LG, akıllı TV uygulamalarında konut tipi proxy işlevini yasaklıyor

• LG Electronics USA, TV’yi sürekli açık bir konut tipi proxy düğümüne dönüştüren işlevleri webOS uygulamalarından kaldıracak ve buna uymayan uygulamaları mağazada askıya almayı planlıyor
• Spur’un araştırmasına göre LG akıllı TV uygulamalarının %42’den fazlası, Samsung Tizen uygulamalarının ise %25’ten fazlası, üçüncü taraf internet trafiğini kullanıcıların TV’leri üzerinden ileten proxy SDK’ları içeriyor
• Uygulama geliştiricileri, proxy şirketlerinin SDK’larını ekleyerek gelir elde ediyor; bu bileşen Pac-Man gibi oyunlardan ekran koruyuculara ve dosya yardımcı araçlarına kadar geniş bir yelpazede yer alıyor
• En büyük sağlayıcı Bright Data, açık rıza, müşteri doğrulaması ve yerel ağa erişimi engelleyen önlemler uyguluyor; ancak Spur, tek seferlik rızanın sürekli kontrolün ve platform denetiminin yerini alamayacağı görüşünde
• LG, uygulama incelemesini sıkılaştırmaya başladı; ayrıca bazı LG LCD monitörlerin, onay almadan Windows Update üzerinden ücretli McAfee ürünlerini tanıtan bir uygulama yüklediği ayrı bir vaka da tespit edildi

---

LG’nin proxy uygulamalarını temizleme planı

• LG Electronics USA, akıllı TV’leri sürekli açık konut tipi proxy düğümlerine dönüştüren uygulamaları askıya almayı planlıyor
• LG Kıdemli Başkan Yardımcısı John Taylor, webOS uygulama geliştiricileriyle proxy işlevini kaldırmak için çalıştıklarını ve bunu kaldırmayan uygulamaların askıya alınacağını belirtti
• Uygulama incelemesi şimdiden başladı; şirket bundan sonra konut tipi proxy ağlarının akıllı TV uygulamalarına dahil edilmemesini sağlamayı planlıyor
• Geliştiricilerin gönderdiği uygulamalara yönelik değerlendirme sürecini güçlendirecek ve konut tipi proxy SDK içerip içermediğini de inceleme kapsamına alacak

Akıllı TV uygulamalarına yayılan proxy SDK’ları

• Güvenlik şirketi Spur’un araştırmasına göre LG akıllı TV uygulamalarının %42’den fazlası, TV’yi süresiz olarak proxy düğümüne dönüştüren SDK’lar içeriyor
• Samsung Tizen işletim sistemi için uygulamaların da %25’ten fazlası benzer konut tipi proxy bileşenleri barındırıyor
• Proxy şirketleri, SDK’larını eklemeleri karşılığında uygulama geliştiricilerine ödeme yapıyor ve elde ettikleri kullanıcı cihazlarını ücretli müşterilere kiralayan bir gelirleştirme modeli işletiyor
• SDK’lar yalnızca Pac-Man gibi basit oyunlarda değil, ekran koruyucularda ve dosya yardımcı araçlarında da bulunuyor

Bright Data’nın çalışma biçimi ve açıklaması

• Spur’un araştırmasında Bright Data, hem LG hem de Samsung akıllı TV’lerde bulunan proxy SDK’larının yarıdan fazlasını oluşturuyor
• Bright Data, ağının rıza ve sorumluluk temelinde çalıştığını ve LG ile Samsung’un şartlarına uygun işletildiğini belirtti
  • Her katılımcı ayrı bir ekranda onay veriyor ve bunun karşılığını alıyor
  • Tüm müşterileri doğruluyor ve PwC’nin ikinci bağımsız denetimini tamamladı
  • Meşru şirketlerin, araştırmacıların ve kurumların kamuya açık alandaki verilere sorumlu biçimde erişmesini desteklediğini söylüyor
• Bright Data dahil proxy şirketleri, meşru kullanım amacını doğrulamak için Müşterini Tanı (KYC) uyguluyor; müşteri faaliyetleri çoğunlukla içerik scraping ile bağlantılı
• Proxy müşterilerinin kullanıcının yerel ağındaki diğer cihazlarla etkileşime girmesini veya onları kontrol etmesini önlemek için teknik önlemler de uyguladıklarını belirtiyorlar

Tek seferlik rızanın ve platform denetiminin sınırları

• Spur’un sorun olarak gördüğü nokta, konut tipi proxy ağlarının kendisinden çok, tüketicilerin bilgisayar olarak görmediği ve doğrudan denetlemesinin de zor olduğu cihazlara proxy işlevinin büyük ölçekte yerleşik hale gelmesi
• TV uygulamasının içine gömülü tek seferlik bir rıza ekranı, anlamlı şeffaflığın, sürekli kontrolün veya platform düzeyinde denetimin yerini almakta yetersiz kalıyor
• Reşit olmayanlar gibi evdeki cihazları kullanabilen ancak rıza vermemesi gereken kişilerin onay vermesi halinde risk daha da büyüyor

LG monitörlerde McAfee tanıtım uygulamasının otomatik kurulması

• LG, akıllı TV proxy SDK’larından ayrı olarak, üst seviye LCD monitörlerin yazılım sürücüleri üzerinden McAfee güvenlik ürünlerini tanıttığı için de eleştirildi
• YouTube kanalı Gamers Nexus, bazı LG LCD monitörlerin ücretli McAfee antivirüs aboneliğini tanıtan bir uygulamayı otomatik olarak yüklediğini doğruladı
• Söz konusu uygulama, ayrı bir kullanıcı onay ekranı olmadan Windows Update üzerinden kuruluyor

[GN⁺]

Lobste.rs görüşleri

• Nadiren görülen iyi bir haber. LG içinde bu sorunu gerçekten ciddiye alıp önlem alınmasını sağlayan insanlar olması sevindirici, ama proxy'nin dağıtıldığı oran %42 beklediğim en kötü rakamın bile çok üstünde, ürkütücü
  • LG'nin olumsuz kamuoyu dışında umursadığı başka bir şey var mı, emin değilim. Yine de bunu olumsuz kamuoyu olarak görmüş olmaları iyi; ilk haber çıktığında LG'nin bunun bir sorun olduğunu bile anlayacağından emin değildim
    Yakın zamanda kayınpederim bir LG TV aldı ve kurdu; internet bağlantısı ne kadar istese de kesinlikle bağlamamasını tavsiye ettim
  • Oldukça ironik. LG'nin güncelleme sırasında uygulama (McAfee) araya sıkıştırma sorununu ele alan Gamers Nexus videosu da var
    Yazdıktan sonra https://lobste.rs/c/9owhpv bağlantısını da buldum
• Bu, böyle bir davranışın daha önce açıkça yasaklanmadığı anlamına mı geliyor? Ne yaptıklarını gerçekten bilmiyorum
  • Birisi muhtemelen yıl sonuna kadar uygulama mağazasında X adet uygulama bulundurma hedefi aldı ve ne pahasına olursa olsun bunu gerçekleştirdi
  • Tüm uygulama geliştiricilerinin, kullanıcının internet bağlantısını üçüncü taraflara sunarak uygulamadan gelir elde etmenin sorun olmadığını düşünmüş olması karanlık bir tablo
• Cihaza kolayca uygulama yüklenmesini sağlayan bir platform entegrasyon yolu sunarsanız, bunun fiilen kötü amaçlı yazılım dağıtmak için kötüye kullanılacağı dersini durmadan unutuyoruz. Mobil uygulamalarda, tarayıcı eklentilerinde, kurumsal uygulama mağazalarında, VS Code'da vb. bunu zaten tekrar tekrar gördük
  OAuth tarzı izin isteme mekanizmaları da aynı; bir saldırgana kullanıcının e-postasına erişim iznini kibarca isteme imkânı verirseniz, gerçekten bunu yapar
  Resmî tehdit modellemeye çok güvenmeseniz bile, böyle özellikler tasarlarken mutlaka “nasıl kötüye kullanılabilir?” diye düşünmek gerekir. Kötüye kullanılırsa gerçek para kazandırdığı için bu mutlaka olur ve LG'nin adımı memnuniyet verici olsa da at çoktan Üsküdar'ı geçti
• Haber metninin çoğu şaşırtıcı değildi, ama son kısma bakınca LG kendi TV'lerinde crapware'in tekel tedarikçisi olmak istiyor gibi görünüyor
  1.200 dolarlık bir monitör, Windows Update üzerinden bağlı Windows PC'ye adware yüklüyor ve kullanım şartları da her tür casus yazılım benzeri maddeyle dolu. Bu bile tek başına ayrı bir haber konusu olurdu
  Krebs'in alıntıladığı birincil kaynak olduğu için YouTube bağlantısını kullandım; okumayı tercih edenler için altyazılar da var ama YouTube arayüzü o kadar kötü ki bunu dışarıda okunabilir bir biçimde kopyalamak mümkün olmadı
• Yeni bir TV almayı düşünüyorum ve LG'nin şimdiye kadar buna izin vermiş olması zaten LG ürünlerinden kaçınma nedenimi açıkça gösteriyor
  Ama güvenlik ve gizliliğe göre ürün seçmek istiyorsanız, bunu sağlayan rakiplerin de olması gerekir; şu anda ise neredeyse hiç yok. Apple TV dışında gizlilik ve güvenliğe önem veren bir ürün bilen varsa duymak isterim
  • Ugoos gibi bir cihaz alıp CoreELEC ve Kodi kurabilirsiniz. LG TV ile Apple TV rakip ürünler değil; biri ekran ve berbat bir yerleşik işletim sistemi, diğeri ise bir set üstü kutu
• Sırada Samsung olmalı