- Spur Intelligence Labs đã phân tích 6.038 ứng dụng trên LG webOS và Samsung Tizen, phát hiện SDK proxy dân dụng có thể dùng IP gia đình để trung chuyển lưu lượng cho bên thứ ba trong 2.058 ứng dụng
- TV thông minh luôn được kết nối với nguồn điện và mạng nhưng người dùng không kiểm tra như với PC, nên sau khi đồng ý một lần, proxy vẫn có thể tiếp tục chạy ngay cả khi đã đóng ứng dụng
- Các SDK được xác nhận thuộc Bright Data, Massive và nhóm Honeygain/Oxylabs; một số ứng dụng trông như game, trình bảo vệ màn hình hoặc tiện ích nhưng thực chất kiếm tiền từ IP dân dụng của người dùng
- Amazon được cho là cấm các ứng dụng hỗ trợ dịch vụ proxy bên thứ ba và Roku cũng chặn các SDK kiểu Bright, nhưng LG và Samsung chưa đưa ra chính sách công khai tương đương
- Các công ty nhấn mạnh việc thẩm định khách hàng và giới hạn lưu lượng, nhưng người dùng TV khó tự xác minh mục đích sử dụng lưu lượng thực tế và việc chặn truy cập mạng nội bộ
Cách TV thông minh trở thành máy chủ proxy
- Ứng dụng TV thông minh ít bị người dùng giám sát hơn ứng dụng điện thoại, nhưng vẫn kết nối vào cùng mạng gia đình với các thiết bị khác trong nhà
- Những dấu hiệu bất thường như hao pin, tăng cước di động, hay hoạt động nền hiển thị trong trình chuyển ứng dụng rất khó nhận ra trên TV
- Khi lời nhắc đồng ý một lần trong lúc thiết lập ban đầu đã trôi qua, ứng dụng vẫn có thể kiếm tiền từ kết nối ngay cả khi người dùng đã quên nội dung đó
- Các ứng dụng như đồng hồ, bể cá, trình bảo vệ màn hình hay game nhẹ thường dễ làm trải nghiệm tệ đi nếu chèn quảng cáo, nên SDK proxy trở thành công cụ kiếm tiền nền
Cách xin đồng ý và kiếm tiền
- Các SDK được khảo sát hoạt động theo cách chỉ xin đồng ý một lần rồi không hỏi lại
- Điều kiện cốt lõi là chạy nền để proxy có thể tiếp tục hoạt động sau khi ứng dụng đã bị đóng
- Pac-Man trên Tizen đưa ra Bright Data như một lựa chọn không có quảng cáo
- Nếu từ chối, người dùng tiếp tục dùng bản game có quảng cáo
- Nếu chấp nhận, kết nối TV có thể được dùng cho việc lập chỉ mục web
- Người dùng phải chọn giữa xem quảng cáo hoặc cung cấp TV như một phần của mạng proxy
Nhà phát hành và bản chất ứng dụng
- Đây không chỉ là mô hình SDK proxy bị chèn vào bởi các nhà phát triển ứng dụng ngẫu nhiên
- Trong tập dữ liệu, Bright Data, Bright Data Ltd và Bright SDK được liên kết với 367 ứng dụng có gắn nhãn proxy
- Honeygain UAB là công ty con của Oxylabs và xuất hiện là nhà phát hành của 16 ứng dụng
- Một số ứng dụng trông gần giống vỏ bọc mỏng của game, trình bảo vệ màn hình hoặc tiện ích được tạo ra để dành chỗ cho SDK chạy hơn là ứng dụng thông thường có tích hợp SDK proxy
- Trong những trường hợp này, ứng dụng chỉ là lớp vỏ, còn sản phẩm thực sự là IP dân dụng của người dùng
Khác biệt chính sách giữa các nền tảng
- Amazon trong Device and System Abuse Policy cấm rõ ràng các ứng dụng hỗ trợ dịch vụ proxy bên thứ ba
- Roku cũng được cho là đã ngăn việc dùng các dịch vụ proxy tương tự Bright SDK
- Theo nội dung Lowpass phát cho The Verge, Roku cấm nhà phát triển sử dụng Bright SDK
- Sau khi công ty được liên hệ, các ứng dụng Roku dùng SDK này được cho là đã biến mất
- LG và Samsung chưa đưa ra tiêu chuẩn công khai tương đương
- Mô hình kinh doanh bị Amazon cấm và được cho là bị Roku chặn lại được xác nhận ở quy mô lớn trên webOS và Tizen
Rủi ro lan sang cả mạng nội bộ
- Khi ứng dụng TV trở thành proxy, rủi ro không chỉ dừng ở việc cho thuê IP công khai
- Vì ứng dụng chạy bên trong mạng gia đình, nếu nhà cung cấp proxy cho phép yêu cầu đến địa chỉ riêng/tức nội bộ hoặc việc lọc thất bại, nó có thể trở thành điểm bám để truy cập các thiết bị bên trong
- Những mục tiêu có thể bị lộ gồm bảng quản trị router, NAS, máy in, camera, máy của nhà phát triển và các ứng dụng khác đang lắng nghe trên cổng nội bộ
- Trong trường hợp Kimwolf của KrebsOnSecurity tháng 1/2026, một botnet đã được mô tả là dùng mạng proxy dân dụng để tạo đường hầm vào mạng nội bộ phía sau các điểm cuối proxy
- Với Kimwolf, đã xác nhận cách kẻ tấn công truy cập không chỉ lưu lượng web công khai mà còn cả các thiết bị nằm cùng LAN với nút proxy rồi tiếp tục phát tán
Ranh giới mạng thể hiện trong các mẫu SDK
- Mẫu Bright Data có danh sách chặn địa chỉ riêng/nội bộ rõ ràng
127.0.0.0/810.0.0.0/8172.16.0.0/12169.254.0.0/16192.168.0.0/16255.255.255.255
- Danh sách chặn này là tín hiệu tích cực, nhưng đồng thời cũng cho thấy TV có thể tạo ra các kết nối đó và ranh giới phụ thuộc vào mã chính sách của SDK
- Mẫu Massive phân tích giá trị
host:portdo máy chủ cung cấp và mở kết nối bằngnet.Socket - Mẫu Honeygain/Oxylabs nhận
address.hostvàaddress.portqua thông điệp máy chủmessageType: "connect", rồi ghi byte vào kết nối đó qua các thông điệp chunk sau đó - Trong các mẫu Massive và Honeygain/Oxylabs cục bộ, không tìm thấy danh sách chặn dải địa chỉ riêng tương đương với mẫu Bright Data
- Ranh giới thực tế được duy trì không phải bởi sự bất khả thi về mặt kỹ thuật mà bởi quy trình thẩm định khách hàng, bộ lọc lưu lượng, quy tắc nội bộ của công ty proxy và khâu xét duyệt nền tảng của LG·Samsung
Phương pháp điều tra
- Cuộc điều tra không dựa vào mô tả trên cửa hàng hay lời nhắc quyền truy cập, mà tải về các gói ứng dụng LG webOS và Samsung Tizen thật, giải nén rồi quét các tệp bên trong
- Dấu vân tay được xây dựng dựa trên các thành phần SDK đã được xác nhận
brd_api.js, dịch vụbrd_sdkcủa Bright Data- Client Massive và dịch vụ
.massivesdk - Tệp SDK và tên dịch vụ của Honeygain/Oxylabs
- Các token hoặc tên gói liên quan
- Tất cả ứng dụng được thống kê đều chứa dấu vân tay SDK proxy đã được xác nhận
Lập trường của các công ty proxy
- Bright Data cho biết sự đồng ý là yếu tố phân biệt giữa mạng hợp pháp và mạng độc hại, đồng thời công ty có thể chứng minh điều đó thông qua khung nguồn cung, thẩm định, quản trị và trách nhiệm minh bạch, tuân thủ pháp luật
- Công ty cho biết có kiểm toán viên độc lập và hãng bảo mật đánh giá
- Việc sử dụng chỉ được phê duyệt cho các mục đích kinh doanh, nghiên cứu và báo chí hợp pháp đã được xác minh
- Massive cho biết họ tập trung vào quyền riêng tư và bảo mật từ góc nhìn người tiêu dùng
- Công ty thừa nhận các điểm cuối được thiết kế để tác động và giao diện tới người dùng ở mức tối thiểu, khiến chủ thiết bị khó xác minh
- Trước đây họ từng cung cấp thanh trượt điều chỉnh mức dùng tài nguyên, nhưng do người dùng tự gây ra trạng thái từ chối dịch vụ mà lại tưởng là lỗi sản phẩm, hiện nay đã đổi sang lựa chọn bật/tắt đơn giản
- Người dùng mạng phải trải qua quy trình KYC để xác minh mục đích kinh doanh hợp pháp
- Các biện pháp kiểm soát kỹ thuật chủ yếu được thực hiện phía máy chủ, và công ty nói rằng không giải mã hay giám sát lưu lượng theo kiểu man-in-the-middle
- Oxylabs cho biết họ hạn chế truy cập vào các dải mạng riêng/nội bộ bằng nhiều biện pháp kiểm soát kỹ thuật ở cấp hạ tầng và SDK
- Bao gồm lọc, kiểm tra lưu lượng và danh sách chặn cục bộ
- Công ty cho biết các bản cập nhật SDK có thể mất thời gian để phản ánh vào ứng dụng TV thông minh đã phát hành do quy trình xét duyệt của cửa hàng ứng dụng
- Chỉ các ứng dụng được phê duyệt phát hành qua Honeygain SDK Partnership Program mới có thể được đưa vào mạng proxy
- Công ty cho biết đã trải qua kiểm thử xâm nhập bên thứ ba và kiểm toán bảo mật có bao gồm cả thử nghiệm ngăn truy cập mạng nội bộ
Minh bạch và quyền kiểm soát mà người dùng cần có
- Ứng dụng TV không nên âm thầm biến thiết bị trong phòng khách thành hạ tầng proxy dân dụng
- Nếu ứng dụng kiếm tiền từ kết nối Internet gia đình, người dùng cần hiểu rõ điều đó có nghĩa gì, kết nối được dùng ra sao, cũng như các rủi ro và đánh đổi
- Cốt lõi của vấn đề không phải là sự tồn tại của mạng proxy dân dụng, mà là việc nó được nhúng ở quy mô lớn vào các thiết bị mà người tiêu dùng không xem là máy tính và rất khó kiểm tra
- Một lời nhắc xin đồng ý một lần trong ứng dụng TV không thể thay thế cho sự minh bạch có ý nghĩa, quyền kiểm soát liên tục và sự giám sát của nền tảng
- Rủi ro tăng lên khi những người như trẻ vị thành niên có thể dùng TV trong gia đình nhưng không nên có quyền đồng ý lại có thể bấm chấp nhận
- LG và Samsung có thể thiết lập chính sách rõ ràng về SDK proxy dân dụng, yêu cầu thông báo dễ thấy và quyền kiểm soát cho người dùng, đồng thời rà soát kỹ các ứng dụng trung chuyển lưu lượng bên thứ ba qua thiết bị tiêu dùng
1 bình luận
Ý kiến trên Hacker News
Nói hơi theo kiểu nguyên tắc một chút thì chỉ cần trả thêm một ít là có thể mua được một chiếc TV DID/thương mại khá ổn: https://www.bhphotovideo.com/c/product/1788343-REG/samsung_q...
Tôi đã mua cách đây vài tháng, 4K, đủ sáng, màu sắc cũng ổn
Không phải hàng cao cấp nhất, nhưng tôi đã tắt cả Wi‑Fi lẫn hiển thị kênh, rồi dùng Apple TV cùng CEC của TV nên khi bật Apple TV thì TV khởi động thẳng vào giao diện Apple, còn khi tắt bằng remote Apple thì TV cũng tắt theo
Về cơ bản tôi đang dùng nó như một màn hình chỉ dành cho Apple TV và khá hài lòng
Trên HN hay Reddit có mấy suy đoán mơ hồ rằng TV có modem di động tích hợp, nhưng đến giờ vẫn chưa được xác nhận
May là Samsung S95D không như vậy, màn OLED chống chói cũng rất đẹp, và vẫn dùng tốt mà không cần cấu hình kết nối mạng hay tính năng smart TV
Những thao tác tôi cần chỉ là chỉnh âm lượng và chuyển đầu vào HDMI, còn nguồn phát là hai chiếc AppleTV 4K gắn lần lượt với Apple ID Mỹ và Apple ID Anh
Có lúc nào đó tôi cũng sẽ nối thêm đầu phát 4K Blu‑Ray Oppo UDP-203, nhưng trong 2 năm kể từ khi chuyển sang nhà mới thì vẫn chưa cần
Tôi stream mọi thứ bằng Chrome, thỉnh thoảng dùng air mouse và bàn phím không dây, và mọi thứ chạy rất ổn
Cũng tò mò nó chạy phiên bản Tizen nào và có truy cập API được hay không
Tốt nhất là đừng bao giờ kết nối smart TV vào mạng, còn nếu không chịu nổi mà vẫn muốn kết nối thì hãy đưa nó vào một VLAN không có gateway và có firewall
Với số tiền tiết kiệm được nhờ mua TV rẻ hơn vì có tính năng thông minh, bạn có thể mua một mini workstation doanh nghiệp cũ và cài LibreELEC/Kodi các kiểu lên đó để dùng làm thiết bị thông minh
Kết nối TV với Internet chẳng mang lại điều gì tốt đẹp cả
Và tôi cũng theo quan điểm là đừng trở thành người nộp tiền đều đặn cho họ, đừng đăng ký thuê bao gì hết
Cho đến gần đây, chạy hẳn một môi trường desktop Linux đầy đủ vẫn là tốt nhất, nhưng giờ đã có Plasma Bigscreen[0], được làm để dùng bằng remote từ ghế sofa
Bạn có thể chạy Kodi như một ứng dụng, stream bằng trình duyệt, hoặc chơi game qua Steam
[0] https://plasma-bigscreen.org/
Đúng là phí thuê bao dạo này đắt hơn, nhưng bạn có thể đăng ký một dịch vụ, xem thứ mình muốn rồi hủy, sau đó chuyển sang dịch vụ khác
Có nhiều lý do để chê Amazon, nhưng ít nhất trên Prime Video thì bạn có thể đăng ký các dịch vụ khác ngay trong đó, xem bằng bất kỳ trình duyệt nào, và khi xong thì hủy khá dễ dàng, rõ ràng
Giải pháp tốt hơn là root TV và thiến sạch spyware lẫn adware của nó
Ngoài ra thì tôi đồng ý là nên để nó offline
Từ trước đến nay tôi luôn có một sự ác cảm bản năng với smart TV, và mỗi năm lại thấy thêm những câu chuyện kinh dị nhân tạo mới vượt ngoài sức tưởng tượng, khiến sự ghét đó ngày càng lớn hơn
Mọi người quên mất rằng TV rẻ đi là vì smart TV được trợ giá rất mạnh bằng quảng cáo và dữ liệu xem của người dùng
Tôi cố tình duy trì ngôi nhà có mức công nghệ thấp nhất trong số những người cùng lứa
LG lại một lần nữa đi đầu trong việc nhồi nhét thứ nhảm nhí kiểu “màn hình gaming thông minh”
Dựa theo bài viết thì đáng nhấn mạnh rằng đây không phải ứng dụng mặc định của LG, mà là ứng dụng bên thứ ba
Chỉ nhìn tiêu đề thì tôi đã tưởng là vấn đề của ứng dụng tích hợp sẵn
Việc này trông có vẻ đạo đức hơn tôi tưởng
Tôi cứ nghĩ hoặc là sẽ chẳng có đồng ý nào cả, hoặc nội dung thật là bị dùng làm proxy sẽ bị chôn trong một EULA dài 20 trang
Phần lớn người dùng có lẽ vẫn sẽ bấm chấp nhận mà không nghĩ nhiều, nhưng ít nhất nếu làm chuyện này thì họ cũng thông báo và xin đồng ý theo cách tương đối trực diện
Trong các nền tảng TV nơi cách làm này không được cho phép, tôi lại nghi ngờ rằng các ứng dụng sẽ làm y hệt trong bí mật hoàn toàn, thậm chí còn tìm cách che giấu dấu vết
Thú vị là trong danh sách “nhà phát hành có nhiều ứng dụng bị gắn nhãn proxy nhất”, hạng 1 là Desoline có trụ sở tại Netanya, Israel, và hạng 2 là Bright Data có trụ sở tại Israel
Tôi chưa rút ra kết luận gì cả
Nó nổi tiếng là đã làm khá nhiều chuyện ám muội
Chuyện này đáng lẽ phải là bất hợp pháp
Điểm mơ hồ duy nhất có thể bị xem là vấn đề là câu “tải dữ liệu web công khai từ Internet” trên màn hình đồng ý đã bỏ sót bản chất thật sự của việc đang xảy ra và các rủi ro liên quan
Ngoài chuyện “AI scraper là xấu” hay “ẩn danh tính”, tôi thấy khó xây dựng được một cơ sở nguyên tắc để cấm
Tor relay hay VPN thực ra cũng làm điều gần như tương tự, chỉ khác là phần công bố cách hoạt động thực tế rõ ràng hơn
Đây không chỉ là vấn đề của ứng dụng smart TV mà là vấn đề của mọi ứng dụng miễn phí
Bằng cách nào đó chúng phải kiếm tiền, mà nếu hiện quảng cáo thì người ta lại ghét
Cuối cùng thì nếu không theo kiểu này, người dùng sẽ phải trả tiền cho ứng dụng
Tôi vẫn đang dùng Paint.net đây
Tôi hiểu Youtube cần tạo doanh thu và trả lương nhân viên
Khoảng 10 năm trước, tôi vẫn chịu được kiểu thỉnh thoảng có một quảng cáo 10 giây ở đầu clip
Nhưng giờ họ đã vượt quá giới hạn khi liên tục phát hai quảng cáo không thể bỏ qua, nên tôi dùng uBlock hoặc VacuumTube trên mọi thiết bị
Hơn nữa vẫn còn vấn đề là bạn phải tin rằng ứng dụng trả phí sẽ không làm những trò này
Tôi không biết liệu đã có đủ nội dung 4K để đáng thay chiếc Samsung LCD 1080p cũ hay chưa
Trên Craigslist vẫn có thể tìm được TV miễn phí
Khi nhìn TV 4K chạy chế độ trình diễn ở Costco thì đúng là ấn tượng, nhưng ở nhà xem World Cup qua sóng mặt đất hoặc Fios 1080p thì vẫn thấy đủ đẹp
Tôi cũng không trả thêm tiền cho Netflix 4K, và phần lớn nội dung trên Fios cũng không phải 4K
Tôi thật sự rất thích chiếc LG OLED đời 2018 đã jailbreak của mình, nhưng cũng thấy chua chát vì toàn bộ những tính năng tôi thích lại đều là những thứ mà nhà sản xuất rất muốn ngăn chặn và không muốn tôi tiếp cận