Onderzoekers die 12 smart-tv’s testten, zagen na het uitschakelen van automatische contentherkenning (ACR) verschillende uitkomsten per besturingssysteem. Bij Samsung Tizen en Vizio SmartCast bleef in specifieke tests verkeer zichtbaar dat met ACR samenhing; Roku’s eigen streamingdienst viel buiten de opt-out. Vier andere geteste systemen hadden volgens de onderzoekers in de onderzochte scenario’s een effectieve ACR-opt-out. Het meeste verkeer was versleuteld, waardoor de inhoud van die pakketten niet kon worden vastgesteld.
Wat de onderzoekers testten
ACR herkent wat er op het tv-scherm wordt afgespeeld, bijvoorbeeld via korte audio- of videofragmenten of digitale vingerafdrukken. Dat kan ook gaan om content van een antenne of een apparaat via HDMI. De onderzoekers testten 12 televisies van 10 fabrikanten met acht besturingssystemen. Volgens hun schatting vertegenwoordigden die systemen ongeveer 95 procent van de Amerikaanse smart-tv’s.
De onderzoekers voerden 5.943 gecontroleerde experimenten uit. Per scenario draaiden ze 30 tests met ACR ingeschakeld en 30 na uitschakeling, in willekeurige volgorde. De tests omvatten onder meer tv-zenders via antenne, streamingapps, HDMI en schermspiegeling. Met netwerkverkeer zochten de onderzoekers naar verbindingen die samenhingen met de afgespeelde content. Door versleuteling konden ze de inhoud van de meeste pakketten niet lezen en niet vaststellen of aanbieders die gegevens verwerkten of bewaarden.
De resultaten verschilden per systeem
Na het uitschakelen van ACR bleef in een aantal tests verkeer zichtbaar dat met ACR samenhing. De aantallen hieronder gaan over de uitgevoerde tests, niet over het aantal televisies of gebruikers.
| Besturingssysteem | Verkeer na uitschakeling van ACR | Geteste scenario’s en uitzonderingen |
| Samsung Tizen | 30/30 tests met eigen streaming, 41/60 antennetests, 18/30 HDMI-tests en 6/30 Tubi-tests | De onderzoekers zagen ook minder vaak verkeer bij inactiviteit en tijdens Netflix- en YouTube-tests. |
| Vizio SmartCast | Naar de met ACR geassocieerde Amazon Kinesis-endpoint liep verkeer in 30/30 tests voor elk van vijf scenario’s. | Dat gebeurde bij inactiviteit, een antennezender, een zwart scherm met audio, bewegend beeld zonder audio en eigen streaming. Bij de geteste apps van derden en schermspiegeling zagen de onderzoekers geen verkeer naar die endpoint. |
| Roku OS | Bij The Roku Channel was in 29/30 tests per geteste tv verkeer zichtbaar. | De opt-out gold niet voor The Roku Channel. Bij antenne-tv werkte de opt-out op de geteste Roku TV; op de TCL Roku TV was er ACR-consistent verkeer in 9/90 antennetests. |
| LG webOS, Sony Google TV, Amazon Fire TV OS en VIDAA OS | De onderzoekers classificeerden de ACR-opt-out als effectief. | Die beoordeling geldt voor de onderzochte scenario’s. |
De metingen laten dus geen uniform resultaat zien. Een opt-out kon in bepaalde tests effectief zijn, terwijl in andere scenario’s verkeer zichtbaar bleef. Dat verkeer bewijst op zichzelf niet wat de versleutelde pakketten bevatten of wat een aanbieder ermee deed.
Afzonderlijke bevindingen over VIDAA en Vizio
De onderzoekers meldden daarnaast onversleutelde ACR-berichten van VIDAA OS aan Unruly. Die berichten bevatten onder meer een permanente apparaat-ID, informatie over apps en ingangen en een audiofingerafdruk. Een server maakte volgens de onderzoekers meer dan 57 miljoen detectieresultaten, gekoppeld aan ruim één miljoen tv’s, toegankelijk zonder inloggen. Na een gedeeltelijke oplossing was inloggen vereist; de berichten zelf bleven onversleuteld. Dit is een afzonderlijke bevinding naast de beoordeling dat de ACR-opt-out in de geteste VIDAA-scenario’s effectief was.
Ook Vizio WatchFree+ kwam in een aparte bevinding voor. De onderzoekers meldden dat onversleutelde DNS- en SNI-opvragingen naar Amagi namen van programma’s of kanalen onthulden. Dit stond los van de ACR-metingen op Vizio SmartCast; in de geteste opstelling was voor deze blootstelling geen opt-out beschikbaar.
Welke opties de onderzoekers aanraden
De onderzoekers adviseren een smart-tv van het netwerk los te koppelen en streaming via een extern apparaat te bekijken dat geen ACR uitvoert. Een andere optie is de ACR-opt-out te gebruiken op systemen waarop die in de tests effectief was. Het onderzoek stelt niet vast hoe elk extern streamingapparaat zich gedraagt.
De onderzoekers publiceren ook een lijst met netwerkadressen om te blokkeren. In hun laboratoriumscenario’s leidde het blokkeren van die adressen volgens hen niet tot problemen met de tv of de beeldkwaliteit. Die uitkomst geldt voor de geteste apparaten en scenario’s.
