Android TV 可以访问您的整个帐户，但 Google 正在改变这一点

谷歌

谷歌表示，它已经修复了 Android TV 帐户安全系统中的一个令人讨厌的漏洞，该漏洞将允许对您的设备进行物理访问的攻击者仅通过侧载一些应用程序即可访问您的整个谷歌帐户。 作为 404媒体 据报道，这个问题最初是由美国参议员罗恩·怀登（俄勒冈州民主党人）作为“流媒体电视技术提供商隐私实践审查”的一部分引起谷歌注意的。 谷歌最初告诉参议员，该问题是预期行为，但在媒体报道后，决定改变立场并发布某种补丁。

“我的办公室正在对流媒体电视技术提供商的隐私做法进行审查，”怀登告诉 404 Media。 “作为调查的一部分，我的员工发现了一段令人震惊的视频，视频中一名 YouTuber 演示了犯罪分子如何在无人监管的情况下访问 Android 电视机顶盒 15 分钟，从而访问设置了 Gmail 用户的私人电子邮件。电视。”

相关视频是来自 YouTuber 卡梅伦·格雷，它表明抓取任何 Android TV 设备并侧载一些应用程序将授予对当前 Google 帐户的访问权限。 如果您了解 Android 的工作原理，这一点是显而易见的，但对于大多数查看有限电视界面的用户来说，这一点并不明显。

问题的核心是 Android 如何处理您的 Google 帐户。 由于操作系统是在手机上启动的，所以每台 Android 设备一开始就假设它是一台私人的、单人设备。 谷歌在该功能的基础上构建了多用户支持和访客帐户，但这些不是默认设置流程的一部分，可能很难找到，并且可能在许多 Android 电视盒上被禁用。 结果是登录 Android TV 设备通常可以访问您的整个 Google 帐户。

广告

Android 拥有一个集中式 Google 帐户系统，由一百万个以 Google 为中心的后台和同步进程、Play 商店以及几乎所有 Google 应用程序共享。 当您第一次启动 Android 设备时，引导式设置会要求您提供 Google 帐户，该帐户预计将作为所有者的主帐户永远存在于设备上。 您添加到设备中的任何新 Google 应用程序都会自动访问此中央 Google 帐户存储库，因此，如果您设置手机然后安装 Google Keep，Keep 将自动登录并访问您的笔记。 在初始设置过程中，您可能会安装 10 个使用 Google 帐户的不同应用程序，一遍又一遍地输入用户名和密码会很烦人。

这个集中账户系统是 饥饿的 对于 Google 帐户，因此您用来登录任何 Google 应用程序的任何 Google 帐户都会被纳入中央帐户系统，即使您拒绝初始设置也是如此。 一个常见的烦恼是在工作中拥有 Google Workspace 帐户，然后登录 Gmail 获取工作电子邮件，然后必须处理显示在 Play 商店、地图、照片等中的这个无用的工作帐户。

对于电视来说，这带来了一个独特的问题，因为虽然您仍然需要登录才能从 Play 商店下载某些内容，但用户并不明显知道您正在授予该设备访问您的整个 Google 帐户的权限，包括潜在的访问权限。敏感信息，例如位置历史记录、电子邮件和消息。 对于普通用户来说，电视设备仅显示“电视内容”，例如您的 YouTube 推荐和一些特定于电视的 Play 商店应用，因此您可能不会认为它是高敏感度登录。 但如果你只是旁加载一些谷歌应用程序，你就可以访问任何东西。 更令人困惑的是 Google 的 OAuth 策略，该策略告诉用户可以在第三方设备或网站上对 Google 帐户进行范围内的访问，但 Android 却不能这样工作。

广告

正如 Gray 的视频所指出的，Android TV 设备可以是适配器、机顶盒或直接安装到电视中的代码。 在企业和酒店中，它们可以是半公共设备。 也不难想象电视设备落入他人手中。 您可能不会太担心将价值 30 美元的 Chromecast 遗忘在酒店房间，或者您可能登录酒店电视后忘记删除您的帐户，或者您可能扔掉电视而不仔细考虑它登录的是哪个帐户。 如果攻击者稍后能够访问这些设备中的任何一个，那么解锁您的整个 Google 帐户就很容易了。

谷歌表示它已经解决了这个问题，但没有解释如何解决。 该公司在针对 404 的声明中表示：“大多数运行最新版本软件的 Google TV 设备已经不允许出现这种行为。我们正在对其余设备进行修复。作为最佳安全实践，我们始终建议用户将设备更新到最新的软件。”

许多 Android TV 设备，尤其是那些内置于电视机的设备，都是废弃软件并运行旧版本的软件，但 Google 的帐户系统可以通过 Play 商店进行更新，因此很有可能修复程序可以推广到大多数设备。