CyberTVLab
← Tutti gli articoli

Guida · Di CYBERTVLAB ·

La tua TV box è certificata? Come verificarlo e perché conta

Due box di streaming possono entrambe dire «Android TV» sulla confezione e non condividere quasi nulla sotto. La differenza ha un nome — certificazione — e bastano circa due minuti per capire da che parte sta la tua.

Due dispositivi, un'etichetta

«Android TV» è usato con leggerezza. Un dispositivo certificato è uno specifico build hardware e software che Google ha testato e autorizzato. Viene fornito con il Play Store autentico, il launcher Google TV o Android TV e Google Play Protect — l'antivirus integrato. Ciò che la certificazione conferma è il build: ha superato i test di compatibilità di Google. Per quanto tempo il produttore lo tenga aggiornato dipende ancora dal produttore.

Una box non certificata esegue anch'essa Android — ma come build open source assemblato dal venditore, con un launcher che imita quello vero. Non ha licenza da Google: o arriva senza Play Store, o con una copia che non era mai stata destinata a lei. Non può ricevere le patch di sicurezza Android attraverso la pipeline di Google, e gli «aggiornamenti» che riceve vengono da chi ha costruito il firmware.

Per essere giusti con la categoria: non ogni dispositivo non certificato è una box economica. Google cita bootloader sbloccati, software di sistema modificato e root tra i motivi per cui un dispositivo per il resto legittimo può risultare non certificato. Per una box comprata nuova conta se è stata certificata fin dall'inizio.

E lo stato di certificazione si sovrappone alle campagne più grandi che conosciamo. Nel nostro articolo da BadBox a Kimwolf, le operazioni più vaste — BadBox e BadBox 2.0 — hanno colpito in modo sproporzionato hardware economico di marchi sconosciuti; la descrizione che Google dà dei dispositivi colpiti nella sua causa contro BadBox 2.0 è quella del software open source di Android, «che è privo delle protezioni di sicurezza di Google». La certificazione riduce quel rischio della catena di fornitura. Non copre ogni via di infezione e non garantisce che un dato dispositivo sia pulito.

Il controllo di due minuti

Sul dispositivo stesso, lo stato di certificazione di Google è mostrato nel Play Store:

  1. Apri l'app Google Play Store sul televisore.
  2. Seleziona la tua icona del profilo (in alto a destra).
  3. Vai su Impostazioni, poi su Informazioni.
  4. Cerca Certificazione Play Protect.

Leggerai «Dispositivo certificato» oppure «Dispositivo non certificato». Se l'app Play Store manca del tutto, o rifiuta di farti accedere, è un segnale forte — ma non conclusivo da solo, perché su una box non certificata può esistere una copia installata manualmente. La lista dei dispositivi supportati di Google, qui sotto, è il controllo successivo.

Se stai comprando invece di controllando — o non hai accesso al dispositivo —, Google pubblica anche una lista di dispositivi supportati (cerca nella pagina marca e modello), e il sito di Android tiene una panoramica dei dispositivi certificati.

Che cosa ti dà davvero la certificazione

  • Scansione antimalware con Play Protect, integrata nei servizi di Google Play e attiva per impostazione predefinita sui dispositivi certificati. Su una box non certificata, anche una copia del Play Store installata manualmente spesso non riesce a eseguire Play Protect correttamente.
  • Le app che ti aspetti funzionino hanno molte più probabilità di funzionare — compresi i servizi di streaming che dipendono dal DRM, basati su funzioni di sicurezza hardware che i firmware non certificati spesso non hanno. Ogni singolo servizio può comunque imporre i propri requisiti di modello, regione e hardware.
  • Un percorso di aggiornamento realistico — ma non garantito. I dispositivi certificati ricevono le patch di sicurezza tramite la piattaforma supportata dal venditore; quanto regolarmente dipende dal venditore. Una box non certificata può non vederne mai una.
  • Un venditore con qualcosa da perdere — una pagina di assistenza, una garanzia, download del firmware e un nome che si può chiamare a rispondere di una politica di aggiornamento pubblicata.

L'avvertenza onesta: la certificazione è un segnale forte, non un campo di forza. I dispositivi certificati possono comunque eseguire software vecchio se il produttore li abbandona, e Play Protect aiuta solo se resta attivo. Alza il livello minimo; non sostituisce le abitudini che seguono.

Segnali di rischio che meritano verifica

Nessuno di questi dimostra che una box sia malevola, e nessuno da solo significa che una specifica unità sia colpita — insieme, sono motivi per controllare il modello e il build esatti prima di fidarti:

  • Nomi fatti di lettere a caso — X96, MX10 e simili — o letteralmente «TV BOX» come nome del prodotto.
  • Un prezzo molto inferiore a quello di qualsiasi dispositivo di marca comparabile.
  • Marketing costruito su «canali premium gratuiti», «tutto caricato» o «abbonamento a vita incluso».
  • Istruzioni di installazione che ti dicono di disattivare Play Protect o di installare un «app store» da un link di download.
  • Nessun sito del produttore, nessun download di firmware, nessuna versione di Android indicata.

Se la tua box non è certificata

Non certificato non significa automaticamente infetto — significa non protetto per concezione. In concreto:

  • Non accedere a home banking, gestori di password o alla tua e-mail principale su quel dispositivo.
  • Mettila su una rete Wi-Fi separata (una rete guest va bene — verifica che blocchi davvero l'accesso alla tua rete locale), così non condivide un segmento con telefoni, computer e unità NAS.
  • Rimuovi ogni app che non hai installato tu, e non disattivare mai Play Protect per far installare qualcosa.
  • Tratta un comportamento inspiegabile — traffico sconosciuto, app che non hai aggiunto, lentezza senza motivo — come un motivo per smettere di usarla per qualsiasi cosa sensibile.

E se la box mostra segni di compromissione a livello di firmware — extra preinstallati che non hai mai installato, traffico inspiegabile — disinstallare le app può non bastare: questo tipo di impianti vive nella partizione di sistema, e un ripristino di fabbrica può non rimuoverli. Scollegala dalla rete, smetti di usarla per account sensibili, controlla se il venditore pubblica un firmware pulito e firmato, e sostituisci il dispositivo se la catena di fiducia non può essere ripristinata.

Uno stick di streaming certificato di un marchio noto costa meno di quanto la maggior parte delle persone immagini, ed è il modo più semplice per chiudere tutto questo capitolo. Una TV box è sostituibile; ciò a cui ha accesso no.

Fonti

Deltavant è un'app antimalware sul dispositivo per Android TV e Google TV, attualmente in test chiuso su Google Play. Scopri di più su Deltavant.