Contrôle parental et catégories verrouillées par PIN sur Xbox

Contrôle parental, même répartition que tout le reste sur la console : configuré dans la console web ou l’Application Windows, appliqué sur la Xbox. La console est l’endroit où un verrou arrête quelqu’un, pas celui où il se définit.

C’est le bon sens des choses. Un PIN défini depuis un canapé est un PIN tapé devant quiconque est sur le canapé.

Quatre contrôles, et ce n’est pas le même contrôle#

On les confond, et ils se comportent différemment.

Le PIN du compte protège le changement de profil. Il empêche un enfant de sélectionner le profil adulte dans le sélecteur.

Le mode enfant est un type de profil. Un profil enfant reçoit une expérience restreinte plus deux verrous horaires, décrits plus bas.

La classification maximale est un plafond par profil, et il y en a 2 plutôt que 1. Les films et la télévision sont plafonnés séparément, parce que les systèmes de classification sont séparés et qu’un foyer à l’aise avec un film classé 12 ne l’est pas forcément avec l’équivalent télévisé.

Le traitement des catégories adultes présente une vraie bifurcation de comportement. C’est celui qui mérite le plus d’être compris.

Masquer n’est pas verrouiller#

Un profil masque le contenu adulte ou le verrouille. Chemins de code différents, expériences différentes.

Si le profil le masque, les chaînes sont filtrées avant que la liste soit construite. Il n’y a pas d’invite de verrou, parce qu’il n’y a rien à demander. Un spectateur sur ce profil n’apprend pas que quelque chose a été retiré.

Si le profil le verrouille, les chaînes sont visibles et en ouvrir une demande le PIN. Je m’étais trompé à la première lecture : le verrou a quatre conditions, pas trois, et chacune d’elles doit tenir en même temps. Le masquage est désactivé, le profil a réellement un PIN défini, aucun déverrouillage de session n’est déjà actif, et le profil est marqué comme exigeant le PIN pour le contenu adulte. Un profil sans PIN configuré ne peut rien verrouiller, ce qui est la cause habituelle de « je l’ai activé et rien ne s’est passé ».

Une fois un PIN accepté, le déverrouillage est conservé pour la session contre l’identifiant de ce profil. Vous n’êtes pas réinterrogé à chaque chaîne. Changer de profil ou redémarrer l’application l’annule, et un profil avec un identifiant vide ne peut jamais hériter du déverrouillage de quelqu’un d’autre.

Profils enfant : deux verrous, évalués séparément#

Un profil enfant peut être verrouillé pour l’une de 2 raisons, et elles sont indépendantes.

La limite quotidienne est stockée en minutes et évaluée en secondes. L’usage est conservé par date locale, si bien que le compteur se réinitialise quand la date stockée cesse de correspondre à celle du jour, plutôt que sur un minuteur. Une allocation absente ou à zéro désactive la vérification plutôt que de verrouiller immédiatement.

La fenêtre de coucher est stockée comme des minutes de début et de fin et évaluée contre l’heure locale, ce qui lui permet de passer minuit sans cas particulier.

Chacune a son propre contournement, si bien que déverrouiller le coucher pour un film le vendredi ne cède pas aussi le reste de l’allocation quotidienne de la semaine. La limite quotidienne est vérifiée en premier, si bien qu’un profil au-delà de son allocation signale cela plutôt que l’heure de la journée.

Profile        kind=kid, dailyTimeLimitMinutes=90, bedtime 20:30 to 07:00
Watched today  4,900 seconds
Evaluation     4,900 >= 90 x 60 -> daily limit reached, locked

Ce qui se passe quand la console ne peut pas joindre le serveur#

C’est la partie qui distingue un vrai verrou d’un verrou décoratif.

Les verrous se ferment en cas d’échec. Si la récupération du profil échoue, la console ne hausse pas les épaules pour tout laisser passer ; elle se rabat sur un instantané persistant du dernier état connu valide et continue d’appliquer les règles. Il existe un test par verrou couvrant ce chemin, parce que c’est exactement le comportement qui se dégrade en silence si personne ne vérifie.

Le même principe explique quelque chose au démarrage qui ressemble à un oubli. Le sélecteur de profil ne passe jamais automatiquement à la personne qui a regardé en dernier, alors même que sauter cette étape raccourcirait mesurablement le temps entre le lancement et l’Accueil, et que l’ancien objectif de démarrage à froid en moins de 3 secondes supposait exactement ce raccourci. Il a été rejeté définitivement. Choisir un profil est une frontière de sécurité, et une frontière que l’on franchit automatiquement n’en est pas une.

Les PIN ne sont pas stockés en tant que PIN#

Un PIN ne repose jamais sur le disque en tant que PIN. Il est haché avec PBKDF2-SHA256 à 100 000 itérations, avec un sel aléatoire de 16 octets et une clé dérivée de 32 octets, dans le même format que celui qu’utilisent les services de compte. La valeur stockée porte sa propre version de schéma et son nombre d’itérations, si bien que le coût peut être relevé plus tard sans invalider les PIN existants. La vérification est en temps constant : un PIN erroné met le même temps à être rejeté quelle que soit la part qui était juste.

Un PIN à 4 chiffres reste un PIN à 4 chiffres. Le hachage signifie que quelqu’un qui met la main sur le stockage de l’appareil n’obtient pas votre PIN gratuitement, ce qui est une menace différente de quelqu’un qui le devine depuis le canapé.

La mise en place#

Tout ce qui précède se configure dans la console web sous Profils, ou dans l’Application Windows. La Xbox lit le résultat. La destination Profils dans la navigation de l’application console est un espace réservé, donc il n’existe aucun chemin pour modifier tout cela depuis le canapé. C’est le but, pas une limitation.

Si un verrou ne se comporte pas comme vous l’attendez, la cause habituelle est qu’aucun PIN n’a jamais été défini sur le profil que vous testez. Installer sur Xbox couvre l’appairage, et naviguer avec la manette couvre ce que font les boutons du sélecteur.