Blokujesz trackery w Smart TV i tracisz internet: ukryte zależności od domen CDN producenta
Telewizor jest połączony z Wi-Fi, router działa, telefon i laptop otwierają strony bez problemu, a Smart TV uparcie pokazuje komunikat o braku połączenia z internetem. Czasem przestaje działać sklep z aplikacjami. Innym razem YouTube uruchamia się, ale ekran główny nie ładuje miniaturek, logowanie do konta producenta wpada w pętlę albo aktualizacja oprogramowania kończy się błędem.
Jeżeli problem pojawił się zaraz po uruchomieniu Pi-hole, AdGuard Home, NextDNS albo własnej listy blokującej, pierwszym podejrzanym nie powinien być router. Bardzo często winna jest zbyt szeroka blokada DNS.
Smart TV nie rozdziela usług tak schludnie, jak chciałby administrator domowej sieci. Domeny wyglądające na telemetryczne bywają częścią infrastruktury odpowiedzialnej również za synchronizację czasu, autoryzację, sklep, aktualizacje czy pobieranie elementów interfejsu. Do tego dochodzą CDN-y Akamai, Amazon CloudFront i infrastruktura chmurowa producentów. Zablokowanie jednej pozornie niepotrzebnej nazwy może więc wywołać efekt dużo większy niż zniknięcie kilku żądań śledzących.
Dlaczego blokada jednej domeny potrafi „odłączyć” cały telewizor
Najważniejsze rozróżnienie: telewizor może mieć sprawne połączenie IP, a jednocześnie uważać, że internetu nie ma.
Po uzyskaniu adresu z DHCP urządzenie wykonuje własny test dostępności usług. Nie musi przy tym pytać Google, Cloudflare ani żadnego publicznego serwera. Producent może sprawdzać połączenie przez własną domenę. Jeśli zapytanie DNS zwróci NXDOMAIN, 0.0.0.0, :: albo zostanie odrzucone, oprogramowanie telewizora może uznać test za nieudany.
Wtedy pojawia się paradoks: Netflix potrafi jeszcze działać, ale system wyświetla status „brak internetu”.
Szczególnie dobrze widać to w telewizorach Samsunga. W praktycznych listach wyjątków spotyka się między innymi domeny:
time.samsungcloudsolution.net,time.samsungcloudsolution.com,lcprd1.samsungcloudsolution.net,cdn.samsungcloudsolution.com,otn.samsungcloudsolution.net,otn.samsungcloudcdn.com,auth.samsungosp.com.
Nie oznacza to, że każdy model korzysta z każdej z nich. Samsung zmieniał infrastrukturę pomiędzy seriami telewizorów i wersjami Tizen. Istotny jest mechanizm.
Przykładowo blokada domeny synchronizacji czasu może mieć skutki wykraczające daleko poza błędny zegarek. Poprawny czas jest potrzebny do walidacji certyfikatów TLS. Jeżeli zegar urządzenia jest mocno przesunięty, część bezpiecznych połączeń HTTPS zaczyna wyglądać dla systemu jak połączenia z nieważnym albo jeszcze nieważnym certyfikatem. W rezultacie przestają działać logowanie, API aplikacji czy połączenia z usługami VOD.
Podobny problem występuje przy domenach sklepu i platformy. Blokujesz nazwę, którą lista filtrująca zakwalifikowała jako element „Samsung telemetry”, a razem z nią znika:
Smart Hub → pobieranie manifestu → ikony aplikacji → logowanie → aktualizacja aplikacji.
Na LG webOS sytuacja wygląda podobnie. W logach DNS często pojawiają się domeny z rodzin lgtvcommon.com, lge.com, lgeapi.com, lgtvsdp.com i lgappstv.com. Niektóre rzeczywiście obsługują reklamy, rekomendacje lub telemetrię. Inne dostarczają pliki interfejsu albo dane wymagane przez platformę.
Dobrym przykładem jest ngfts.lge.com. W popularnych listach blokujących można znaleźć przy niej komentarze ostrzegające, że jej zablokowanie powodowało problemy z miniaturami w LG Content Store.
To pokazuje największą wadę gotowych list: domena nie ma jednej funkcji tylko dlatego, że ktoś tak podpisał ją w pliku tekstowym.
Dochodzi jeszcze mechanizm CNAME. Telewizor może pytać o domenę producenta, która wskazuje dalej na infrastrukturę CDN. Z punktu widzenia użytkownika żądanie wygląda więc jak połączenie z LG albo Samsungiem, ale faktyczna zawartość pochodzi z Akamai, CloudFront, Azure czy AWS.
Dlatego blokowanie całych fragmentów typu:
*.samsungcloudsolution.com
albo
*.lgtvcommon.com
jest wygodne, ale technicznie brutalne. Przy takim podejściu prędzej czy później blokada obejmie usługę, której telewizor rzeczywiście potrzebuje.
Jak odróżnić tracker od domeny potrzebnej do działania Smart TV
Najgorsza metoda to importowanie kilkudziesięciu list i późniejsze zgadywanie, która z 300 tysięcy reguł zepsuła telewizor.
Znacznie skuteczniejsza jest analiza logu zapytań konkretnego urządzenia.
Najpierw Smart TV powinien mieć stały adres w sieci lokalnej, najlepiej przez rezerwację DHCP. Może to być przykładowo:
192.168.1.40
Dzięki temu w Pi-hole lub AdGuard Home łatwo odfiltrować wyłącznie zapytania telewizora.
Następnie należy wywołać dokładnie funkcję, która nie działa. Jeżeli problem dotyczy sklepu:
- wyczyść lub zaznacz bieżący moment w logu,
- uruchom sklep z aplikacjami,
- odczekaj około 30–60 sekund,
- sprawdź zapytania zablokowane w tym czasie,
- odblokuj jedną najbardziej prawdopodobną domenę,
- ponów test.
Nie należy zdejmować blokady z dziesięciu domen naraz. Jeśli wszystko zacznie działać, nie będzie wiadomo, która reguła była rzeczywiście potrzebna.
Przy problemie z wykrywaniem internetu procedura jest podobna, ale warto zacząć od domen związanych z:
- connectivity check,
- synchronizacją czasu,
- kontem producenta,
- konfiguracją platformy,
- API Smart Hub lub webOS,
- aktualizacjami systemu.
Osobną kategorią są CDN-y.
Nazwy takie jak cloudfront.net, akamaiedge.net, edgekey.net czy hosty Azure wyglądają podejrzanie na liście połączeń, bo niewiele mówią o celu ruchu. Sam fakt korzystania z CDN nie jest jednak dowodem śledzenia.
CDN może dostarczać:
- grafikę ekranu startowego,
- ikony aplikacji,
- pliki JavaScript,
- konfigurację regionalną,
- firmware,
- napisy,
- materiały promocyjne,
- elementy serwisu streamingowego.
Dlatego zablokowanie całego cloudfront.net tylko dlatego, że telewizor wykonuje tam dużo połączeń, jest błędem. Amazon CloudFront obsługuje ogromną liczbę niezależnych usług. Taka reguła uderzy nie tylko w producenta telewizora.
Lepsza jest blokada konkretnego hosta, na przykład indywidualnej subdomeny CloudFront, o ile test potwierdzi, że jej wyłączenie nie psuje funkcji urządzenia.
Drugi praktyczny sygnał to zachowanie po blokadzie.
Jeżeli telewizor pyta o zablokowaną domenę raz na kilka godzin i poza tym działa prawidłowo, blokada prawdopodobnie nie narusza funkcji krytycznej. Jeżeli po odrzuceniu zapytania urządzenie zaczyna wykonywać je co kilka lub kilkanaście sekund, warto przyjrzeć się sprawie dokładniej.
Taki retry loop ma dwie wady. Po pierwsze zaśmieca log DNS. Po drugie paradoksalnie może zwiększyć liczbę prób komunikacji urządzenia zamiast ją ograniczyć.
Nie oznacza to automatycznie, że domenę należy dopuścić. Oznacza tylko, że blokada ma skutek uboczny i trzeba zdecydować, czy jest on akceptowalny.
Jak blokować telemetrię bez rozwalania Smart Hub, webOS i aktualizacji
W praktyce najlepiej działa model denylist plus ręczna allowlista, a nie zasada „blokuj wszystko od producenta”.
Najpierw blokowane są hosty jednoznacznie reklamowe lub telemetryczne. Dopiero później, na podstawie logów konkretnego modelu, rozszerza się filtr.
Dla Samsunga często przewijają się domeny związane z reklamami, na przykład ads.samsungads.com czy ad.samsungadhub.com. W przypadku LG spotyka się hosty należące do infrastruktury lgsmartad.com. Nadal trzeba jednak testować je na własnym urządzeniu, ponieważ zachowanie zależy od generacji telewizora, regionu, firmware'u i aktywnych usług.
Nie blokowałbym natomiast w ciemno całej rodziny samsungcloudsolution.*, lge.com albo lgtvcommon.com. To zbyt szerokie reguły.
Szczególnie ostrożnie trzeba traktować domeny związane z aktualizacją firmware'u. Telewizor, który ma przez lata pozostać podłączony do internetu, powinien zachować możliwość pobierania poprawek bezpieczeństwa. Zablokowanie reklam kosztem odcięcia aktualizacji systemowych jest słabym kompromisem.
Jeżeli aktualizacji automatycznych nie chcesz, rozsądniejszą strategią jest czasowe dopuszczanie hostów aktualizacyjnych podczas ręcznej aktualizacji niż bezterminowe blokowanie wszystkiego.
Trzeba też pamiętać o ograniczeniu samego DNS. Pi-hole i podobne rozwiązania filtrują ruch na podstawie nazw domenowych. Nie analizują całej komunikacji telewizora. Jeżeli urządzenie wykorzysta bezpośredni adres IP, alternatywny resolver albo inną metodę komunikacji, klasyczna blokada DNS może tego ruchu nie zatrzymać.
Z tego powodu nie należy interpretować komunikatu „0 zapytań do domen reklamowych” jako dowodu, że urządzenie nie wysyła żadnej telemetrii.
Najbardziej praktyczna konfiguracja w domu wygląda tak:
- Smart TV otrzymuje stały adres IP przez DHCP;
- cały jego DNS trafia do lokalnego Pi-hole albo AdGuard Home;
- telewizor ma osobną grupę reguł zamiast identycznej polityki jak laptopy i telefony;
- blokowane są konkretne domeny reklamowe i telemetryczne;
- domeny czasu, logowania, aktualizacji oraz wymaganej infrastruktury platformy trafiają na allowlistę dopiero po potwierdzeniu ich funkcji;
- po każdej większej aktualizacji firmware'u przez kilka dni obserwowany jest log DNS.
Ten ostatni punkt jest ważniejszy, niż wygląda. Aktualizacja Tizen lub webOS może zmienić endpointy używane przez urządzenie. Reguła, która działała przez dwa lata, nie jest gwarancją identycznego zachowania po aktualizacji systemu.
Problematyczne są również publiczne serwery filtrujące DNS. Ich zaletą jest prostota: nie trzeba utrzymywać Raspberry Pi ani serwera w domu. Wadą jest mniejsza kontrola nad pojedynczym wyjątkiem. Jeśli filtr dostawcy blokuje domenę potrzebną akurat twojemu modelowi telewizora, diagnoza i obejście bywają trudniejsze niż przy własnym Pi-hole.
Dlatego przy Smart TV własny resolver z możliwością szybkiego podejrzenia logu daje administratorowi dużą przewagę. W kilkadziesiąt sekund widać, co urządzenie próbowało rozwiązać i która reguła odpowiedziała blokadą.
Nie ma natomiast sensu walczyć o absolutne „zero połączeń z producentem”, jeśli telewizor ma jednocześnie zachować pełny Smart Hub, sklep, rekomendacje, sterowanie głosowe, aktualizacje i integrację z aplikacją mobilną. Te wymagania częściowo się wykluczają. Im więcej usług producenta pozostaje aktywnych, tym więcej jego infrastruktury trzeba dopuścić.
Jeżeli priorytetem jest maksymalna prywatność, czystsze rozwiązanie bywa prostsze: odłączyć funkcje Smart TV od internetu i korzystać z zewnętrznego odtwarzacza, nad którym łatwiej zapanować. Sam ekran nadal działa wtedy przez HDMI, a system producenta nie potrzebuje stałego dostępu do sieci.
Najpierw jednak nie trzeba iść aż tak daleko. Najczęściej wystarczy usunąć kilka źle dobranych reguł DNS.
Więcej informacji na: https://sajo.pl
FAQ
Czy Pi-hole może sprawić, że Smart TV pokazuje „brak internetu”?
Tak. Jeżeli filtr zablokuje domenę wykorzystywaną przez system do testowania łączności, telewizor może zgłosić brak internetu mimo prawidłowego Wi-Fi i działającego routingu.
Czy można bezpiecznie zablokować wszystkie domeny producenta telewizora?
Nie, jeżeli chcesz zachować jego funkcje sieciowe. Te same rodziny domen obsługują telemetrię, logowanie, sklep, aktualizacje, konfigurację i elementy interfejsu. Reguły typu *.samsungcloudsolution.com albo *.lgtvcommon.com są zbyt szerokie do stosowania w ciemno.
Czy domenę CloudFront albo Akamai należy traktować jako tracker?
Nie. CDN jest tylko infrastrukturą dostarczającą dane. Może przesyłać reklamę, ale równie dobrze ikonę aplikacji, firmware albo plik wymagany do uruchomienia sklepu. Oceniać trzeba konkretny host i efekt jego zablokowania.
Co zrobić, jeśli po włączeniu listy blokującej przestał działać sklep z aplikacjami?
Odfiltruj w logu DNS adres IP telewizora, uruchom sklep ponownie i sprawdź domeny zablokowane w ciągu następnych 30–60 sekund. Dopuszczaj je pojedynczo i po każdym wyjątku powtarzaj test.
Czy blokowanie DNS zatrzymuje całą telemetrię Smart TV?
Nie. Zatrzymuje połączenia zależne od rozwiązywania blokowanych nazw DNS. Ruch wykonywany inną drogą wymaga kontroli na poziomie routera lub firewalla.
Od czego zacząć, jeśli telewizor już stracił część funkcji?
Najpierw usuń szerokie wildcardy obejmujące domeny producenta i sprawdź w logu zapytania związane z testem łączności oraz synchronizacją czasu. Dopiero gdy status internetu, logowanie, sklep i aktualizacje działają prawidłowo, ponownie włączaj blokady — po jednej domenie. To szybsze i bezpieczniejsze niż dokładanie kolejnych wyjątków do filtra, którego działania nie da się już prześledzić.
Dodaj komentarz