Samsung, Vizio ve Roku gibi markaların işletim sistemlerini kullanan akıllı televizyonların, kullanıcıların cihaz ayarlarından takibi devre dışı bırakmasına rağmen otomatik içerik tanıma (ACR) uç noktalarına veri göndermeye devam ettiği bir araştırma ile ortaya kondu. Northeastern Üniversitesi araştırmacılarının yayınladığı bu çalışma, bazı büyük TV markalarının gizlilik ihlali potansiyeline işaret ediyor.
ACR teknolojisi, akıllı TV'lerden video ekran görüntüleri veya ses klipleri alıp uzak sunuculara göndererek içerik izlenme oranlarını ölçme ve hedeflenmiş reklam gösterme gibi amaçlarla kullanılıyor.
Araştırmacılar, sekiz farklı akıllı TV işletim sistemini (Amazon, Hisense, LG, Roku, Samsung, Sony, Supersonic, TCL, Vizio ve Westinghouse gibi 10 üreticinin toplam 12 akıllı TV'si üzerinde) inceleyerek akıllı TV'lerin ne zaman ACR kullandığını ve kullanıcı takibinden çıkmanın ne kadar etkili olduğunu analiz etti. Bu kapsamda 5.943 kontrollü deney gerçekleştirildi.
Araştırmacılar tarafından hazırlanan kontrol komut dosyaları Wi-Fi üzerinden TV'lere iletilirken, ağ trafiği özel yazılımlarla izlendi. Araştırmada, işletim sistemlerinin ACR uç noktaları belirlendi. Bazı işletim sistemlerinin, özellikle Samsung'un Tizen'i, "acr" anahtar kelimesini içeren veya ACR sağlayıcılarının adlarını taşıyan kendi kendine bildirim yapan ACR alanlarını ortaya çıkardığı belirtildi.
Kullanıcı Takibi Devre Dışı Bırakıldıktan Sonra Devam Eden Ağ Trafiği
Araştırmacılar, Samsung Tizen, Vizio OS (raporun eski adıyla SmartCast olarak bahsettiği) ve Roku OS kullanan televizyonların, kullanıcı takibi ayarları kapatıldığında ve ilk taraf akış uygulaması kullanmak gibi belirli senaryolarda bile ilgili ACR uç noktalarına ağ trafiği göndermeye devam ettiğini tespit etti.
Roku OS özelinde, test edilen TV'lerde bu ACR benzeri davranış yalnızca işletim sisteminin kendi akış uygulaması olan The Roku Channel kullanılırken gözlemlendi. Rapora göre, bu davranış Roku'nun hizmet şartlarında ve TCL marka TV'lerdeki ayarlarında açıkça belirtiliyor.
Ancak, Tizen ve Vizio OS TV'lerde durum farklı. Bu işletim sistemlerine sahip TV'ler, rapordaki tabloya göre çeşitli ek kullanım senaryolarında da ACR benzeri davranış sergiliyor.
Samsung ve Vizio ile iletişime geçilerek, takip devre dışı bırakıldığında işletim sistemlerinin neden ACR uç noktalarına ağ trafiği gönderdiğine dair bilgi istendi. Bu konuda bir yanıt alınması durumunda haber güncellenecektir.
En kritik nokta ise, şifrelemenin ağ trafiğinin içeriğini belirlemeyi engellemesi. Buna rağmen araştırmacılar, "çıkış yapıldıktan sonra ACR takibiyle tutarlı trafiğin devam etmesini şüpheli" olarak değerlendiriyor.
Raporda, "Bu davranışlar potansiyel gizlilik ihlallerini gösteriyor; ancak yük içeriklerine erişimimiz olmadan kesin olarak bilemeyiz" deniliyor.
Samsung (Tizen)
Araştırmacılar, Tizen işletim sisteminde, ilk taraf akış uygulaması ölçümlerinin tamamında (%100) ve anten ölçümlerinin büyük çoğunluğunda (60 ölçümden 41'inde) "ACR takibiyle tutarlı trafik" bulunduğunu tespit etti. Bu durum, özel yayın içeriği sunan deneylerde ve dinamik video ancak ses içermeyen simüle edilmiş içeriklerde de geçerliydi.
Ayrıca, Tizen'de HDMI üzerinden yapılan 30 ölçümün 18'inde takip devre dışı bırakıldıktan sonra da ACR uç noktalarına trafik kaydedildi.
Vizio OS
Raporda, Vizio OS için "ACR davranışı ile en tutarlı uç noktanın Amazon Kinesis" olduğu belirtildi. Üçüncü taraf akış uygulamaları ve ekran yansıtma kullanılırken trafiğin durduğu, Vizio'nun 2021 tarihli bir SEC dosyasında belirttiği gibi bu kaynaklardan ACR verisi toplamadığına işaret ediyor.
Vizio OS ile, "Amazon Kinesis üzerinde barındırılan içerikle ilişkili bir uç nokta, devre dışı bırakılmış tüm senaryolarda trafik almaya devam ediyor." Dahası, TV'lerin boşta durduğu zamanlarda bile ACR uç noktalarına ağ trafiği gönderdiği raporlandı.
Akıllı TV'ler Daha Önce de Kullanıcıları Rızaları Dışında Takip Etti
Ağ trafiğinin içeriğini veya uzaktaki sunuculara ulaştığında ne olduğunu bilmeden, işletim sistemi operatörlerinin kullanıcı tercihlerini göz ardı edip etmediğini belirlemek mümkün değil. Ancak TV'lerin geçmişte de kullanıcıları izinsiz takip ettiği biliniyor.
2017'de Vizio TV'lerin ACR kullanarak kullanıcı verilerini rıza dışı topladığı belirtilmişti. Şirket, bu iddiaları uzlaşarak sonlandırmış ancak ACR yazılımının "görüntüleme verilerini kişisel olarak tanımlanabilir bilgilerle asla eşleştirmediğini" belirtmişti. Vizio, verileri yalnızca "toplu olarak" görüntüleme kitlelerini veya davranışlarını ölçmek için kullandığını ifade etmişti.
Geçtiğimiz yıl Texas Başsavcısı, Samsung, Hisense, LG, Sony ve TCL gibi markalara akıllı TV'lerin ACR aracılığıyla kişisel verileri "yasa dışı" topladığı iddiasıyla dava açtı. Davada, Samsung'un takibi zorlaştırdığı öne sürüldü ve Samsung daha sonra ACR kullanımını daha net açıklayacak şekilde şartlarını güncelleme anlaşmasıyla uzlaştı.
Kullanıcıların takibi reddetmesine rağmen TV'lerin hala takip yapması durumunda, bu durum "kullanıcı rızası ve şeffaflıkla ilgili ciddi endişeler doğurur" diyen araştırmacılar, bunun TV'lerin takip devre dışı bırakıldığında bile ACR uç noktalarına neden ağ trafiği gönderdiğine dair en olası nedenlerden biri olduğunu belirtiyor.
Roku'nun hizmet şartlarında, Roku OS'nin kullanıcılar takipten çıksa bile ilk taraf akış uygulamalarının kullanımını takip ettiğini belirttiği vurgulanıyor. Bu karşılaştırma, Tizen OS ve Vizio OS'de gözlemlenen trafiğin de benzer şekilde devam eden veri toplamasını yansıtabileceği anlamına geliyor.
Bu aktivitenin teknik bir hatadan kaynaklanması ihtimali de var. Ancak bu durum bile, "kullanıcılar için sonuç aynı: Çıkış yapma tercihleri TV'nin davranışında yansıma bulmuyor" deniliyor.
Araştırmacılar, devam eden trafiğin bir başka olası açıklamasının ise verilerin iletildiği ancak uzak sunuculara ulaştığında atıldığı yönünde olduğunu, ancak bu ihtimalin "olası olmadığını" düşünüyorlar.
ACR Hakkında "Halka Açık Bilgi Çok Az"
Araştırma, akıllı TV ACR'nin nasıl çalıştığı, şirketlerin hangi verileri topladığı ve ne zaman topladığına dair şeffaflık eksikliğini vurguluyor.
Raporda, "Önemine rağmen, dağıtılmış ACR uygulamalarının gizlilik etkileri hakkında halka açık bilgi çok azdır - kısmen dağıtımlarının opak doğası ve otomatik testlerdeki zorluklar nedeniyle" ifadesi yer alıyor.
TV pazarının büyüklüğü, ACR dağıtımlarını analiz etmeyi zorlaştırıyor çünkü bu, "büyük miktarda cihaz ve deney gerektiriyor" deniliyor.
Başka bir engel ise "akıllı TV'lerin kilitli olması, köklenme ve TLS kesimi gibi tekniklerin genellikle kullanılamamasına neden oluyor ve bunun yerine ACR etkinliğini güvenilir bir şekilde çıkarabilen tekniklere ihtiyaç duyuluyor" şeklinde belirtiliyor.
Akıllı TV Takibinden Kaçınma Yolları
Akıllı TV üreticilerinin ısrarcı ve şeffaf olmayan takip uygulamaları, daha fazla insanın cihazlarının yazılımlarını değiştirme eğilimini artırıyor. Hatta akıllı TV'leri tekrar "akılsız" TV'lere dönüştürmek için tasarlanmış giderek artan sayıda yazılım aracı kullanılıyor. Bu arada, ABD merkezli kar amacı gütmeyen Software Freedom Conservancy, Vizio'yu TV'lerinin yazılımları üzerindeki kontrolü kolaylaştırmak ve ACR'yi devre dışı bırakmak amacıyla dava ediyor.
Kullanıcıların TV'lerinin kendilerini rıza dışı takip etme riskini azaltmalarına yardımcı olmak için, araştırmacılar "cihazların veya uygulamaların ACR hizmetleriyle iletişim kurmasını engelleyecek, ancak TV izleme kalitesini etkilemeyecek bir dizi ağ adresi, alan adı ve URL" listesi oluşturdular.
Araştırmacıların bir web sitesinde önerdiği gibi, TV üreticileri "gizlilik politikasında anten, HDMI, uygulamalar ve ekran yansıtma gibi ACR'nin izlediği her girişi listelemeli" ve "tüm ACR trafiğini kimlik doğrulamalı ve şifrelemeli".
Araştırma, kullanıcıların akıllı TV'leri ağlarından çıkarıp "ACR çalıştırmayan harici bir akış cihazı kullanmalarını veya ölçümlerimizde etkili olduğu OS'lerde ACR çıkış seçeneğini kullanmalarını" öneriyor.
