LG电子美国这周对webOS应用商店发出通牒：应用里如果藏着住宅代理SDK，要么去掉这个功能，要么下架。这不是空话——LG高级副总裁John Taylor明确表态，审查已经启动，拒绝移除代理功能的应用将被暂停。
起因是安全公司Spur今年7月的一份扫描报告。他们发现LG webOS商店里超过42%的可下载应用，都嵌入了能让电视长期充当第三方流量代理节点的SDK。你家电视上一个不起眼的吃豆人小游戏、一个屏保、一个文件管理工具，很可能正在把你家的住宅IP地址租给陌生的第三方,用来做爬虫、账号测试或者身份伪装。
电视常年插电、常年联网,比手机电脑更适合当这种"从不下线"的流量中转站。这也是问题被平台默许多年的原因。
42%不是全部电视,是商店抽查的结果
先说清楚数字的边界。42%指的是Spur研究覆盖的webOS商店可下载应用里含代理SDK的比例,不是说每台LG电视、每个已安装应用都在偷跑流量。
三星的Tizen系统同样中招,但情况没有LG严重:
| 平台 | 含代理SDK应用占比 | 平台回应 |
|---|---|---|
| LG webOS | 超42% | 已启动审查,拒不整改将暂停上架 |
| 三星 Tizen | 超四分之一 | 暂无同等力度的公开表态 |
这门生意背后的商业逻辑很直接。Spur的报告显示,一家叫Bright Data的公司提供的SDK,占了两个电视平台代理组件的大头,从吃豆人到屏保都能看到它的身影。开发者不想只靠广告赚钱,接入这类SDK能拿分成,代价是把用户的家庭住宅IP拿出去给别人用。Bright Data没有回应置评请求,但这类公司通常会强调自己有客户审核流程,并用技术手段把代理流量和用户本地网络隔离开,防止代理客户借道入侵路由器或其他家庭设备。
要说清楚:含代理SDK不等于恶意软件,也不等于用户网络已经被入侵。目前没有证据显示这些应用组成了僵尸网络,或者已经造成本地网络攻击。风险更多在于"你的IP在未经充分告知的情况下被别人拿去用",而不是电视本身失控。
真正的漏洞不是流量,是电视没法审计
Spur研究员Trevor Sutter提出的观点值得重视:电视应用里那种一闪而过的授权弹窗,替代不了真正的知情同意。
原因很现实——电视是全家共用的设备。一次性提示可能是孩子随手点了同意,也可能是家里没资格代表全家做决定的成员点的。手机和电脑至少有安全软件和活跃用户会去审视权限,电视基本没人管,装个游戏很少有人会想到还要检查它要了什么权限。
这才是问题被放大的根本原因,不是代理网络这个商业模式本身有多恶劣。
LG及三星电视用户和家庭网络管理者能做的,是先查一遍家里电视上装的小游戏、屏保、文件管理这类轻量应用——这类应用最容易夹带代理SDK。如果不放心,可以在路由器层面单独隔离智能电视的网络访问,减少它被当作流量出口的可能。
开发者和平台审核负责人面对的是一个现实选择:继续靠代理SDK变现,还是留在LG商店。目前LG的立场很明确——拒绝移除代理功能就下架,没有中间地带。
接下来该看什么
LG目前只说审查"正在稳步推进",没有给出已下架的应用数量,也没有公布完整名单。这意味着:
- LG是否会公布具体清理结果和时间表,值得跟进
- 三星是否会跟进类似力度的审查,目前还看不清
- Bright Data这类代理SDK供应商会不会调整在电视平台的分发策略
值得一提的是,LG本周还栽在另一件事上:Gamers Nexus发现LG部分高端显示器会通过Windows Update自动安装推销McAfee付费订阅的软件,且没有弹窗询问用户是否同意。两件事放在一起看,说明LG在"未经充分告知就往设备里塞第三方软件"这件事上,不是头一次被抓包。