LG prohibirá la función de proxy residencial en apps de smart TV

• LG Electronics USA eliminará de las apps de webOS la función que convierte al televisor en un nodo de proxy residencial permanente, y planea suspender de la tienda a las apps que no cumplan
• Según una investigación de Spur, más del 42% de las apps para smart TV de LG y más del 25% de las apps Samsung Tizen incluyen SDK de proxy que redirigen tráfico de internet de terceros a través del televisor del usuario
• Los desarrolladores de apps obtienen ingresos al integrar SDK de empresas de proxy, y este componente aparece en una amplia variedad de apps, desde juegos como Pac-Man hasta protectores de pantalla y utilidades de archivos
• Bright Data, el mayor proveedor, afirma operar con consentimiento explícito, verificación de clientes y medidas para impedir el acceso a la red local, pero Spur considera que un consentimiento único no puede sustituir el control continuo ni la supervisión de la plataforma
• LG comenzó a reforzar la revisión de apps, aunque también se detectó un caso aparte en el que algunos monitores LCD de LG instalaron mediante Windows Update una app promocional de un producto de pago de McAfee sin aprobación previa

---

Plan de LG para depurar apps de proxy

• LG Electronics USA planea suspender las apps que convierten a los smart TV en nodos de proxy residencial permanentes
• John Taylor, vicepresidente sénior de LG, dijo que la empresa ya está trabajando con los desarrolladores de apps de webOS para eliminar la función de proxy, y que las apps que no la retiren serán suspendidas
• La revisión de apps ya comenzó, y en adelante la empresa buscará impedir que las redes de proxy residencial se incluyan en apps para smart TV
• También planea reforzar el proceso de evaluación de las apps enviadas por desarrolladores e incluir en la revisión la presencia de SDK de proxy residencial

Los SDK de proxy se expandieron en apps para smart TV

• Según una investigación de la firma de seguridad Spur, más del 42% de las apps para smart TV de LG incluyen SDK que convierten al televisor en un nodo de proxy por tiempo indefinido
• En las apps para el sistema operativo Tizen de Samsung, más del 25% también incorpora componentes similares de proxy residencial
• Las empresas de proxy pagan a los desarrolladores por integrar sus SDK y luego alquilan los dispositivos de los usuarios captados a clientes de pago, en un modelo de monetización
• Los SDK aparecen no solo en juegos simples como Pac-Man, sino también en protectores de pantalla y utilidades de archivos

Cómo opera Bright Data y su explicación

• En la investigación de Spur, Bright Data representa más de la mitad de los SDK de proxy detectados tanto en smart TV de LG como de Samsung
• Bright Data afirmó que su red se basa en el consentimiento y la responsabilidad, y que opera conforme a las condiciones de LG y Samsung
  • Cada participante da su consentimiento en una pantalla separada y recibe una compensación por ello
  • Verifican a todos los clientes y completaron una segunda auditoría independiente de PwC
  • Sostiene que ayuda a empresas, investigadores e instituciones legítimas a acceder de forma responsable a datos de la web pública
• Las empresas de proxy, incluida Bright Data, dicen verificar mediante KYC que los fines de uso sean legítimos, y la actividad de sus clientes está vinculada principalmente al scraping de contenido
• También afirman aplicar medidas técnicas para que los clientes del proxy no puedan interactuar ni controlar otros dispositivos en la red local del usuario

Los límites del consentimiento único y de la supervisión de la plataforma

• Lo que Spur cuestiona no es tanto la red de proxy residencial en sí, sino la situación en la que la función de proxy queda integrada a gran escala en dispositivos que los consumidores no perciben como computadoras y que además son difíciles de auditar directamente
• Una sola pantalla de consentimiento, escondida dentro de una app de TV, difícilmente puede sustituir una transparencia significativa, el control continuo o la supervisión a nivel de plataforma
• El riesgo aumenta si la autorización la da alguien que puede usar dispositivos del hogar, como un menor de edad, pero que no debería poder otorgar ese consentimiento

Instalación automática de una app promocional de McAfee en monitores LG

• Aparte de los SDK de proxy en smart TV, LG también recibió críticas por promocionar productos de seguridad de McAfee a través del controlador de software de sus monitores LCD de gama alta
• El canal de YouTube Gamers Nexus mostró que algunos monitores LCD de LG instalaban automáticamente una app que promociona una suscripción de pago al antivirus de McAfee
• Esa app se instalaba mediante Windows Update sin una pantalla de aprobación separada por parte del usuario

[GN⁺]

Opiniones en Lobste.rs

• Es una buena noticia de esas que rara vez se ven. Me alegra que dentro de LG haya habido gente que realmente se tomó en serio el problema y logró que se tomaran medidas, pero que la proporción de proxies distribuidos sea del 42% da escalofríos: supera por mucho incluso la peor cifra que esperaba.
  • Me pregunto si a LG le importa algo además de la mala opinión pública. Aun así, es bueno que al menos lo hayan reconocido como mala opinión pública; cuando se informó por primera vez, ni siquiera estaba seguro de que LG fuera a entender que era un problema.
    Hace poco mi suegro compró e instaló un televisor LG, y le aconsejé que, por más que le pidiera conectarse a Internet, no lo conectara bajo ningún motivo.
  • Es bastante irónico. También hay un video de Gamers Nexus sobre el problema de LG metiendo una app (McAfee) durante una actualización.
    Después de escribir esto también encontré https://lobste.rs/c/9owhpv
• ¿Eso significa que antes este comportamiento no estaba explícitamente prohibido? No sé qué demonios estaban haciendo.
  • Parece que alguien recibió como objetivo de desempeño conseguir X cantidad de apps en la app store antes de fin de año, y lo cumplió sin importar los medios.
  • Es deprimente que todos los desarrolladores de apps hayan decidido que estaba bien monetizar la app ofreciendo la conexión a Internet del usuario a terceros.
• Seguimos olvidando la lección de que, si se ofrece una vía de integración de plataforma para instalar apps fácilmente en un dispositivo, al final se termina abusando de ella para distribuir, en la práctica, malware. Ya se repitió con apps móviles, extensiones de navegador, app stores empresariales, VS Code, etc.
  Lo mismo pasa con las solicitudes de permisos al estilo OAuth: si le das a un atacante la posibilidad de pedir amablemente acceso al correo del usuario, efectivamente lo hará.
  Aunque uno no confíe demasiado en el modelado formal de amenazas, al diseñar funciones así hay que preguntarse obligatoriamente: “¿cómo se podría abusar de esto?”. Como abusar de ello genera dinero real, inevitablemente ocurrirá; la medida de LG es bienvenida, pero ya es cerrar la puerta del establo después de que se escapó el caballo.
• La mayor parte del artículo no me sorprendió, pero al ver la parte final da la impresión de que LG quiere convertirse en el proveedor exclusivo de crapware en sus propios televisores.
  Un monitor de 1,200 dólares instala adware en una PC Windows conectada usando Windows Update, y sus términos de uso están llenos de todo tipo de cláusulas propias de spyware. Solo eso ya ameritaría un artículo aparte.
  Usé el enlace de YouTube porque es la fuente primaria citada por Krebs; también hay subtítulos para quienes prefieren leer, pero la interfaz de YouTube es pésima y no pude copiarlos en un formato cómodo para leer afuera.
• Estoy por comprar un televisor nuevo, y el hecho de que LG haya permitido esto hasta ahora ya muestra muy bien por qué decidí evitar los productos LG.
  Pero para elegir un producto con base en seguridad y privacidad, tendría que haber competidores que cumplan con eso, y hoy casi no los hay. Si alguien conoce un producto que priorice privacidad y seguridad además de Apple TV, me gustaría saberlo.
  • Puedes comprar un dispositivo como Ugoos e instalarle CoreELEC y Kodi. Los televisores LG y Apple TV no son productos competidores: uno es una pantalla con un sistema operativo integrado pésimo, y el otro es un set-top box.
• Ahora Samsung también debería seguir el ejemplo.