Tắt theo dõi ACR trên TV: nhiều hãng vẫn gửi dữ liệu

Việc TV thông minh thu thập thông tin về người xem không còn là chuyện mới, nhưng chúng theo dõi những gì, bằng cách nào và liệu có thể ngăn chặn hay không thì vẫn rất khó xác định. Một nhóm nghiên cứu tại Đại học Northeastern đã theo dõi 12 mẫu TV từ 10 nhà sản xuất để kiểm tra xem việc từ chối tính năng nhận diện nội dung tự động (ACR - Automatic Content Recognition) có thực sự hiệu quả hay không.

TV thông minh thu thập dữ liệu xem qua ACR

Kết quả cho thấy việc tắt ACR có tác dụng với phần lớn TV, gồm LG, Amazon Fire TV, một mẫu Sony Bravia chạy Google TV và các TV dùng hệ điều hành Vidaa OS (có trên TV của Hisense, Toshiba và các thương hiệu nhỏ như Supersonic trong nghiên cứu). Tuy nhiên, Samsung và Roku vẫn tiếp tục gửi một phần dữ liệu, còn TV Vizio của Walmart vẫn hoạt động như thể lệnh tắt chưa từng được thực hiện.

ACR hoạt động như thế nào

Hệ thống ACR lấy mẫu âm thanh hoặc hình ảnh đang phát trên TV, chuyển chúng thành "dấu vân tay" số (digital fingerprint) rồi gửi đến cơ sở dữ liệu để nhận diện nội dung đang được xem. Các hãng TV dùng thông tin này để gợi ý nội dung xem tiếp theo, cung cấp số liệu đo lường khán giả và phục vụ quảng cáo nhắm mục tiêu.

Nhóm nghiên cứu muốn làm rõ khi nào ACR chạy trên từng TV, việc tắt có tác dụng gì và loại dữ liệu nào bị thu thập. Do mỗi hãng dùng một hệ điều hành khác nhau và khóa chặt thiết bị, hoạt động ACR chỉ có thể suy đoán dựa trên việc TV gửi dữ liệu đến đâu.

Các TV trong nghiên cứu

• Samsung QN32Q60DAF — Tizen OS
• LG TV 32LR655BPUA — webOS
• Roku TV 32R3B5 — Roku OS
• TCL TV 32S350R — Roku OS
• Sony K-43S20M2 — Google TV OS
• Vizio VHD32M-0810 — Vizio OS
• Fire TV HD32N200A — Fire OS
• Supersonic SC-1520VTV — Vidaa OS
• Westinghouse WX24HX2800 — Xumo OS
• Hisense 32A4K (không có ACR) — Google TV OS
• TCL 32S250G (không có ACR) — Google TV OS
• Sony KD32W830K (không có ACR) — Google TV OS

Để trả lời các câu hỏi trên, nhóm phát triển bộ thử nghiệm tự động cho mọi hệ điều hành TV, dùng phần mềm Mon(IoT)r của Northeastern và hạ tầng thử nghiệm SPHERE để ghi lại và phân tích toàn bộ lưu lượng mạng của từng TV. Cách này giúp xác định thời điểm ACR hoạt động và nơi TV có khả năng gửi dữ liệu đến.

Họ phát nội dung trên từng TV qua dịch vụ streaming của chính hãng (như LG Channels, The Roku Channel), qua dịch vụ bên thứ ba (Netflix, YouTube), qua cáp HDMI, qua ăng-ten truyền hình và qua phản chiếu màn hình (screen mirroring) để xem lưu lượng ACR có khác nhau giữa các nguồn đầu vào hay không.

Kết quả: một số TV không có hoạt động ACR nào, gồm Westinghouse Xumo và ba mẫu Sony, Hisense, TCL chạy Google TV OS (một mẫu Sony Google TV khác thì có bật ACR). Trong số các TV có lưu lượng liên quan đến ACR, tất cả đều quét tín hiệu ăng-ten; tất cả trừ Google và Amazon đều dùng ACR trên dịch vụ streaming của chính hãng.

Với ứng dụng bên thứ ba như Netflix hay YouTube, không phát hiện ACR, ngoại trừ một lượng nhỏ trên webOS và lượng này biến mất khi tắt tính năng. Phản chiếu màn hình cũng có vẻ an toàn trên mọi TV trừ mẫu chạy Vidaa OS.

Về phương thức nhận diện, nhóm thử phát nội dung có cả hình và tiếng, chỉ có tiếng với màn hình đen, và chỉ có hình không tiếng, rồi theo dõi thay đổi lưu lượng mạng đến các điểm cuối ACR. Theo đó, Tizen có thể dùng nhận diện dấu vân tay video, webOS và Vidaa dùng âm thanh, còn Fire TV OS, Google TV OS, Roku OS và Vizio OS dùng kết hợp cả hai.

Tắt rồi vẫn chưa yên tâm

Về lý thuyết, tắt ACR phải chặn toàn bộ dữ liệu gửi đến các điểm cuối bị nghi là ACR. Điều này đúng với webOS, Fire OS, Vidaa OS và mẫu Sony Google TV. Nhưng không phải lúc nào cũng vậy:

• Samsung Tizen OS: hoạt động giảm nhưng không dừng hẳn, vẫn có lưu lượng tương quan với ACR khi dùng ăng-ten, streaming của hãng và HDMI.
• Hai TV Roku OS (một của TCL, một của Roku): ACR vẫn áp dụng cho ứng dụng Roku Channel. TCL có ghi rõ hạn chế này trong menu cài đặt, còn TV Roku thì không.
• Vizio: tắt ACR không làm thay đổi lưu lượng liên quan đến ACR chút nào. (Vizio từng dàn xếp một vụ kiện với Ủy ban Thương mại Liên bang Mỹ FTC năm 2017 liên quan đến việc thu thập dữ liệu người tiêu dùng.)

Theo bài báo, vì gần như toàn bộ lưu lượng từ TV đến các điểm cuối bị nghi là ACR đều được mã hóa, nhóm nghiên cứu không thể chắc chắn hoàn toàn phần lưu lượng còn lại sau khi tắt là của ACR. Họ viết: "Chúng tôi coi việc lưu lượng tương thích với theo dõi ACR vẫn tồn tại sau khi tắt là đáng ngờ, dù không thể xác nhận nội dung lưu lượng (do mã hóa), cũng không rõ dữ liệu có bị xử lý hay lưu giữ phía máy chủ hay không."

Việc tắt trong quá trình thiết lập ban đầu hay sau đó dường như không tạo khác biệt. Giáo sư David Choffnes, trưởng nhóm dự án, cho biết với The Verge: "Với các bài kiểm tra tự động quy mô lớn, chúng tôi tắt tính năng qua menu cài đặt sau khi thiết lập, không phải trong lúc thiết lập." Tuy vậy, nhóm cũng thử thủ công một số TV (Vizio và Fire TV) sau khi khôi phục cài đặt gốc và kết quả không đổi. Thứ tự thử nghiệm cũng được ngẫu nhiên hóa để tránh ảnh hưởng lẫn nhau.

Cài đặt tắt ACR trên TV

Lỗ hổng trên Vidaa OS lộ dữ liệu của hơn 1 triệu TV

Đáng lo ngại hơn, trong quá trình nghiên cứu, nhóm phát hiện một lỗ hổng trên Vidaa OS làm lộ thông tin không mã hóa. Nhờ lỗ hổng này, họ truy cập được một MQTT broker — trạm trung gian giữa Vidaa OS và Unruly, một nền tảng quảng cáo video — và nhận được kết quả ACR của những người dùng TV Vidaa khác.

Mỗi thông điệp chứa một Client ID, tức định danh cố định của TV không thể đặt lại, kèm theo múi giờ, tên ứng dụng, nguồn đầu vào (ăng-ten, HDMI), kênh ăng-ten và dấu vân tay âm thanh. Trong ba giờ, họ thu được dữ liệu từ hơn 1 triệu TV riêng biệt. Nhóm đã báo lỗ hổng cho Vidaa; hãng xác nhận và đã khắc phục bằng cách yêu cầu đăng nhập vào máy chủ, dù các thông điệp vẫn được gửi không mã hóa.

Giao diện cài đặt sau khi tắt ACR

Cách tự bảo vệ

Bài báo đưa ra một số khuyến nghị. Cách đơn giản nhất là ngắt TV khỏi internet, cả có dây lẫn không dây, và dùng một thiết bị streaming không chạy ACR. Nếu vẫn muốn dùng ứng dụng tích hợp sẵn, nên chọn webOS, Fire TV OS, Google TV trên Sony và Vidaa OS — nhớ tắt mọi thứ có thể tắt. Nhóm cũng cung cấp danh sách điểm cuối để chặn bằng công cụ như Pi-hole mà không làm hỏng TV hay ảnh hưởng chất lượng hình ảnh.

Các nhà nghiên cứu kêu gọi hãng TV thay đổi: liệt kê mọi nguồn đầu vào mà ACR theo dõi và đưa thông tin đó vào chính sách quyền riêng tư (một số hãng làm rõ hơn hẳn số khác), đồng thời xác thực và mã hóa toàn bộ lưu lượng ACR. Họ cũng cho rằng cơ quan quản lý cần buộc nhà sản xuất chịu trách nhiệm và bảo đảm tùy chọn từ chối hoạt động đầy đủ.

Góc nhìn

Với người dùng và kỹ sư tại Việt Nam, nghiên cứu này là lời nhắc rằng "đã tắt" không đồng nghĩa với "đã chặn". Nếu triển khai TV thông minh cho văn phòng, quán cà phê hay phòng họp với nhiều màn hình, việc kiểm tra lưu lượng mạng thực tế của thiết bị — chẳng hạn qua Pi-hole hoặc chặn ở router — đáng tin cậy hơn là tin vào menu cài đặt của hãng. Với đội phát triển ứng dụng và nền tảng, lỗ hổng MQTT không mã hóa trên Vidaa OS cho thấy các thiết bị IoT tiêu dùng vẫn thường gửi định danh cố định kèm dữ liệu hành vi mà không mã hóa, một mẫu thiết kế cần tránh khi xây dựng hệ thống tương tự.

Nghiên cứu cũng gợi ý rằng nếu cần một màn hình chỉ để hiển thị nội dung cố định, một màn hình không có hệ điều hành thông minh hoặc một thiết bị phát ngoài vẫn là lựa chọn ít rủi ro về quyền riêng tư hơn.