Was passiert ist
Forscher der Northeastern University haben 12 Fernseher von 10 Herstellern getestet, um zu prüfen, ob das Abschalten der automatischen Inhaltserkennung (Automatic Content Recognition, ACR) das Tracking tatsächlich beendet, berichtete The Verge. Das Opt-out stoppte den Datenverkehr zu mutmaßlichen ACR-Endpunkten bei LGs webOS, Amazon Fire TV, einem Sony-Gerät mit Google TV und Modellen mit Vidaa OS. Samsungs Tizen reduzierte diesen Datenverkehr, beendete ihn aber nicht, und beim Vizio-TV von Walmart änderte sich nichts.
Zwei Fernseher mit Roku OS, einer von TCL und einer von Roku selbst, führten die Inhaltserkennung in der App The Roku Channel auch nach dem Opt-out weiter aus. TCL weist im Einstellungsmenü auf diese Einschränkung hin, das Gerät von Roku selbst nicht. Da fast der gesamte Datenverkehr verschlüsselt war, konnten die Forscher nach eigenen Angaben seinen Inhalt nicht bestätigen. Projektleiter David Choffnes sagte, die Ergebnisse seien auch nach Werksresets der Vizio- und Fire-TV-Geräte gleich geblieben.
Das Team entdeckte außerdem eine Schwachstelle in Vidaa OS, durch die ein MQTT-Broker offenlag, der das System mit Unruly, einer Video-Werbeplattform, verbindet. Darüber erhielten sie Erkennungsdaten anderer Vidaa-Nutzer und sammelten innerhalb von drei Stunden Datensätze von mehr als 1 Million einzelner Fernseher, darunter permanente Gerätekennungen und Audio-Fingerabdrücke. Vidaa bestätigte das Problem und verlangt inzwischen eine Anmeldung, die Nachrichten bleiben jedoch unverschlüsselt.
Kontext
ACR erfasst kurze Ausschnitte aus dem Ton oder Bild eines Fernsehers, wandelt sie in digitale Fingerabdrücke um und gleicht sie mit einer Datenbank ab, um zu erkennen, was auf dem Bildschirm läuft. Hersteller nutzen die Ergebnisse für Empfehlungen, Reichweitenmessung und gezielte Werbung. Vizio legte 2017 einen Rechtsstreit mit der FTC über die Erhebung von Verbraucherdaten bei. Walmart reagierte vor der Veröffentlichung nicht auf eine Bitte um Stellungnahme zu den Vizio-Ergebnissen.
Das Briefing
Die Tech-Woche in einer E-Mail.
Die lesenswerten Beiträge der Woche. Jederzeit abbestellbar.