Une faille de sécurité flagrante sur Android TV pourrait mettre votre Gmail en danger

Que souhaitez-vous savoir

• Une faille dans Android TV pourrait permettre un accès non autorisé à Gmail et à d'autres services liés si quelqu'un accède physiquement à l'appareil.
• Grâce à une box Android TV, des individus peuvent potentiellement pirater le compte Google du dernier utilisateur, compromettant Gmail et Google Drive.
• Initialement, Google a laissé entendre que ce comportement était attendu, mais a ensuite reconnu la faille de sécurité et affirmé l'avoir corrigée sur les appareils Google TV les plus récents.

Une faille de sécurité dans Android TV pourrait permettre à quiconque de surveiller votre Gmail et d'autres services liés s'il met la main sur votre appareil, selon 404 Médias.

Selon une vidéo publiée sur YouTube par Cameron Gray plus tôt cette année, si quelqu'un met la main sur un boîtier Android TV, il peut pirater le compte Google de la dernière personne connectée, y compris son compte Gmail et Google Drive (via Mishaal Rahman). ).

Si Google Chrome détecte un compte Google sur l'appareil sur lequel il est installé, il vous connecte automatiquement à tous les services Google que vous visitez. Désormais, étant donné qu'Android TV est essentiellement Android, il traite la connexion au compte Google du propriétaire comme si elle était permanente, de sorte qu'il est automatiquement connecté aux applications approuvées du Play Store.

Même si Google ne vous autorise pas officiellement à installer Chrome sur Android TV, vous pouvez toujours le télécharger pour l'y installer. Et une fois allumé, vous avez accès à Gmail, Drive et à tous les autres services, comme le démontre la vidéo.

Dans la vidéo, Gray installe un navigateur Web tiers appelé « TV Bro » que vous pouvez récupérer sur le Play Store pour Android TV. Il l'utilise pour extraire un APK pour Chrome d'une archive en ligne et l'installe sans aucun problème. Mais l'application ne fonctionne pas bien avec les télécommandes du téléviseur, vous aurez donc besoin d'un clavier et d'une souris.

Une fois Chrome opérationnel, il est aussi simple que bonjour d'accéder au site Web de Gmail et vous y êtes : aucun mot de passe, aucun code PIN ou biométrie n'est requis pour prouver que vous êtes le propriétaire du téléviseur.

D'après ce que Gray a découvert, la faible sécurité d'Android TV en fait une cible privilégiée pour consulter les comptes de messagerie connectés. Si vous utilisez uniquement Android TV à la maison, vous êtes probablement à l’abri. Mais si vous vous connectez à Android TV à partir d'un appareil extérieur à votre berceau, c'est à ce moment-là que vous demandez des ennuis.

La position initiale de Google suggérait que c'était ainsi que cela était censé fonctionner, ce qui est techniquement vrai. Mais cela reste une grosse erreur de sécurité. Récemment, Google a annoncé avoir résolu le problème sur les appareils Google TV les plus récents.

Le géant de la recherche a déclaré à 404 Media que la plupart de ses appareils Google TV dotés des dernières mises à jour logicielles ne permettent plus à ce comportement louche de se produire. Mais pour le reste des appareils, Google s’efforce de proposer prochainement un correctif.

Android Central a contacté Google pour obtenir des éclaircissements sur la manière exacte dont il envisage de résoudre le problème, et nous mettrons à jour cet article une fois que nous aurons reçu une réponse.