組み込まれている状況だ
  • TVアプリ内に埋もれた一度きりの同意画面だけでは、意味のある透明性や継続的な統制、プラットフォームレベルの監督を代替するのは難しい
  • 未成年者のように家庭内機器を利用できても同意を与えるべきではない人が承認した場合、リスクはさらに大きくなる

LGモニターでのMcAfee販促アプリ自動インストール

  • LGはスマートTV向けプロキシSDKとは別に、ハイエンドLCDモニターのソフトウェアドライバーを通じてMcAfeeセキュリティ製品を宣伝した件でも批判を受けた
  • YouTubeチャンネルGamers Nexusは、一部のLG LCDモニターが有料McAfeeアンチウイルス購読を宣伝するアプリを自動インストールする過程を確認した
  • このアプリは別途ユーザー承認画面なしにWindows Update経由でインストールされた

関連記事

1件のコメント

 
GN⁺ 8 시간 전
Lobste.rs の意見
  • めったに見ない良いニュース。LG内部で実際に問題を深刻に受け止め、対応にこぎ着けた人たちがいたのは幸いだが、プロキシが配布されていた割合42% は想定していた最悪の数字すらはるかに上回っていてぞっとする
  • これは、こうした行為が以前は明示的に禁止されていなかったという意味なのか？ いったい何をしていたのか分からない
    • 誰かが年末までにアプリストアでアプリをX個確保するという成果目標を与えられ、手段を選ばず達成したように見える
    • すべてのアプリ開発者が、ユーザーのインターネット接続を第三者に提供する形でアプリを収益化してもよいと判断したという事実が暗い
  • デバイスにアプリを簡単にインストールできるプラットフォーム統合経路を提供すると、結局は事実上マルウェアを配布するために悪用される、という教訓を私たちは忘れ続けている。モバイルアプリ、ブラウザ拡張機能、企業向けアプリストア、VS Codeなどですでに繰り返されてきた
    OAuth方式の権限要求も同じで、攻撃者がユーザーのメールへのアクセス権を丁寧に求められるようにすれば、実際にそうする
    形式的な脅威モデリングをそれほど信頼していないとしても、こうした機能を設計するときは「どう悪用されるか？」を必ず考えるべきだ。悪用すれば実際に金になるので必ず起きるし、LGの対応は歓迎するが、すでに馬が逃げた後で厩舎の扉を閉めるようなものだ
  • 記事の大半は驚く内容ではなかったが、最後の部分を見ると、LGは自社テレビにおけるクラップウェアの独占供給者になろうとしているのではないかと思える
    1,200ドルのモニターがWindows Updateを利用して接続されたWindows PCにアドウェアをインストールし、利用規約もあらゆるスパイウェア的な条項でいっぱいだ。これだけで別記事になってもよいくらいだ
    Krebsが引用した一次情報源なのでYouTubeリンクを使った。読むほうを好む人向けの字幕もあるが、YouTubeのインターフェースがひどく、外部で読みやすい形にコピーできなかった
  • 新しいテレビを買う予定だが、LGがこれまでこれを許していたという事実は、すでにLG製品を避けることにした理由をよく示している
    ただし、セキュリティとプライバシー保護を基準に製品を選ぶには、それを満たす競合が必要だが、現状ではほとんどない。Apple TV以外にプライバシー保護とセキュリティを重視する製品があるなら知りたい
    • Ugoosのようなデバイスを買ってCoreELECとKodiをインストールすればよい。LG TVとApple TVは競合製品ではなく、一方は画面と出来の悪い内蔵OSで、もう一方はセットトップボックスだ
  • 次はSamsungも追随すべきだ