CyberTVLab
← Tous les articles

Guide · Par CYBERTVLAB ·

Votre box TV est-elle certifiée ? Comment le vérifier, et pourquoi c'est important

Deux box de streaming peuvent toutes deux afficher « Android TV » sur la boîte et ne presque rien partager en dessous. Cette différence a un nom — la certification — et il faut environ deux minutes pour vérifier de quel côté se trouve la vôtre.

Deux appareils, une étiquette

L'expression « Android TV » est utilisée à la légère. Un appareil certifié est une version matérielle et logicielle précise que Google a testée et autorisée sous licence. Il est livré avec le véritable Play Store, le lanceur Google TV ou Android TV, et Google Play Protect — l'antivirus intégré. Ce que la certification confirme, c'est la version : elle a passé les tests de compatibilité de Google. La durée pendant laquelle le fabricant continue de la mettre à jour dépend toujours du fabricant.

Une box non certifiée exécute aussi Android — mais sous forme de compilation open source assemblée par le vendeur, avec un lanceur qui imite le vrai. Elle n'a pas de licence de Google : soit elle est livrée sans le Play Store, soit avec une copie qui n'était pas destinée à elle. Elle ne peut pas recevoir les correctifs de sécurité Android via le circuit de Google, et les « mises à jour » qu'elle reçoit viennent de celui qui a fabriqué le firmware.

Pour être juste envers la catégorie : tout appareil non certifié n'est pas une box bon marché. Google cite les bootloaders déverrouillés, les logiciels système modifiés et le root parmi les raisons pour lesquelles un appareil par ailleurs légitime peut apparaître comme non certifié. Ce qui compte pour une box achetée neuve, c'est de savoir si elle a été certifiée au départ.

Et le statut de certification recoupe les plus grandes campagnes que nous connaissons. Dans notre article sur BadBox et Kimwolf, les opérations les plus vastes — BadBox et BadBox 2.0 — ont frappé de manière disproportionnée du matériel bon marché de marques inconnues ; la description par Google des appareils concernés dans sa plainte contre BadBox 2.0 est celle du logiciel open source d'Android, « qui est dépourvu des protections de sécurité de Google ». La certification réduit ce risque de chaîne d'approvisionnement. Elle ne couvre pas tous les chemins d'infection et ne garantit pas qu'un appareil donné soit propre.

La vérification de deux minutes

Sur l'appareil lui-même, le statut de certification de Google est affiché dans le Play Store :

  1. Ouvrez l'application Google Play Store sur le téléviseur.
  2. Sélectionnez votre icône de profil (en haut à droite).
  3. Allez dans Paramètres, puis À propos.
  4. Cherchez Certification Play Protect.

Il indiquera soit « Appareil certifié », soit « Appareil non certifié ». Si l'application Play Store est totalement absente, ou refuse de vous connecter, c'est un signal fort — mais pas concluant à lui seul, car une copie installée à la main peut exister sur une box non certifiée. La liste d'appareils compatibles de Google, ci-dessous, constitue la vérification suivante.

Si vous cherchez à acheter plutôt qu'à vérifier — ou si vous n'avez pas accès à l'appareil — Google publie aussi une liste d'appareils compatibles (recherchez la marque et le modèle dans la page), et le site Android tient un aperçu des appareils certifiés.

Ce que la certification vous apporte réellement

  • L'analyse de malware Play Protect, intégrée aux services Google Play et activée par défaut sur les appareils certifiés. Sur une box non certifiée, même une copie du Play Store installée à la main ne peut souvent pas exécuter Play Protect correctement.
  • Les applications que vous attendez à voir fonctionner ont bien plus de chances de fonctionner — y compris les services de streaming dépendants de DRM, qui reposent sur des fonctions de sécurité matérielles que les firmwares non certifiés n'ont souvent pas. Chaque service peut néanmoins imposer ses propres exigences de modèle, de région et de matériel.
  • Un chemin de mise à jour réaliste — mais pas garanti. Les appareils certifiés reçoivent les correctifs de sécurité via la plateforme prise en charge par le vendeur ; leur régularité dépend du vendeur. Une box non certifiée peut n'en jamais voir un seul.
  • Un vendeur qui a quelque chose à perdre — une page d'assistance, une garantie, des téléchargements de firmware et un nom que l'on peut tenir à une politique de mise à jour publiée.

La réserve honnête : la certification est un signal fort, pas un champ de force. Des appareils certifiés peuvent quand même tourner sur un logiciel ancien si le fabricant les abandonne, et Play Protect n'aide que s'il reste activé. Elle relève le plancher ; elle ne dispense pas des habitudes ci-dessous.

Signaux de risque qui méritent vérification

Aucun de ces signes ne prouve qu'une box est malveillante, et aucun à lui seul ne signifie qu'une unité précise est affectée — ensemble, ce sont des raisons de vérifier le modèle et la version exacts avant de lui faire confiance :

  • Des noms en vrac de lettres — X96, MX10 et similaires — ou littéralement « TV BOX » comme nom de produit.
  • Un prix très inférieur à celui de tout appareil de marque comparable.
  • Un marketing fondé sur « chaînes premium gratuites », « entièrement chargé » ou « abonnement à vie inclus ».
  • Des instructions d'installation qui vous demandent de désactiver Play Protect ou d'installer un « app store » depuis un lien de téléchargement.
  • Aucun site de fabricant, aucun téléchargement de firmware, aucune version d'Android indiquée.

Si votre box n'est pas certifiée

Non certifié ne veut pas automatiquement dire infecté — cela veut dire non protégé par conception. Concrètement :

  • Ne vous connectez pas à votre banque, à votre gestionnaire de mots de passe ou à votre messagerie principale sur cet appareil.
  • Placez-la sur un réseau Wi-Fi séparé (un réseau invité convient — vérifiez qu'il bloque réellement l'accès à votre réseau local) pour qu'elle ne partage pas de segment avec les téléphones, les ordinateurs et les NAS.
  • Supprimez toute application que vous n'avez pas installée vous-même, et ne désactivez jamais Play Protect pour permettre une installation.
  • Traitez un comportement inexpliqué — trafic inconnu, applications que vous n'avez pas ajoutées, lenteur sans cause — comme une raison de cesser de l'utiliser pour quoi que ce soit de sensible.

Et si la box montre des signes de compromission au niveau du firmware — des éléments préinstallés que vous n'avez jamais installés, un trafic inexpliqué — désinstaller des applications peut ne pas suffire : ce type d'implant vit dans la partition système, et une réinitialisation d'usine peut ne pas le supprimer. Déconnectez-la de votre réseau, cessez de l'utiliser pour des comptes sensibles, vérifiez si le vendeur publie un firmware propre et signé, et remplacez l'appareil si la chaîne de confiance ne peut pas être rétablie.

Un stick de streaming certifié d'une marque connue coûte moins cher que la plupart des gens ne l'imaginent, et c'est la manière la plus simple de refermer tout ce chapitre. Une box TV est remplaçable ; ce à quoi elle a accès ne l'est pas.

Sources

Deltavant est une application antimalware embarquée pour Android TV et Google TV, actuellement en test fermé sur Google Play. En savoir plus sur Deltavant.