LG proibirá recursos de proxy residencial em apps de smart TV

• A LG Electronics USA planeja remover dos apps webOS recursos que transformam TVs em nós de proxy residencial permanentes, e suspender da loja os apps que não cumprirem a exigência
• Segundo uma investigação da Spur, mais de 42% dos apps de smart TV da LG e mais de 25% dos apps Samsung Tizen incluem SDKs de proxy que encaminham o tráfego de internet de terceiros pela TV do usuário
• Desenvolvedores de apps ganham receita ao incorporar SDKs de empresas de proxy, e esse componente aparece em uma ampla variedade de apps, de jogos como Pac-Man a protetores de tela e utilitários de arquivos
• A maior fornecedora, Bright Data, afirma operar com consentimento explícito, verificação de clientes e salvaguardas contra acesso à rede local, mas a Spur avalia que um consentimento único não substitui controle contínuo nem supervisão da plataforma
• A LG iniciou o reforço da análise de apps, mas também foi identificado um caso separado em que alguns monitores LCD da LG instalam, via Windows Update, um app promocional de produtos pagos da McAfee sem aprovação

---

Plano da LG para limpar apps com proxy

• A LG Electronics USA planeja suspender apps que transformam smart TVs em nós de proxy residencial permanentes
• John Taylor, vice-presidente sênior da LG, afirmou que a empresa está trabalhando com desenvolvedores de apps webOS para remover recursos de proxy, e que apps que não os removerem serão suspensos
• A análise de apps já começou, e a empresa pretende gerenciar a plataforma para que redes de proxy residencial não sejam incluídas em apps de smart TV daqui em diante
• A LG vai reforçar o processo de avaliação de apps enviados por desenvolvedores e também incluirá a presença de SDKs de proxy residencial como item de revisão

SDKs de proxy disseminados em apps de smart TV

• Segundo a investigação da empresa de segurança Spur, mais de 42% dos apps de smart TV da LG incluem SDKs que transformam a TV em nó de proxy por tempo indefinido
• Em apps para o sistema operacional Samsung Tizen, mais de 25% também trazem componentes semelhantes de proxy residencial
• Empresas de proxy pagam desenvolvedores de apps pela inclusão de seus SDKs e operam uma estrutura de monetização que aluga os dispositivos de usuários obtidos para clientes pagantes
• Os SDKs aparecem não só em jogos simples como Pac-Man, mas também em protetores de tela e utilitários de arquivos

Como a Bright Data opera e sua explicação

• Na investigação da Spur, a Bright Data responde por mais da metade dos SDKs de proxy encontrados tanto em smart TVs da LG quanto da Samsung
• A Bright Data afirmou que sua rede é baseada em consentimento e responsabilidade, e que opera de acordo com os termos da LG e da Samsung
  • Cada participante consente em uma tela separada e recebe algo em troca
  • A empresa verifica todos os clientes e concluiu uma segunda auditoria independente da PwC
  • Sua posição é apoiar empresas, pesquisadores e instituições legítimos no acesso responsável a dados de áreas públicas
• Empresas de proxy, incluindo a Bright Data, dizem verificar finalidades legítimas de uso por meio de processos de conheça-seu-cliente (KYC), e as atividades dos clientes estão ligadas principalmente a raspagem de conteúdo
• Também afirmam aplicar salvaguardas técnicas para impedir que clientes de proxy interajam com ou controlem outros dispositivos na rede local do usuário

Limites do consentimento único e da supervisão da plataforma

• O ponto criticado pela Spur não é tanto a rede de proxy residencial em si, mas a situação em que o recurso de proxy é incorporado em larga escala a dispositivos que consumidores não reconhecem como computadores e que também são difíceis de auditar diretamente
• Uma tela de consentimento única escondida dentro de um app de TV dificilmente substitui transparência significativa, controle contínuo ou supervisão no nível da plataforma
• O risco aumenta quando a aprovação é dada por alguém que pode usar dispositivos domésticos, como menores de idade, mas que não deveria conceder consentimento

Instalação automática de app promocional da McAfee em monitores LG

• Separadamente dos SDKs de proxy em smart TVs, a LG também recebeu críticas por promover produtos de segurança da McAfee por meio de drivers de software de monitores LCD premium
• O canal do YouTube Gamers Nexus identificou o processo pelo qual alguns monitores LCD da LG instalam automaticamente um app que promove uma assinatura paga do antivírus McAfee
• O app é instalado via Windows Update, sem uma tela separada de aprovação do usuário

[GN⁺]

Opiniões no Lobste.rs

• Uma rara boa notícia. Fico feliz que dentro da LG tenha havido pessoas que realmente levaram o problema a sério e conseguiram fazer algo, mas a taxa de 42% de proxies distribuídos é assustadora, muito acima até do pior número que eu imaginava
  • Fico na dúvida se a LG se importa com algo além de repercussão negativa. Ainda assim, é bom que tenha reconhecido isso como repercussão negativa; quando a notícia saiu pela primeira vez, eu nem tinha certeza se a LG entenderia que havia um problema
    Recentemente meu sogro comprou uma TV LG e eu o aconselhei a não conectá-la à internet de jeito nenhum, por mais que ela pedisse conexão
  • É bem irônico. Também há um vídeo da Gamers Nexus sobre o problema de a LG enfiar um app (McAfee) durante atualizações
    Depois de escrever, também encontrei https://lobste.rs/c/9owhpv
• Isso quer dizer que esse tipo de prática não era explicitamente proibido antes? Não faço ideia do que eles estavam fazendo
  • Alguém deve ter recebido uma meta de desempenho de garantir X apps na loja de apps até o fim do ano e a cumpriu a qualquer custo
  • É deprimente o fato de que todos os desenvolvedores de apps tenham considerado aceitável monetizar o app fornecendo a terceiros a conexão de internet dos usuários
• Continuamos esquecendo a lição de que, quando se oferece uma via de integração de plataforma para instalar apps facilmente em dispositivos, isso acaba sendo abusado para distribuir, na prática, malware. Isso já se repetiu em apps móveis, extensões de navegador, lojas de apps corporativas, VS Code etc.
  O mesmo vale para solicitações de permissão no estilo OAuth: se você permite que um invasor peça educadamente acesso ao e-mail do usuário, ele de fato fará isso
  Mesmo sem confiar muito em modelagem formal de ameaças, ao projetar esse tipo de recurso é indispensável perguntar: “como isso pode ser abusado?”. Como o abuso gera dinheiro de verdade, ele inevitavelmente acontece; a medida da LG é bem-vinda, mas já é trancar a porta do estábulo depois que o cavalo fugiu
• A maior parte do artigo não surpreendeu, mas, pelo trecho final, parece que a LG quer se tornar a fornecedora exclusiva de crapware nas próprias TVs
  Um monitor de US$ 1.200 instala adware em um PC Windows conectado usando o Windows Update, e os termos de uso também estão cheios de todo tipo de cláusula digna de spyware. Só isso já renderia uma matéria à parte
  Usei o link do YouTube por ser a fonte primária citada por Krebs; há legendas para quem prefere ler, mas a interface do YouTube é péssima e não consegui copiá-las para um formato externo confortável de leitura
• Estou planejando comprar uma TV nova, e o fato de a LG ter permitido isso até agora já mostra bem por que decidi evitar produtos da LG
  Mas, para escolher um produto com base em segurança e privacidade, seria preciso haver concorrentes que atendam a esses critérios, e hoje quase não há. Tirando a Apple TV, gostaria de saber se existe algum produto que priorize privacidade e segurança
  • Basta comprar um aparelho como os da Ugoos e instalar CoreELEC e Kodi. TVs LG e Apple TV não são produtos concorrentes: uma é uma tela com um sistema operacional embutido péssimo, a outra é um set-top box
• Agora a Samsung também precisa seguir o mesmo caminho