CyberTVLab
← Todos os artigos

Guia · Por CYBERTVLAB ·

A sua TV box está certificada? Como verificar e porque importa

Duas boxes de streaming podem dizer ambas «Android TV» na caixa e não partilhar quase nada por baixo. A diferença tem um nome — certificação — e leva cerca de dois minutos a verificar de que lado está a sua.

Dois dispositivos, uma etiqueta

«Android TV» é usado com ligeireza. Um dispositivo certificado é um build específico de hardware e software que a Google testou e licenciou. Vem com o Play Store genuíno, o launcher Google TV ou Android TV, e o Google Play Protect — o antivírus integrado. O que a certificação confirma é o build: passou nos testes de compatibilidade da Google. Durante quanto tempo o fabricante o mantém atualizado continua a depender do fabricante.

Uma box não certificada também corre Android — mas como um build open source montado pelo vendedor, com um launcher que imita o verdadeiro. Não tem licença da Google: ou vem sem a Play Store, ou com uma cópia que nunca foi destinada a ela. Não pode receber as atualizações de segurança do Android através da via da Google, e as «atualizações» que recebe vêm de quem construiu o firmware.

Para ser justo com a categoria: não todo o dispositivo não certificado é uma box barata. A Google cita bootloaders desbloqueados, software de sistema modificado e root entre as razões pelas quais um dispositivo de resto legítimo pode aparecer como não certificado. Para uma box comprada nova, o que conta é se foi certificada desde o início.

E o estado de certificação cruza-se com as maiores campanhas que conhecemos. No nosso artigo do BadBox ao Kimwolf, as maiores operações — BadBox e BadBox 2.0 — atingiram de forma desproporcionada hardware barato de marcas desconhecidas; a descrição que a Google faz dos dispositivos afetados na sua ação judicial contra o BadBox 2.0 é a do software open source do Android, «que não tem as proteções de segurança da Google». A certificação reduz esse risco da cadeia de abastecimento. Não cobre todas as vias de infeção e não garante que um dado dispositivo esteja limpo.

A verificação de dois minutos

No próprio dispositivo, o estado de certificação da Google é mostrado na Play Store:

  1. Abra a aplicação Google Play Store na televisão.
  2. Selecione o seu ícone de perfil (canto superior direito).
  3. Vá a Definições e depois a Acerca de.
  4. Procure Certificação Play Protect.

Dirá «Dispositivo certificado» ou «Dispositivo não certificado». Se a aplicação Play Store faltar por completo, ou recusar iniciar sessão, isso é um sinal forte — mas não conclusivo por si só, pois numa box não certificada pode existir uma cópia instalada manualmente. A lista de dispositivos suportados da Google, mais abaixo, é a verificação seguinte.

Se está a comprar em vez de verificar — ou não tem acesso ao dispositivo —, a Google publica também uma lista de dispositivos suportados (procure na página a marca e o modelo), e o site do Android mantém uma visão geral dos dispositivos certificados.

O que a certificação lhe dá realmente

  • Análise de malware com Play Protect, integrada nos serviços Google Play e ativa por predefinição nos dispositivos certificados. Numa box não certificada, mesmo uma cópia da Play Store instalada manualmente muitas vezes não consegue executar o Play Protect corretamente.
  • As aplicações que espera que funcionem têm muito mais probabilidade de funcionar — incluindo os serviços de streaming dependentes de DRM, que assentam em funções de segurança de hardware que os firmwares não certificados frequentemente não têm. Cada serviço pode ainda impor os seus próprios requisitos de modelo, região e hardware.
  • Um caminho de atualização realista — mas não garantido. Os dispositivos certificados recebem atualizações de segurança através da plataforma suportada pelo vendedor; a regularidade depende do vendedor. Uma box não certificada pode nunca ver nenhuma.
  • Um vendedor com algo a perder — uma página de apoio, uma garantia, transferências de firmware e um nome que pode ser responsabilizado perante uma política de atualização publicada.

O aviso honesto: a certificação é um sinal forte, não um campo de força. Os dispositivos certificados podem continuar a correr software antigo se o fabricante os abandonar, e o Play Protect só ajuda se permanecer ligado. Eleva o mínimo; não substitui os hábitos que se seguem.

Sinais de risco que merecem verificação

Nenhum destes prova que uma box é maliciosa, e nenhum deles sozinho significa que uma unidade específica está afetada — em conjunto, são razões para verificar o modelo e o build exatos antes de confiar nela:

  • Nomes feitos de letras ao acaso — X96, MX10 e semelhantes — ou literalmente «TV BOX» como nome do produto.
  • Um preço muito inferior ao de qualquer dispositivo de marca comparável.
  • Marketing assente em «canais premium grátis», «totalmente carregado» ou «subscrição vitalícia incluída».
  • Instruções de instalação que lhe dizem para desativar o Play Protect ou instalar uma «loja de aplicações» a partir de um link de transferência.
  • Nenhum site do fabricante, nenhuma transferência de firmware, nenhuma versão de Android indicada.

Se a sua box não está certificada

Não certificada não significa automaticamente infetada — significa desprotegida por conceção. Concretamente:

  • Não inicie sessão na banca online, nos gestores de palavras-passe ou no seu e-mail principal nesse dispositivo.
  • Coloque-a numa rede Wi-Fi separada (uma rede de convidados serve — confirme que bloqueia realmente o acesso à sua rede local), para não partilhar um segmento com telefones, computadores e unidades NAS.
  • Remova qualquer aplicação que não tenha instalado você mesmo, e nunca desative o Play Protect para fazer instalar alguma coisa.
  • Trate um comportamento inexplicável — tráfego desconhecido, aplicações que não adicionou, lentidão sem causa — como motivo para deixar de a usar para qualquer coisa sensível.

E se a box mostrar sinais de comprometimento ao nível do firmware — extras pré-instalados que nunca instalou, tráfego inexplicável — desinstalar aplicações pode não bastar: este tipo de implantes vive na partição de sistema, e um restauro de fábrica pode não os remover. Desligue-a da rede, deixe de a usar para contas sensíveis, verifique se o vendedor publica um firmware limpo e assinado, e substitua o dispositivo se a cadeia de confiança não puder ser restabelecida.

Um stick de streaming certificado de uma marca conhecida custa menos do que a maioria imagina, e é a forma mais simples de fechar todo este capítulo. Uma TV box é substituível; aquilo a que ela tem acesso não é.

Fontes

A Deltavant é uma aplicação antimalware no dispositivo para Android TV e Google TV, atualmente em testes fechados no Google Play. Saber mais sobre o Deltavant.