Google affirme avoir corrigé une vilaine faille dans le système de sécurité du compte Android TV, qui permettrait aux attaquants ayant un accès physique à votre appareil d’accéder à l’intégralité de votre compte Google simplement en chargeant certaines applications. Comme le rapporte 404 Media, le problème a été initialement porté à l’attention de Google par le sénateur américain Ron Wyden (Démocrate de l’Oregon) dans le cadre d’un « examen des pratiques de confidentialité des fournisseurs de technologie de télévision en streaming ». Google a initialement déclaré au sénateur que le problème était un comportement attendu, mais après la couverture médiatique, il a décidé de changer de position et de publier une sorte de correctif.
« Mon bureau est à mi-chemin d’un examen des pratiques de confidentialité des fournisseurs de technologie de télévision en streaming », a déclaré Wyden à 404 Media. « Dans le cadre de cette enquête, mon équipe a découvert une vidéo alarmante dans laquelle un YouTuber montrait comment, avec 15 minutes d’accès non supervisé à un décodeur Android TV, un criminel pouvait accéder aux e-mails privés de l’utilisateur de Gmail qui a configuré le LA TÉLÉ. »
La vidéo en question était un message d’intérêt public de YouTuber Cameron Gray, et elle montre que saisir n’importe quel appareil Android TV et charger quelques applications donnera accès au compte Google actuel. C’est évident si vous savez comment fonctionne Android, mais ce n’est pas évident pour la plupart des utilisateurs qui regardent une interface TV limitée.
Le cœur du problème réside dans la manière dont Android traite votre compte Google. Depuis le lancement du système d’exploitation sur les téléphones, chaque appareil Android part du principe qu’il s’agit d’un appareil privé réservé à une seule personne. Google a développé cette fonctionnalité avec une prise en charge multi-utilisateurs et des comptes invités, mais ceux-ci ne font pas partie du flux de configuration par défaut, peuvent être difficiles à trouver et sont probablement désactivés sur de nombreux boîtiers Android TV. Le résultat est que la connexion à un appareil Android TV lui donne souvent accès à l’intégralité de votre compte Google.
Android dispose d’un système de compte Google centralisé partagé par un million de processus d’arrière-plan et de synchronisation centrés sur Google, le Play Store et presque toutes les applications Google. Lorsque vous démarrez un appareil Android pour la première fois, la configuration guidée demande un compte Google, qui devrait rester pour toujours sur l’appareil en tant que compte principal du propriétaire. Toute nouvelle application Google que vous ajoutez à votre appareil a automatiquement accès à ce référentiel central de comptes Google. Ainsi, si vous configurez le téléphone puis installez Google Keep, Keep est automatiquement connecté et accède à vos notes. Lors de la configuration initiale, où vous pourriez installer 10 applications différentes utilisant un compte Google, il serait ennuyeux de saisir encore et encore votre nom d’utilisateur et votre mot de passe.
Ce système de compte centralisé est affamé pour les comptes Google, de sorte que tout compte Google que vous utilisez pour vous connecter à une application Google est aspiré dans le système de compte central, même si vous refusez la configuration initiale. Un ennui courant est d’avoir un compte Google Workspace au travail, puis de se connecter à Gmail pour la messagerie professionnelle, puis de devoir gérer ce compte professionnel inutile apparaissant dans le Play Store, Maps, Photos, etc.
Pour les téléviseurs, cela présente un piège unique car, même si vous serez toujours obligé de vous connecter pour télécharger quelque chose depuis le Play Store, il n’est pas évident pour l’utilisateur que vous accordez à cet appareil l’accès à l’intégralité de votre compte Google, y compris à potentiellement des éléments sensibles comme l’historique de localisation, les e-mails et les messages. Pour l’utilisateur moyen, un appareil TV affiche simplement des « trucs TV » comme vos recommandations YouTube et quelques applications Play Store spécifiques à la TV, vous ne pouvez donc pas le considérer comme une connexion à haute sensibilité. Mais si vous chargez simplement quelques applications Google supplémentaires, vous pouvez accéder à n’importe quoi. Un autre sujet déroutant est la stratégie OAuth de Google, qui enseigne aux utilisateurs qu’il existe des éléments tels que l’accès limité à un compte Google sur des appareils ou des sites tiers, mais qu’Android ne fonctionne pas de cette façon.
Dans la vidéo, Gray récupère simplement un appareil Android TV, accède à un site d’applications Android tiers, puis charge Chrome. Chrome se connecte automatiquement au compte Google du propriétaire du téléviseur et a accès à tous les mots de passe et cookies, ce qui signifie l’accès à Gmail, aux photos, à l’historique des discussions, aux fichiers Drive, aux comptes YouTube, à AdSense, à tout site permettant la connexion à Google et partiel. informations de carte de crédit. Tout est disponible dans Chrome sans aucun contrôle de sécurité. Des applications individuelles comme Gmail et Google Photos commenceraient également immédiatement à fonctionner.
Comme le souligne la vidéo de Gray, les appareils Android TV peuvent être des dongles, des décodeurs ou un code installé directement sur un téléviseur. Dans les entreprises et les hôtels, il peut s’agir d’appareils semi-publics. Il n’est pas non plus difficile d’imaginer qu’un téléviseur tombe entre les mains de quelqu’un d’autre. Vous ne vous inquiétez peut-être pas trop d’oublier un Chromecast à 30 $ dans une chambre d’hôtel, ou vous pouvez vous connecter à un téléviseur d’hôtel et oublier de supprimer votre compte, ou vous pouvez jeter un téléviseur et ne pas réfléchir à deux fois au compte auquel il est connecté. . Si un attaquant accède ultérieurement à l’un de ces appareils, il sera simple de déverrouiller l’intégralité de votre compte Google.
Google affirme avoir résolu ce problème, sans toutefois expliquer comment. La déclaration de la société à 404 indique : « La plupart des appareils Google TV exécutant les dernières versions du logiciel n’autorisent déjà pas ce comportement décrit. Nous sommes en train de déployer un correctif sur le reste des appareils. En tant que meilleure pratique de sécurité, nous conseillez toujours aux utilisateurs de mettre à jour leurs appareils avec le dernier logiciel.
De nombreux appareils Android TV, en particulier ceux intégrés aux téléviseurs, sont abandonnés et exécutent une ancienne version du logiciel, mais le système de compte de Google peut être mis à jour via le Play Store, il y a donc de fortes chances qu’un correctif puisse être déployé sur la plupart des appareils.