À quelques semaines d’écart, LG et Samsung ont annoncé la suspension ou l’interdiction sur leurs plateformes de téléviseurs connectés d’applications intégrant des systèmes de proxy résidentiel. Il en existe des utilisations légitimes, mais le manque de transparence de ces SDK, leur activation à distance et la difficulté pour les utilisateurs de comprendre ce à quoi ils consentent posent un vrai problème de confiance.

Début juillet, la société spécialisée en sécurité informatique Spur révélait que 42 % des applications proposées au téléchargement sur webOS – la plateforme smart TV de LG – intégraient des SDK permettant de transformer les téléviseurs connectés du constructeur en nœuds de sortie de proxy résidentiel. La même étude indiquait qu’au moins un quart des téléviseurs de Samsung fonctionnant sous Tizen embarquaient les mêmes composants.

Une fois la télé transformée en nœud de sortie proxy résidentiel, l’IP de l’utilisateur est utilisée par des services pour accéder à Internet… avec tous les risques que cela entraine, surtout en cas d’IP fixe. L’adresse peut être signalée en cas de scraping massif, de contournement de blocage, ou encore si elle sert de courroie de transmission à une activité frauduleuse. Le propriétaire de la télévision pourrait alors avoir des problèmes, sans oublier qu’un tel proxy peut générer de la latence sur son accès internet.

Quoi de neuf à la télé ce soir ? Un proxy

La branche américaine de LG a annoncé à KrebsOnSecurity que le constructeur travaillait avec les développeurs tiers au retrait dans leurs applications de cette fonction de proxy résidentiel. Et les développeurs qui s’y refuseront subiront une suspension de leurs applications. « Un réseau de proxy résidentiel n’est pas un usage prévu pour les téléviseurs connectés LG », déclarait le 21 juillet John Taylor, vice-président de LG Electronics USA.

L’examen des applications était déjà « bien avancé », assure le dirigeant, et « LG continuera de renforcer son processus d’évaluation des applications soumises par les développeurs, y compris celles qui intègrent des SDK de proxy résidentiel ». Au passage, LG file un mauvais coton en ce moment, après la controverse sur l’antivirus McAfee proposé de manière agressive aux utilisateurs de certains de ses moniteurs PC.

• Écrans LG et publicité McAfee : Microsoft intervient, LG supprime l’offre

Une autre enquête, réalisée cette fois par Mnemonic, explique que des jeux distribués par la boutique de Samsung pour ses smart TV contiennent le kit de développement de Bright Data, une société israélienne qui commercialise des proxys résidentiels donnant accès à des millions de réseaux dans le monde.

Il existe des utilisations légitimes pour le proxy résidentiel, par exemple pour vérifier l’efficacité de dispositifs de censure ou de blocage géographique (voir si certains contenus sont accessibles depuis différents endroits), collecter des données publiques pour comparer des prix, ou encore pour contrôler la conformité de publicités (des marques peuvent vérifier que leurs pubs apparaissent correctement sans être associées à des contenus problématiques). Les proxys résidentiels sont prisés car ils ressemblent à du trafic humain « normal ».

Pac-Man et la connexion fantôme

Les téléviseurs enrôlés comme nœuds de sortie via Bright Data peuvent être utilisés pour télécharger des montagnes de données publiques sur le web depuis plusieurs sources à la fois pour éviter les protections anti-scraping. Mnemonic a observé du scraping de profils LinkedIn à grande échelle, ainsi que de la collecte de données pour entraîner des IA. Ce SDK, qui est aussi majoritairement présent dans les apps de proxy résidentiel distribuées par LG, veut pourtant montrer patte blanche.

Bright Data l’affirme à KrebsOnSecurity : « Chaque utilisateur accepte explicitement de participer via un écran de consentement et reçoit une contrepartie en retour ; chaque client est vérifié, et nos pratiques ont désormais fait l’objet d’un deuxième audit indépendant par PwC. » L’entreprise poursuit : « Nous restons attachés à un internet ouvert et transparent, où les entreprises légitimes, les chercheurs et les institutions peuvent accéder de manière responsable aux données relevant du domaine public. »

L’architecture de ces applications, comme la mise en avant de certaines d’entre elles par Samsung dans sa boutique, soulève des questions. Mnemonic indique que tout est « officiel » : le SDK est « dormant » tant que le téléspectateur n’a pas donné son accord… mais les apps ne sont que des coquilles vides qui chargent ensuite le vrai code depuis un serveur distant. Ce que Samsung ou LG vérifient dans leurs boutiques n’est donc pas ce qui se lance sur la télé.

Les jeux Pac-Man et 2048 Football Cup proposent par exemple une expérience « sans pub », pour peu que l’utilisateur accepte que son téléviseur télécharge des données publiques depuis internet en utilisant l’adresse IP de l’appareil. « Si c’est gratuit, c’est vous le produit » prend ici tout son sens.

Emboîtant le pas de son rival, Samsung a donc commencé à restreindre l’apparition de nouvelles apps intégrant de telles fonctions sur sa plateforme Tizen. « Nous mettons actuellement en place des politiques strictes à l’échelle de la plateforme pour les développeurs, interdisant explicitement les SDK de proxy résidentiel, et nous travaillons à identifier et supprimer toutes les applications actuellement disponibles dans notre boutique qui contiennent ces composants », ajoute un porte-parole de l’entreprise à TechCrunch.

Les proxys résidentiels sont une « menace croissante dans le cyberespace »

Il y a deux ans déjà, Orange alertait sur les proxys résidentiels qui « représentent une menace croissante dans le cyberespace, car ils sont fréquemment utilisés par des groupes d’attaquants qui ainsi se cachent au sein du trafic légitime, mais aussi agissent de manière légitime […] Pour obtenir une infrastructure pouvant atteindre plusieurs millions d’hôtes, les fournisseurs de proxys résidentiels utilisent des techniques qui peuvent induire en erreur les utilisateurs qui installent des logiciels tiers ».

Le nombre d’adresses IP est un point crucial pour les proxys résidentiels, un déploiement massif des points de sortie est donc primordial : « Ces points de sortie incluent les adresses IP des routeurs domestiques, des ordinateurs personnels, des téléviseurs intelligents et, de plus en plus, des téléphones mobiles utilisant les réseaux 4G et 5G ». Il y a des utilisateurs prêts à louer leur connexion, mais aussi d’autres piratés et tout un dégradé de nuances entre ces deux extrêmes.

Depuis maintenant plusieurs années, une des stratégies des proxys résidentiels « est l’implication d’utilisateurs conscients et volontaires », mais qui ne comprennent pas toujours « l’utilisation finale de leur connexion Internet ». Dans le cas présent, nous y sommes probablement.

Côté développeurs, certains proxys résidentiels proposent une sorte de « PaaS » ou « Proxyware as a service » avec un kit pour intégrer directement et facilement cette fonctionnalité dans leur application.