Google'ın sertifikalı Android TV kutularında tespit ettiği ve üretici Videostrong'un yerleştirdiği gizli erişim, akıllı televizyon ekosisteminin en temel güven sorununu ortaya koyuyor. Olay şu ki, cihazın kutusunda "sertifikalı" yazan logoya güvenip salonumuza yerleştirdiğimiz donanım, yıllar boyunca birçok marka ve model altında XCPE botnet'ine bağlanan bir arka kapıyla gelmiş. Videostrong sadece üretim yapmamış, kendi yerleştirdiği bu erişimi satabilir hale getirmiş; yani cihazın içine kurulan yazılım, üreticinin ticari bir enstrümanına dönüşmüş.
Teknik tarafta olan şu: Google, XCPE botnet'ine ait alan adlarını ve sunucuları engelledi, Videostrong ve bağlı kuruluşlarıyla tüm bağlarını kopardı. Ama buradaki asıl mesele bir tedarikçiyle ilişkiyi kesmekle çözülmüyor. Sertifikasyon süreci, cihazın fabrikadan çıktığı andaki yazılımı denetliyor; sonradan gelen güncellemelerle ya da üretim bandındaki özel imajlarla yerleştirilen bir backdoor ise denetim ağının dışında kalabiliyor. Yani imza atılan belge, cihazın ömrü boyunca aynı kalacağını garanti etmiyor.
Bana kalırsa bu haber, ucuz Android TV kutusu avcılarının çok sevdiği "aynı donanım, farklı marka" gerçeğini de acı bir şekilde hatırlatıyor. Bir kutunun içindeki çip aynıysa, yazılımı hazırlayan tedarikçi de aynıysa, o kutunun arkasındaki marka ne kadar parlak görünürse görünsün güvenlik seviyesi tedarikçinin ahlakına bağlı kalıyor. Ev ağınıza bağladığınız her cihazı bir güven sınırı olarak düşünmek, kutu menüsündeki güzel arayüze kanmaktan çok daha sağlıklı.