Android TV-apparaten krijgen een update om een privacyprobleem met betrekking tot Gmail op te lossen. Kortom, degenen met fysieke toegang tot uw Android TV kunnen controle hebben over uw Gmail-account. Dit leidt tot meer risico's, zoals het aanvragen van wachtwoordwijzigingen op andere diensten.
Android TV is geen ander besturingssysteem dan het Android dat we kennen op telefoons en tablets. Het is eerder Android met een ‘launcher’ die de gebruikersinterface aanpast aan tv-schermen voor comfortabelere navigatie. De kern is echter nog steeds Android. Je vindt het vooraf geïnstalleerd op bepaalde tv's of op tv-sticks/boxen. Wat dat laatste betreft, behoren apparaten als Chromecast met Google TV of NVIDIA Shield TV tot de meest populaire.
Android TV biedt niet alle Android-vergrendelingsmethoden
Android TV behoudt het gedrag en de mogelijkheden die zijn geërfd van de versie voor telefoons. Ten eerste kunt u APK's buiten de Play Store installeren. Bovendien hebben alle Google-apps toegang tot die login zodra u zich aanmeldt met uw Google-account. Dat wil zeggen: zodra u met uw Google-account toegang heeft tot uw Android TV, hoeven alle apps of services van het bedrijf alleen te worden geïnstalleerd om toegang te krijgen tot al uw inhoud. U hoeft niet voor elke app het e-mailadres en wachtwoord opnieuw in te voeren.
Dit gedrag is normaal en handig voor mobiele apparaten. Je draagt hem immers altijd bij je en ze hebben meerdere sluitmethodes beschikbaar. Aan de andere kant bevinden Android TV-apparaten zich meestal op dezelfde plek. Bovendien bieden ze niet alle sluitsystemen aan die op smartphones beschikbaar zijn.
Het meest vergelijkbare dat u op Android TV zult vinden, is de optie ‘beperkt profiel’. Hiermee kun je na een pincode de toegang tot bepaalde specifieke apps blokkeren. Maar zoals Google op zijn supportpagina aangeeft, werkt het alleen op “apps van derden die geen Google-aanmelding gebruiken'. U kunt dus de toegang tot Google-apps of apps van derden die uw Google-inloggegevens gebruiken, niet blokkeren.
Op deze manier kunnen aanvallers vanaf uw Android TV toegang krijgen tot uw Gmail-account
Nu zou u een idee moeten hebben van het beveiligingsprobleem. De potentiële aanvaller moet fysieke toegang hebben tot uw Android TV-apparaat. Als je met je Google-account op die Android TV bent ingelogd, krijgt de aanvaller toegang tot de gegevens van al je Google-apps. Dat geldt ook voor Gmail, wat behoorlijk gevaarlijk is. Met toegang tot Gmail kan de aanvaller wachtwoordwijzigingen aanvragen bij andere services. Alleen degenen waarbij u een 2FA-systeem heeft opgezet, zijn veilig.
Android TV maakt het installeren van APK's buiten de Play Store iets ingewikkelder dan Android-telefoons. Het is echter nog steeds een niet zo moeilijk proces. Ontgrendel eenvoudig de ontwikkelaarsopties en u kunt deze vanaf daar inschakelen.
De installatie van externe APK's is voor de aanvaller noodzakelijk omdat Gmail geen app voor Android TV heeft. Omdat er webbrowsers voor Android TV bestaan, kan de aanvaller eenvoudigweg de Gmail APK van een website downloaden.
Na het downloaden en installeren heeft de aanvaller rechtstreeks toegang tot uw e-mails zonder dat hij daarvoor inloggegevens nodig heeft. Omdat deze niet is aangepast aan Android TV, heeft de Gmail-app een toetsenbord en muis nodig om er doorheen te navigeren. Dat zal echter het enige obstakel zijn waarmee ze te maken zullen krijgen.
De oplossing wordt al uitgerold
In een verklaring aan 404 Media zei een woordvoerder van Google: “De meeste Google TV-apparaten met de nieuwste softwareversies staan dit weergegeven gedrag al niet toe. We zijn bezig met het uitrollen van een oplossing voor de rest van de apparaten.” Van uw kant kunt u handmatig controleren of uw apparaat is bijgewerkt naar de nieuwste beschikbare software. Bovendien is gezond verstand uw beste bondgenoot om onveilige praktijken te vermijden, zoals inloggen met uw Google-account op Android TV-apparaten van derden.
PSA: Log niet in op uw persoonlijke Google-account op een Android TV-apparaat dat u niet bezit! https://t.co/l0FScUVT4M
— Mishaal Rahman (@MishaalRahman) 25 april 2024
