1 điểm bởi GN⁺ 4 giờ trước | 1 bình luận | Chia sẻ qua WhatsApp
  • Spur Intelligence Labs đã phân tích 6.038 ứng dụng trên LG webOS và Samsung Tizen, phát hiện SDK proxy dân dụng có thể dùng IP gia đình để trung chuyển lưu lượng cho bên thứ ba trong 2.058 ứng dụng
  • TV thông minh luôn được kết nối với nguồn điện và mạng nhưng người dùng không kiểm tra như với PC, nên sau khi đồng ý một lần, proxy vẫn có thể tiếp tục chạy ngay cả khi đã đóng ứng dụng
  • Các SDK được xác nhận thuộc Bright Data, Massive và nhóm Honeygain/Oxylabs; một số ứng dụng trông như game, trình bảo vệ màn hình hoặc tiện ích nhưng thực chất kiếm tiền từ IP dân dụng của người dùng
  • Amazon được cho là cấm các ứng dụng hỗ trợ dịch vụ proxy bên thứ ba và Roku cũng chặn các SDK kiểu Bright, nhưng LG và Samsung chưa đưa ra chính sách công khai tương đương
  • Các công ty nhấn mạnh việc thẩm định khách hàng và giới hạn lưu lượng, nhưng người dùng TV khó tự xác minh mục đích sử dụng lưu lượng thực tế và việc chặn truy cập mạng nội bộ

Cách TV thông minh trở thành máy chủ proxy

  • Ứng dụng TV thông minh ít bị người dùng giám sát hơn ứng dụng điện thoại, nhưng vẫn kết nối vào cùng mạng gia đình với các thiết bị khác trong nhà
  • Những dấu hiệu bất thường như hao pin, tăng cước di động, hay hoạt động nền hiển thị trong trình chuyển ứng dụng rất khó nhận ra trên TV
  • Khi lời nhắc đồng ý một lần trong lúc thiết lập ban đầu đã trôi qua, ứng dụng vẫn có thể kiếm tiền từ kết nối ngay cả khi người dùng đã quên nội dung đó
  • Các ứng dụng như đồng hồ, bể cá, trình bảo vệ màn hình hay game nhẹ thường dễ làm trải nghiệm tệ đi nếu chèn quảng cáo, nên SDK proxy trở thành công cụ kiếm tiền nền

Cách xin đồng ý và kiếm tiền

  • Các SDK được khảo sát hoạt động theo cách chỉ xin đồng ý một lần rồi không hỏi lại
  • Điều kiện cốt lõi là chạy nền để proxy có thể tiếp tục hoạt động sau khi ứng dụng đã bị đóng
  • Pac-Man trên Tizen đưa ra Bright Data như một lựa chọn không có quảng cáo
    • Nếu từ chối, người dùng tiếp tục dùng bản game có quảng cáo
    • Nếu chấp nhận, kết nối TV có thể được dùng cho việc lập chỉ mục web
  • Người dùng phải chọn giữa xem quảng cáo hoặc cung cấp TV như một phần của mạng proxy

Nhà phát hành và bản chất ứng dụng

  • Đây không chỉ là mô hình SDK proxy bị chèn vào bởi các nhà phát triển ứng dụng ngẫu nhiên
  • Trong tập dữ liệu, Bright Data, Bright Data Ltd và Bright SDK được liên kết với 367 ứng dụng có gắn nhãn proxy
  • Honeygain UAB là công ty con của Oxylabs và xuất hiện là nhà phát hành của 16 ứng dụng
  • Một số ứng dụng trông gần giống vỏ bọc mỏng của game, trình bảo vệ màn hình hoặc tiện ích được tạo ra để dành chỗ cho SDK chạy hơn là ứng dụng thông thường có tích hợp SDK proxy
  • Trong những trường hợp này, ứng dụng chỉ là lớp vỏ, còn sản phẩm thực sự là IP dân dụng của người dùng

Khác biệt chính sách giữa các nền tảng

  • Amazon trong Device and System Abuse Policy cấm rõ ràng các ứng dụng hỗ trợ dịch vụ proxy bên thứ ba
  • Roku cũng được cho là đã ngăn việc dùng các dịch vụ proxy tương tự Bright SDK
    • Theo nội dung Lowpass phát cho The Verge, Roku cấm nhà phát triển sử dụng Bright SDK
    • Sau khi công ty được liên hệ, các ứng dụng Roku dùng SDK này được cho là đã biến mất
  • LG và Samsung chưa đưa ra tiêu chuẩn công khai tương đương
  • Mô hình kinh doanh bị Amazon cấm và được cho là bị Roku chặn lại được xác nhận ở quy mô lớn trên webOS và Tizen

Rủi ro lan sang cả mạng nội bộ

  • Khi ứng dụng TV trở thành proxy, rủi ro không chỉ dừng ở việc cho thuê IP công khai
  • Vì ứng dụng chạy bên trong mạng gia đình, nếu nhà cung cấp proxy cho phép yêu cầu đến địa chỉ riêng/tức nội bộ hoặc việc lọc thất bại, nó có thể trở thành điểm bám để truy cập các thiết bị bên trong
  • Những mục tiêu có thể bị lộ gồm bảng quản trị router, NAS, máy in, camera, máy của nhà phát triển và các ứng dụng khác đang lắng nghe trên cổng nội bộ
  • Trong trường hợp Kimwolf của KrebsOnSecurity tháng 1/2026, một botnet đã được mô tả là dùng mạng proxy dân dụng để tạo đường hầm vào mạng nội bộ phía sau các điểm cuối proxy
  • Với Kimwolf, đã xác nhận cách kẻ tấn công truy cập không chỉ lưu lượng web công khai mà còn cả các thiết bị nằm cùng LAN với nút proxy rồi tiếp tục phát tán

Ranh giới mạng thể hiện trong các mẫu SDK

  • Mẫu Bright Data có danh sách chặn địa chỉ riêng/nội bộ rõ ràng
    • 127.0.0.0/8
    • 10.0.0.0/8
    • 172.16.0.0/12
    • 169.254.0.0/16
    • 192.168.0.0/16
    • 255.255.255.255
  • Danh sách chặn này là tín hiệu tích cực, nhưng đồng thời cũng cho thấy TV có thể tạo ra các kết nối đó và ranh giới phụ thuộc vào mã chính sách của SDK
  • Mẫu Massive phân tích giá trị host:port do máy chủ cung cấp và mở kết nối bằng net.Socket
  • Mẫu Honeygain/Oxylabs nhận address.hostaddress.port qua thông điệp máy chủ messageType: "connect", rồi ghi byte vào kết nối đó qua các thông điệp chunk sau đó
  • Trong các mẫu Massive và Honeygain/Oxylabs cục bộ, không tìm thấy danh sách chặn dải địa chỉ riêng tương đương với mẫu Bright Data
  • Ranh giới thực tế được duy trì không phải bởi sự bất khả thi về mặt kỹ thuật mà bởi quy trình thẩm định khách hàng, bộ lọc lưu lượng, quy tắc nội bộ của công ty proxy và khâu xét duyệt nền tảng của LG·Samsung

Phương pháp điều tra

  • Cuộc điều tra không dựa vào mô tả trên cửa hàng hay lời nhắc quyền truy cập, mà tải về các gói ứng dụng LG webOS và Samsung Tizen thật, giải nén rồi quét các tệp bên trong
  • Dấu vân tay được xây dựng dựa trên các thành phần SDK đã được xác nhận
    • brd_api.js, dịch vụ brd_sdk của Bright Data
    • Client Massive và dịch vụ .massivesdk
    • Tệp SDK và tên dịch vụ của Honeygain/Oxylabs
    • Các token hoặc tên gói liên quan
  • Tất cả ứng dụng được thống kê đều chứa dấu vân tay SDK proxy đã được xác nhận

Lập trường của các công ty proxy

  • Bright Data cho biết sự đồng ý là yếu tố phân biệt giữa mạng hợp pháp và mạng độc hại, đồng thời công ty có thể chứng minh điều đó thông qua khung nguồn cung, thẩm định, quản trị và trách nhiệm minh bạch, tuân thủ pháp luật
    • Công ty cho biết có kiểm toán viên độc lập và hãng bảo mật đánh giá
    • Việc sử dụng chỉ được phê duyệt cho các mục đích kinh doanh, nghiên cứu và báo chí hợp pháp đã được xác minh
  • Massive cho biết họ tập trung vào quyền riêng tư và bảo mật từ góc nhìn người tiêu dùng
    • Công ty thừa nhận các điểm cuối được thiết kế để tác động và giao diện tới người dùng ở mức tối thiểu, khiến chủ thiết bị khó xác minh
    • Trước đây họ từng cung cấp thanh trượt điều chỉnh mức dùng tài nguyên, nhưng do người dùng tự gây ra trạng thái từ chối dịch vụ mà lại tưởng là lỗi sản phẩm, hiện nay đã đổi sang lựa chọn bật/tắt đơn giản
    • Người dùng mạng phải trải qua quy trình KYC để xác minh mục đích kinh doanh hợp pháp
    • Các biện pháp kiểm soát kỹ thuật chủ yếu được thực hiện phía máy chủ, và công ty nói rằng không giải mã hay giám sát lưu lượng theo kiểu man-in-the-middle
  • Oxylabs cho biết họ hạn chế truy cập vào các dải mạng riêng/nội bộ bằng nhiều biện pháp kiểm soát kỹ thuật ở cấp hạ tầng và SDK
    • Bao gồm lọc, kiểm tra lưu lượng và danh sách chặn cục bộ
    • Công ty cho biết các bản cập nhật SDK có thể mất thời gian để phản ánh vào ứng dụng TV thông minh đã phát hành do quy trình xét duyệt của cửa hàng ứng dụng
    • Chỉ các ứng dụng được phê duyệt phát hành qua Honeygain SDK Partnership Program mới có thể được đưa vào mạng proxy
    • Công ty cho biết đã trải qua kiểm thử xâm nhập bên thứ ba và kiểm toán bảo mật có bao gồm cả thử nghiệm ngăn truy cập mạng nội bộ

Minh bạch và quyền kiểm soát mà người dùng cần có

  • Ứng dụng TV không nên âm thầm biến thiết bị trong phòng khách thành hạ tầng proxy dân dụng
  • Nếu ứng dụng kiếm tiền từ kết nối Internet gia đình, người dùng cần hiểu rõ điều đó có nghĩa gì, kết nối được dùng ra sao, cũng như các rủi ro và đánh đổi
  • Cốt lõi của vấn đề không phải là sự tồn tại của mạng proxy dân dụng, mà là việc nó được nhúng ở quy mô lớn vào các thiết bị mà người tiêu dùng không xem là máy tính và rất khó kiểm tra
  • Một lời nhắc xin đồng ý một lần trong ứng dụng TV không thể thay thế cho sự minh bạch có ý nghĩa, quyền kiểm soát liên tục và sự giám sát của nền tảng
  • Rủi ro tăng lên khi những người như trẻ vị thành niên có thể dùng TV trong gia đình nhưng không nên có quyền đồng ý lại có thể bấm chấp nhận
  • LG và Samsung có thể thiết lập chính sách rõ ràng về SDK proxy dân dụng, yêu cầu thông báo dễ thấy và quyền kiểm soát cho người dùng, đồng thời rà soát kỹ các ứng dụng trung chuyển lưu lượng bên thứ ba qua thiết bị tiêu dùng

1 bình luận

 
Ý kiến trên Hacker News
  • Nói hơi theo kiểu nguyên tắc một chút thì chỉ cần trả thêm một ít là có thể mua được một chiếc TV DID/thương mại khá ổn: https://www.bhphotovideo.com/c/product/1788343-REG/samsung_q...
    Tôi đã mua cách đây vài tháng, 4K, đủ sáng, màu sắc cũng ổn
    Không phải hàng cao cấp nhất, nhưng tôi đã tắt cả Wi‑Fi lẫn hiển thị kênh, rồi dùng Apple TV cùng CEC của TV nên khi bật Apple TV thì TV khởi động thẳng vào giao diện Apple, còn khi tắt bằng remote Apple thì TV cũng tắt theo
    Về cơ bản tôi đang dùng nó như một màn hình chỉ dành cho Apple TV và khá hài lòng

    • Nếu vậy thì có lẽ chẳng cần trả thêm tiền premium, cứ mua smart TV được trợ giá rồi không kết nối Internet là được mà
      Trên HN hay Reddit có mấy suy đoán mơ hồ rằng TV có modem di động tích hợp, nhưng đến giờ vẫn chưa được xác nhận
    • Một số TV TCL sẽ từ chối hoạt động nếu không được kết nối vào mạng có thể truy cập máy chủ của hãng
      May là Samsung S95D không như vậy, màn OLED chống chói cũng rất đẹp, và vẫn dùng tốt mà không cần cấu hình kết nối mạng hay tính năng smart TV
      Những thao tác tôi cần chỉ là chỉnh âm lượng và chuyển đầu vào HDMI, còn nguồn phát là hai chiếc AppleTV 4K gắn lần lượt với Apple ID Mỹ và Apple ID Anh
      Có lúc nào đó tôi cũng sẽ nối thêm đầu phát 4K Blu‑Ray Oppo UDP-203, nhưng trong 2 năm kể từ khi chuyển sang nhà mới thì vẫn chưa cần
    • Tôi vẫn giữ TV là một màn hình ngu, và gắn phía sau một chiếc laptop chạy Kubuntu Linux
      Tôi stream mọi thứ bằng Chrome, thỉnh thoảng dùng air mouse và bàn phím không dây, và mọi thứ chạy rất ổn
    • Trông giống The Frame của Samsung, nên tôi tò mò không biết có phải bề mặt chống chói không
      Cũng tò mò nó chạy phiên bản Tizen nào và có truy cập API được hay không
    • Nghĩ lại thì cũng thấy lạ là tại sao Apple chưa từng ra TV
  • Tốt nhất là đừng bao giờ kết nối smart TV vào mạng, còn nếu không chịu nổi mà vẫn muốn kết nối thì hãy đưa nó vào một VLAN không có gateway và có firewall
    Với số tiền tiết kiệm được nhờ mua TV rẻ hơn vì có tính năng thông minh, bạn có thể mua một mini workstation doanh nghiệp cũ và cài LibreELEC/Kodi các kiểu lên đó để dùng làm thiết bị thông minh
    Kết nối TV với Internet chẳng mang lại điều gì tốt đẹp cả
    Và tôi cũng theo quan điểm là đừng trở thành người nộp tiền đều đặn cho họ, đừng đăng ký thuê bao gì hết

    • Tôi nhìn chung đồng ý, nhưng LibreELEC hay các bản phân phối Kodi khác thì không hay lắm và quá hạn chế
      Cho đến gần đây, chạy hẳn một môi trường desktop Linux đầy đủ vẫn là tốt nhất, nhưng giờ đã có Plasma Bigscreen[0], được làm để dùng bằng remote từ ghế sofa
      Bạn có thể chạy Kodi như một ứng dụng, stream bằng trình duyệt, hoặc chơi game qua Steam
      [0] https://plasma-bigscreen.org/
    • Tôi không hiểu tại sao lại tuyệt đối không nên đăng ký thuê bao
      Đúng là phí thuê bao dạo này đắt hơn, nhưng bạn có thể đăng ký một dịch vụ, xem thứ mình muốn rồi hủy, sau đó chuyển sang dịch vụ khác
      Có nhiều lý do để chê Amazon, nhưng ít nhất trên Prime Video thì bạn có thể đăng ký các dịch vụ khác ngay trong đó, xem bằng bất kỳ trình duyệt nào, và khi xong thì hủy khá dễ dàng, rõ ràng
    • Tôi cũng từng nghe lời khuyên này, và giải pháp thay thế thường là đặt một Apple TV, nhưng sau khi dùng thử kiểu đó thì tôi không thích vì phải dùng hai cái remote
      Giải pháp tốt hơn là root TV và thiến sạch spyware lẫn adware của nó
    • Lần duy nhất TV của tôi kết nối Internet là khi cập nhật phần mềm, và lúc đó cách dễ nhất là tạo một điểm phát Wi‑Fi tạm thời từ điện thoại
    • Cứ vài tháng tôi lại cắm dây để kiểm tra cập nhật firmware các thứ
      Ngoài ra thì tôi đồng ý là nên để nó offline
  • Từ trước đến nay tôi luôn có một sự ác cảm bản năng với smart TV, và mỗi năm lại thấy thêm những câu chuyện kinh dị nhân tạo mới vượt ngoài sức tưởng tượng, khiến sự ghét đó ngày càng lớn hơn

    • Tôi cũng có cảm giác tương tự với mọi thiết bị “smart” trong nhà cần kết nối Internet và không cho phép cấu hình hay vận hành chỉ qua LAN
      Mọi người quên mất rằng TV rẻ đi là vì smart TV được trợ giá rất mạnh bằng quảng cáo và dữ liệu xem của người dùng
      Tôi cố tình duy trì ngôi nhà có mức công nghệ thấp nhất trong số những người cùng lứa
    • Điều này cũng đang lan sang màn hình PC
      LG lại một lần nữa đi đầu trong việc nhồi nhét thứ nhảm nhí kiểu “màn hình gaming thông minh”
  • Dựa theo bài viết thì đáng nhấn mạnh rằng đây không phải ứng dụng mặc định của LG, mà là ứng dụng bên thứ ba
    Chỉ nhìn tiêu đề thì tôi đã tưởng là vấn đề của ứng dụng tích hợp sẵn

    • LG vốn đã tự chạy spyware riêng của mình là nhận diện nội dung rồi
    • Điều đó cũng khiến tôi tự hỏi liệu những smart TV khác dùng cùng ứng dụng bên thứ ba này có gặp vấn đề tương tự không
  • Việc này trông có vẻ đạo đức hơn tôi tưởng
    Tôi cứ nghĩ hoặc là sẽ chẳng có đồng ý nào cả, hoặc nội dung thật là bị dùng làm proxy sẽ bị chôn trong một EULA dài 20 trang

    • Mức này thì có vẻ khá hợp lý
      Phần lớn người dùng có lẽ vẫn sẽ bấm chấp nhận mà không nghĩ nhiều, nhưng ít nhất nếu làm chuyện này thì họ cũng thông báo và xin đồng ý theo cách tương đối trực diện
      Trong các nền tảng TV nơi cách làm này không được cho phép, tôi lại nghi ngờ rằng các ứng dụng sẽ làm y hệt trong bí mật hoàn toàn, thậm chí còn tìm cách che giấu dấu vết
  • Thú vị là trong danh sách “nhà phát hành có nhiều ứng dụng bị gắn nhãn proxy nhất”, hạng 1 là Desoline có trụ sở tại Netanya, Israel, và hạng 2 là Bright Data có trụ sở tại Israel

    • Càng thú vị hơn vì đây là một đất nước vốn khá nổi tiếng với spyware và công cụ hack iOS
      Tôi chưa rút ra kết luận gì cả
    • Nói cho ai chưa biết thì Bright Data trước đây là Luminati proxy
      Nó nổi tiếng là đã làm khá nhiều chuyện ám muội
  • Chuyện này đáng lẽ phải là bất hợp pháp

    • Tôi không rõ phần nào thì đáng lẽ phải là bất hợp pháp
    • Tôi cũng không hiểu tại sao phải vậy
      Điểm mơ hồ duy nhất có thể bị xem là vấn đề là câu “tải dữ liệu web công khai từ Internet” trên màn hình đồng ý đã bỏ sót bản chất thật sự của việc đang xảy ra và các rủi ro liên quan
      Ngoài chuyện “AI scraper là xấu” hay “ẩn danh tính”, tôi thấy khó xây dựng được một cơ sở nguyên tắc để cấm
      Tor relay hay VPN thực ra cũng làm điều gần như tương tự, chỉ khác là phần công bố cách hoạt động thực tế rõ ràng hơn
  • Đây không chỉ là vấn đề của ứng dụng smart TV mà là vấn đề của mọi ứng dụng miễn phí
    Bằng cách nào đó chúng phải kiếm tiền, mà nếu hiện quảng cáo thì người ta lại ghét
    Cuối cùng thì nếu không theo kiểu này, người dùng sẽ phải trả tiền cho ứng dụng

    • Tôi không biết đây có phải nói mỉa không, nhưng bạn có biết rằng ứng dụng vẫn có thể tồn tại mà không cần kiếm tiền không
      Tôi vẫn đang dùng Paint.net đây
    • Vấn đề là ngay cả ứng dụng trả phí cũng vẫn hiện quảng cáo và kiếm tiền theo cách khác
    • Việc ghét quảng cáo vừa đúng mà cũng vừa không hẳn
      Tôi hiểu Youtube cần tạo doanh thu và trả lương nhân viên
      Khoảng 10 năm trước, tôi vẫn chịu được kiểu thỉnh thoảng có một quảng cáo 10 giây ở đầu clip
      Nhưng giờ họ đã vượt quá giới hạn khi liên tục phát hai quảng cáo không thể bỏ qua, nên tôi dùng uBlock hoặc VacuumTube trên mọi thiết bị
    • Nếu có thể thì tôi vẫn trả tiền cho ứng dụng, nhưng trong một số trường hợp điều đó là không thể
      Hơn nữa vẫn còn vấn đề là bạn phải tin rằng ứng dụng trả phí sẽ không làm những trò này
  • Tôi không biết liệu đã có đủ nội dung 4K để đáng thay chiếc Samsung LCD 1080p cũ hay chưa
    Trên Craigslist vẫn có thể tìm được TV miễn phí
    Khi nhìn TV 4K chạy chế độ trình diễn ở Costco thì đúng là ấn tượng, nhưng ở nhà xem World Cup qua sóng mặt đất hoặc Fios 1080p thì vẫn thấy đủ đẹp
    Tôi cũng không trả thêm tiền cho Netflix 4K, và phần lớn nội dung trên Fios cũng không phải 4K

  • Tôi thật sự rất thích chiếc LG OLED đời 2018 đã jailbreak của mình, nhưng cũng thấy chua chát vì toàn bộ những tính năng tôi thích lại đều là những thứ mà nhà sản xuất rất muốn ngăn chặn và không muốn tôi tiếp cận