Granskning väcker integritetsfrågor om LG-tv med webOS

Det viktigaste i Gamers Nexus granskning är inte att varje LG-tv spelar in allt som sägs i vardagsrummet. Däremot uppges kontrollerade tester av utvalda LG OLED-modeller med webOS ha visat funktioner som väcker tydliga frågor om integritet och säkerhet: mikrofonupptagning när skärmen såg avstängd ut i vänteläge, lokal lagring av ljud utan nätanslutning, senare överföring efter återanslutning och omfattande nätverksupptäckt. 257

Det forskarna uppger att de visade

Ljud kunde fångas upp när tv:n såg avstängd ut

I bänktester uppgav forskarna att de kunde återställa tydligt mikrofonljud från en LG OLED-tv medan skärmen var svart och apparaten verkade stå i vänteläge. Enligt rapporteringen kunde tv:n spara materialet lokalt och överföra det när internetanslutningen kom tillbaka. 5715

Det är en viktig skillnad: vänteläge är inte samma sak som att bryta strömmen. En tv med svart skärm kan fortfarande vara strömförsörjd för bakgrundsfunktioner. Att dra ur kontakten eller stänga av strömmen med ett vägguttag är något helt annat. 27

Frånkopplat internet stoppade inte lokal lagring i testet

Rapporteringen säger att ljud- och textfiler fortsatte att samlas på den testade tv:n efter att Ethernet-kabeln kopplats ur. När anslutningen återkom överfördes det lagrade materialet enligt uppgift. 5713

En tillfällig förlust av internetanslutning bör alltså inte ses som ett bevis på att en enhet slutat samla in data. I det rapporterade testet förändrade den tidpunkten för överföringen, snarare än att hindra lokal lagring. 57

Textloggar i enheten och kartläggning av nätverket

Forskarna och efterföljande rapportering beskrev läsbara textloggar i enheten kopplade till röstinmatning, tillsammans med upptäckt av enheter på det lokala nätverket. Den rapporterade inventeringen omfattade bland annat telefoner, datorer, skrivare, nätverksutrustning och smarta hem-enheter, liksom namn och signalstyrka för närliggande Wi‑Fi-nät. 467

Granskningen kopplade denna telemetri till LG:s annonsverksamhet. Det väcker frågan om uppgifter om hushållets enheter och nätverksmiljö kan användas för målgruppsprofilering och riktad reklam. 13

ACR uppges även omfatta externa ingångar

Automatic Content Recognition, ACR, är teknik som används för att identifiera media som visas eller spelas upp. Granskningen rapporterade att LG:s egen ACR-funktion kunde identifiera innehåll via flera ingångar, inklusive externa HDMI-källor – inte bara appar som körs direkt i tv:n. 810

För den som tittar innebär det att integritetsfrågan även kan beröra exempelvis en spelkonsol, digital-tv-box, Blu-ray-spelare eller dator som ansluts till tv:n, beroende på modell, inställningar och mjukvarukonfiguration.

Säkerhetsbristerna i webOS höjer risken

Forskarna uppgav också att de hittat svagheter i webOS, däribland vägar till fjärrkörning av kod. Slutsatsen är villkorad: om en angripare kan ta kontroll över en tv kan mikrofoner och andra befintliga inmatningsenheter missbrukas för övervakning. 415

Detta ska inte blandas ihop med ett påstående om att LG generellt och i hemlighet spelar in alla samtal i hemmet. En rapport om forskningen noterar att demonstrationen av inspelning på en komprometterad tv krävde att forskarna hade kontroll över testapparaten; den visade inte att hemlig inspelning sker som standard för alla. 37

Vad granskningen visar – och inte visar

Underlaget som beskrivs i tillgänglig rapportering är tillräckligt allvarligt för att motivera försiktighet, men begränsningarna är viktiga:

• Demonstrationerna gjordes på utvalda OLED/webOS-apparater i kontrollerade förhållanden. De visar inte att beteendet är identiskt för varje modell, region, firmwareversion, kontostatus eller inställningskombination. 57
• De rapporterade testerna visar att ljudupptagning, lagring och senare överföring var möjlig under testförhållandena. De bevisar inte i sig att alla ägares rum spelas in kontinuerligt. 2537
• En säkerhetsbrist ökar den möjliga skadan vid ett intrång; den är inte ett bevis på att varje tv redan har komprometterats. 437
• LG har tidigare uppgett att tv-apparaterna inte samlar in, spelar in eller lagrar omgivande samtal. Enligt rapporteringen står den hållningen i konflikt med testresultaten. Det källmaterial som finns här innehåller inte något detaljerat, aktuellt besked från LG om åtgärder modell för modell. 17

Så minskar du integritetsrisken med en smart-tv

Ingen enskild menyinställning kan på egen hand verifiera hur en tv beter sig på nätverket. Flera skyddslager är mer meningsfulla.

1. Koppla bort tv:n från Wi‑Fi och Ethernet om smartfunktionerna inte behövs. Det är det tydligaste sättet att hindra tv:n från att själv skicka data över nätverket. En separat strömningsenhet har dock egna integritetsavvägningar och bör bedömas separat. 5
2. Använd ett gästnät eller VLAN om tv:n måste vara uppkopplad. Genom att isolera tv:n från datorer, telefoner, lagringsenheter och smarta hem-produkter minskar du vad den kan upptäcka på hemmets primära nätverk. Regler i router, brandvägg eller DNS för utgående trafik kan minska exponeringen ytterligare. 4
3. Stäng av valfria datafunktioner. Avaktivera ACR, annonsanpassning, röstfunktioner, mikrofonbehörigheter och andra datadelningsval där de finns. Inställningarna kan minska exponeringen, men bör ses som riskminskning – inte som en fullständig garanti. 10
4. Håll webOS uppdaterat och minska onödiga nätverkstjänster. Snabba firmwareuppdateringar, att undvika osäkra nätverk och att stänga av UPnP där det är praktiskt är rimliga försiktighetsåtgärder när säkerhetsbrister har rapporterats. 48
5. Bryt strömmen när starkast möjliga försäkran behövs. I ett känsligt utrymme undanröjer urkoppling eller ett strömbrytarförsett uttag osäkerheten kring vad som sker i vänteläge. 27

Slutsats

Granskningens mest betydelsefulla påstående är att en testad LG-tv med webOS kunde fånga och lagra ljud i vänteläge, behålla det efter att internet kopplats bort och senare överföra det – samtidigt som den kartlade delar av hemnätverket. 57 Fynden är allvarliga, men bör läsas som testade funktioner på särskilda enheter och konfigurationer, inte som en generell slutsats om alla LG-tv-apparater. För den som vill hålla risken så låg som praktiskt möjligt är nätverksisolering eller fullständig frånkoppling mer tillförlitligt än att enbart lita på integritetsreglage. 45