Kindersicherung und PIN-gesperrte Kategorien auf der Xbox

Die Kindersicherung folgt derselben Aufteilung wie alles andere auf der Konsole: eingerichtet in der Webkonsole oder in der Windows-App, durchgesetzt auf der Xbox. Die Konsole ist der Ort, an dem eine Sperre jemanden aufhält, und nicht der, an dem sie festgelegt wird.

Das ist die richtige Reihenfolge. Eine vom Sofa aus gesetzte PIN ist eine PIN, die vor allen getippt wird, die auf dem Sofa sitzen.

Vier Regler, und es sind nicht dieselben#

Sie werden durcheinandergebracht, und sie verhalten sich unterschiedlich.

Die Konto-PIN schützt den Profilwechsel. Sie hindert ein Kind daran, in der Auswahl das Erwachsenenprofil zu nehmen.

Der Kindermodus ist eine Profilart. Ein Kinderprofil bekommt eine eingeschränkte Umgebung und dazu zwei zeitbasierte Sperren, die weiter unten behandelt werden.

Die Höchstaltersfreigabe ist eine Grenze je Profil, und es gibt 2 davon statt 1. Filme und Fernsehen werden getrennt begrenzt, weil die Freigabesysteme getrennt sind und ein Haushalt, dem ein Film ab 12 recht ist, mit der Fernsehentsprechung nicht einverstanden sein muss.

Der Umgang mit Erwachsenenkategorien hat eine echte Verzweigung im Verhalten. Er ist der Punkt, den zu verstehen sich am meisten lohnt.

Ausblenden ist nicht dasselbe wie Sperren#

Ein Profil blendet Erwachseneninhalte entweder aus oder sperrt sie. Verschiedene Codepfade, verschiedene Erfahrungen.

Blendet das Profil sie aus, werden die Sender herausgefiltert, bevor die Liste gebaut wird. Es gibt keine Sperrabfrage, weil es nichts abzufragen gibt. Wer auf diesem Profil zuschaut, erfährt nicht, dass etwas entfernt wurde.

Sperrt das Profil sie, sind die Sender sichtbar und das Öffnen eines davon fragt nach der PIN. Beim ersten Lesen habe ich das falsch verstanden: die Sperre hat vier Bedingungen, nicht drei, und jede einzelne muss gleichzeitig zutreffen. Das Ausblenden ist aus, für das Profil ist tatsächlich eine PIN konfiguriert, es ist keine Entsperrung für die Sitzung aktiv, und das Profil ist so gekennzeichnet, dass es die PIN für Erwachseneninhalte verlangt. Ein Profil, für das keine PIN konfiguriert ist, kann nichts sperren, und das ist die übliche Ursache für "ich habe es eingeschaltet und es ist nichts passiert".

Sobald eine PIN angenommen wurde, gilt die Entsperrung für die Sitzung gegen die ID dieses Profils. Sie werden nicht je Sender erneut gefragt. Ein Profilwechsel oder ein Neustart der App verwirft sie, und ein Profil mit leerer ID kann nie die Entsperrung eines anderen erben.

Kinderprofile: zwei Sperren, getrennt ausgewertet#

Ein Kinderprofil kann aus 2 Gründen gesperrt werden, und sie sind voneinander unabhängig.

Das Tageslimit wird in Minuten gespeichert und in Sekunden ausgewertet. Die Nutzung wird je lokalem Datum geführt, der Zähler setzt sich also zurück, wenn das gespeicherte Datum nicht mehr dem heutigen entspricht, und nicht über einen Zeitgeber. Ein fehlendes Kontingent oder eines von null schaltet die Prüfung ab, statt sofort zu sperren.

Das Schlafenszeitfenster wird als Start- und Endminute gespeichert und gegen die Ortszeit ausgewertet, was es ohne Sonderfälle über Mitternacht hinausreichen lässt.

Jede Sperre hat ihre eigene Übersteuerung, die Schlafenszeit für einen Freitagsfilm aufzuheben gibt also nicht auch das Tageskontingent für den Rest der Woche frei. Das Tageslimit wird zuerst geprüft, ein Profil über seinem Kontingent meldet also dieses und nicht die Tageszeit.

Profile        kind=kid, dailyTimeLimitMinutes=90, bedtime 20:30 to 07:00
Watched today  4,900 seconds
Evaluation     4,900 >= 90 x 60 -> daily limit reached, locked

Was passiert, wenn die Konsole den Server nicht erreicht#

Das ist der Teil, der eine echte Sperre von einer dekorativen unterscheidet.

Die Sperren schließen sich. Scheitert der Abruf des Profils, zuckt die Konsole nicht mit den Schultern und lässt alles durch; sie fällt auf eine dauerhaft gespeicherte Momentaufnahme des letzten guten Zustands zurück und setzt weiter durch. Für diesen Pfad gibt es einen Test je Sperre, denn genau dieses Verhalten verfällt still, wenn niemand hinsieht.

Dasselbe Prinzip erklärt etwas am Start, das wie ein Versäumnis aussieht. Die Profilauswahl springt nie automatisch zu der Person weiter, die zuletzt zugesehen hat, obwohl das Überspringen die Zeit vom Start bis zum Startbild messbar verkürzen würde, und das alte Kaltstartziel von unter 3 Sekunden setzte genau diese Abkürzung voraus. Es wurde dauerhaft verworfen. Ein Profil zu wählen ist eine Sicherheitsgrenze, und eine Grenze, die man automatisch überschreitet, ist keine.

PINs werden nicht als PINs gespeichert#

Eine PIN liegt nie als PIN auf der Festplatte. Sie wird mit PBKDF2-SHA256 in 100.000 Durchläufen gehasht, mit einem zufälligen Salt von 16 Byte und einem abgeleiteten Schlüssel von 32 Byte, im selben Format, das auch die Kontodienste verwenden. Der gespeicherte Wert trägt seine eigene Schema-Version und Durchlaufzahl, sodass sich der Aufwand später erhöhen lässt, ohne bestehende PINs ungültig zu machen. Die Prüfung läuft in konstanter Zeit: eine falsche PIN braucht zur Ablehnung gleich lang, egal wie viel davon richtig war.

Eine PIN mit 4 Ziffern bleibt eine PIN mit 4 Ziffern. Das Hashen bedeutet, dass jemand mit Zugriff auf den Speicher des Geräts Ihre PIN nicht geschenkt bekommt, und das ist eine andere Bedrohung als jemand, der sie am Sofa errät.

Die Einrichtung#

Alles oben Genannte wird in der Webkonsole unter den Profilen oder in der Windows-App eingerichtet. Die Xbox liest das Ergebnis. Das Profilziel in der App-Navigation der Konsole ist ein Platzhalter, es gibt also keinen Weg, davon etwas vom Sofa aus zu ändern. Das ist der Sinn der Sache und keine Einschränkung.

Wenn sich eine Sperre nicht wie erwartet verhält, liegt es meist daran, dass für das getestete Profil nie eine PIN gesetzt wurde. Die Installation auf der Xbox behandelt das Koppeln, und die Bedienung mit dem Controller behandelt, was die Tasten in der Auswahl tun.