Tóm tắt nhanh
- Wi-Fi khách thường chặn thiết bị truy cập mạng nội bộ; vì vậy điện thoại và TV ở hai mạng khác nhau có thể không tìm thấy nhau để dùng Chromecast, AirPlay hoặc ứng dụng điều khiển.
- ACR gửi dữ liệu qua internet về máy chủ dịch vụ. Wi-Fi khách vẫn cho phép truy cập internet nên không phải cách chặn luồng dữ liệu này.
- Muốn ưu tiên riêng tư, có thể để TV ngoại tuyến và dùng thiết bị phát trực tuyến riêng. Nếu cần casting xuyên VLAN, phải cấu hình chuyển tiếp khám phá có giới hạn, không mở thông toàn mạng.
Đưa Smart TV vào mạng Wi-Fi khách thường đổi được một thứ lấy một thứ khác: TV ít tiếp xúc với thiết bị trong mạng gia đình hơn, nhưng điện thoại cũng khó tìm thấy TV để chiếu video. Cách làm này còn không chặn được dữ liệu ACR đi từ TV ra máy chủ của nhà sản xuất, bởi mạng khách vẫn có internet.
Vấn đề nằm ở chỗ hai mục tiêu thường bị gộp làm một: cách ly TV khỏi thiết bị trong nhà và ngăn TV gửi thông tin ra ngoài. Guest Network chủ yếu xử lý mục tiêu thứ nhất. Muốn giảm việc theo dõi, cần kiểm soát kết nối internet của TV hoặc giảm các tính năng thu thập dữ liệu riêng.
Mạng khách chặn đường tìm thiết bị nội bộ, không chặn internet
Điện thoại thường tìm Chromecast, thiết bị AirPlay và một số TV bằng các giao thức khám phá cục bộ như mDNS hoặc SSDP. Chúng thông báo sự hiện diện trong mạng nội bộ để ứng dụng trên điện thoại đưa thiết bị vào danh sách có thể kết nối. Nhiều router đặt mạng khách ở trạng thái cô lập mặc định, nên thiết bị khách không được nhìn thấy các thiết bị trong LAN chính; quá trình tìm kiếm vì thế không tới được TV.
Với mDNS, gói tin IPv4 dùng địa chỉ multicast 224.0.0.251 trên UDP 5353. Theo RFC 6762, gói tin có TTL bằng 1, tức chỉ có hiệu lực trong liên kết mạng cục bộ và không được router chuyển tiếp như lưu lượng thông thường. Mở một rule firewall đơn thuần không làm gói tin vượt qua ranh giới đó; muốn khám phá xuyên VLAN cần một mDNS repeater/reflector phát lại thông báo trên mạng đích. SSDP dùng UDP 1900 và có cách hoạt động khác, nên thiết bị dựa vào SSDP có thể cần cấu hình multicast riêng.
Hệ quả dễ thấy là ứng dụng Netflix hay YouTube mở trực tiếp trên TV vẫn có thể chạy, trong khi nút Cast trên điện thoại không tìm ra TV. Một số ứng dụng điều khiển từ xa cũng cần khám phá thiết bị trên LAN. Cho phép mạng khách truy cập mạng nội bộ có thể khôi phục tính năng, nhưng khi ấy ranh giới cách ly mà người dùng muốn có cũng bị nới lỏng.
Mạng IoT riêng chưa chắc đã là một ranh giới bảo mật
Tên SSID không cho biết các thiết bị có thực sự bị tách khỏi nhau hay không. Một số router gia đình tạo mạng IoT để gom thiết bị chỉ hỗ trợ 2,4 GHz hoặc áp dụng cấu hình Wi-Fi riêng, nhưng vẫn để chúng truy cập mạng chính. Trên một router TP-Link, mạng IoT không tách khỏi mạng chính; đây là quan sát trên một thiết bị cụ thể, không thể suy rộng thành đặc tính của mọi router TP-Link hay mọi mạng IoT.
Muốn biết TV có bị cô lập thật hay không, cần xem cấu hình router: có VLAN hoặc phân đoạn mạng riêng không, có quy tắc chặn truy cập từ IoT vào LAN không, và các thiết bị khách có được phép giao tiếp với nhau không. Chỉ tạo thêm tên Wi-Fi chưa đủ. Nếu router không cho cấu hình ranh giới rõ ràng, người dùng khó dựa vào chữ “IoT” trên giao diện để kết luận rằng NAS, máy tính hay điện thoại đã được bảo vệ.
ACR vẫn có thể gửi dữ liệu qua đường internet của mạng khách
Automatic Content Recognition (ACR) nhận diện nội dung đang hiển thị, kể cả nguồn phát qua HDMI, rồi có thể gửi dữ liệu lên máy chủ để đo lường lượt xem hoặc phục vụ quảng cáo. Mạng khách thường chặn đường từ TV sang các máy trong LAN nhưng vẫn mở đường ra internet. Vì vậy, nó không tự ngăn được lưu lượng ACR tới dịch vụ bên ngoài.
Nghiên cứu của Đại học Northeastern được Ars Technica tường thuật khảo sát 12 TV của 10 nhà sản xuất, với 5.943 thí nghiệm có kiểm soát. Nhóm nghiên cứu quan sát thấy TV chạy Samsung Tizen, Vizio OS và Roku OS vẫn gửi lưu lượng tới các đầu cuối ACR trong một số kịch bản sau khi người dùng tắt theo dõi. Tuy nhiên, mã hóa khiến nhóm không thể xác định chính xác nội dung của lưu lượng; kết quả chỉ cho thấy hoạt động mạng phù hợp với ACR, không chứng minh từng gói tin chứa dữ liệu xem cụ thể. Hành vi cũng khác nhau theo hệ điều hành và ứng dụng, nên không thể áp kết quả cho mọi mẫu TV.
Do đó, lựa chọn mạng khách vẫn có ích nếu mục tiêu là hạn chế TV nhìn thấy thiết bị trong nhà, nhưng không nên xem đó là nút tắt quyền riêng tư. Có thể kiểm tra cài đặt ACR/ quảng cáo cá nhân hóa của TV, song mức độ hiệu quả phụ thuộc từng nền tảng. Nếu muốn ngăn TV tự gửi dữ liệu, giải pháp trực tiếp hơn là không kết nối TV vào Wi-Fi, hoặc chặn các kết nối ra ngoài bằng router có khả năng kiểm soát phù hợp.
Gia đình cần casting nên tách mạng có chọn lọc
Với gia đình không dùng ứng dụng trên TV nhiều, để TV ngoại tuyến rồi cắm một thiết bị phát riêng như Apple TV hoặc Chromecast là phương án dễ hiểu hơn: TV không cần truy cập internet, còn thiết bị phát đảm nhiệm ứng dụng và việc nhận nội dung. Đây không phải lời bảo đảm rằng thiết bị phát không thu thập dữ liệu; mức thu thập tùy sản phẩm và cài đặt. Nhưng cách bố trí này giúp người dùng kiểm soát thiết bị có kết nối mạng thay vì mặc định cho cả TV truy cập.
Nếu muốn điện thoại điều khiển thiết bị ở VLAN khác, nên bật mDNS repeater/reflector chỉ giữa những mạng thực sự cần khám phá lẫn nhau, đồng thời đặt rule unicast riêng cho các kết nối điều khiển sau đó. Không đưa mạng khách hoặc VLAN không tin cậy vào danh sách chuyển tiếp. Cũng cần nhớ repeater chỉ xử lý khám phá mDNS; nó không tự mở các kết nối điều khiển và không nhất thiết giải quyết SSDP.
Với router nhà mạng hoặc thiết bị gia đình phổ thông, các tùy chọn này có thể không tồn tại. Khi đó, lựa chọn thực tế thường là giữ TV và điện thoại trên cùng mạng tin cậy, hoặc để TV offline và dùng streaming box; bật quyền truy cập LAN cho cả mạng khách để sửa casting sẽ đánh đổi phần lớn lợi ích cách ly. Ưu tiên nào hợp lý phụ thuộc vào việc nhà có cần điều khiển/cast từ điện thoại và router có hỗ trợ phân đoạn thực chất hay không.
Nguồn tham khảo: XDA Developers; Ars Technica; Big Iron Homelab Guides
