android crittografia software
Kārlis Dambrāns, Flickr
Tecnologia

Smartphone Android a rischio spioni: ecco la verità

La crittografia a bordo dei telefonini con processore Qualcomm sarebbe a rischio perché basata sul software. Scopriamo cosa vuol dire

Dire che tutti gli smartphone Android con processore Qualcomm, indipendentemente dal modello e dalla marca, sono vulnerabili, è un’affermazione che spaventa, se non altro per il numero di telefonini presi in considerazione. La bilancia pende fin troppo a favore dei dispositivi che montano una soluzione Snapdragon rispetto alle altre, Intel in primis. Si tratta anche di una considerazione azzardata, soprattutto quando si tratta di sicurezza, a quanto pare non dipendente da un’app scaricata dal Play Store o da un virus preso durante la navigazione in mobilità.

Da Lollipop 5.0 in poi

Secondo Gal Beniamini, un ricercatore specializzato in questioni di protezione informatica, valicare le mura poste da Android a guardia dei dati personali e delle informazioni sensibili degli utenti non è poi così difficile, se si riesce a sfruttare un bug intrinseco nel sistema operativo di Google, a partire da Android 5.0 Lollipop (i precedenti dunque ne sono esenti). In particolare, Beniamini ha rilevato una falla nella gestione dei codici da parte della FDE, la Full Disk Encryption, installata sui cellulari che girano almeno con Android 5.0. Si tratta di una funzione che camuffa tutti gli elementi presenti sul telefono, rendendoli leggibili solo quando entra in circolo una chiave di traduzione, unica e irripetibile. È una procedura simile a quella utilizzata da Apple, che ha messo una contro l’altra l’azienda statunitense all’FBI, durante il famoso caso dello sblocco dell’iPhone posseduto dal terrorista di San Bernardino.

Differenza tra crittografia conservata su hardware e software

Insomma, nessuno, tranne il reale possessore dello smartphone, può violare il sistema e leggere i messaggi e le comunicazioni in esso contenute, perché sprovvisto della password in grado di decriptarli. Allora, dov’è il problema? Quello che Gal Beniamini ha scoperto è che, a differenza di Apple, la chiave di blocco che nel caso dell’iPhone è conservata nel Secure Encalve, una porzione esterna del processore A7, da Android Lollipop si trova ancora in una sezione della CPU Qualcomm, ma viene gestita a livello software. Rispetto a quanto avviene per i melafonini, dove il procedimento di conversione in chiaro può avvenire solo quando vi è una rispondenza tra il codice relativo al processore e la parola chiave immessa in fase di avvio (ed è per questo che smontando l’hardware si ottiene ben poco), per Qualcomm la questione è diversa, visto che la “master key” è presente tutta d’un pezzo sull’hard-disk , per cui basta ottenere l’accesso a quest’ultimo per vincere la lotteria.

Un uso illegittimo del genere potrebbe far molto comodo agli hacker ma anche ai governi e agenzie di spionaggio pubbliche e private, per assicurarsi un occhio privilegiato dentro la vita digitale di milioni di persone.

Aggiornamento inviato, ma non sempre ricevuto

Il panorama che ne scaturisce non è così edificante per chi si preoccupa della propria privacy visto che, come ha dimostrato lo stesso Beniamini, è possibile estrarre tramite computer la parola segreta impostata, semplicemente attivando un programma creato ad-hoc, che faccia per bene le pulci ad Android. Stando a quanto affermano i diretti interessati, Google e Intel, la problematica è nota almeno dall’inizio dell’anno, per cui già da tempo è stato messo in circolo un aggiornamento atto a tapparla. Il fatto è che Android non è come iOS, cioè non ne esistono in giro al massimo 2 o 3 versioni differenti (chi ha oggi un iPhone con iOS7?), ma molte di più. Proprio Google rilascia periodicamente i numeri sulla fetta di mercato che spetta ad ogni release del suo sistema operativo; nell’analisi più recente se ne contano almeno sette, di cui tre tra Lollipop e Marshmallow.

Troppe versioni

Una patch inviata a Lollipop 5.0 potrebbe dunque non essere ancora disponibile per la 5.1 o per la declinazione 6.0. Inoltre, se Apple immette in rete direttamente gli upgrade dell’OS, Big G provvede solo ad inviarli ai singoli costruttori (Samsung, Sony, HTC, Huawei, ecc.) lasciando che siano poi loro a personalizzarli e pubblicarli sui vari canali, anche via OTA. Questo vuol dire che, nonostante una correzione del software già avvenuta, non tutti i modelli Android potrebbero aver recepito l’update e magari non lo vedranno mai se il costruttore non avesse intenzione di aggiornare uno smartphone considerato “vecchio”, magari un Galaxy S6, un HTC One M8 o simili.

Come sapere se il proprio terminale è stato corretto? Le vulnerabilità risolte sono la CVE-2015-6639 e la CVE-2016-2431; basta controllare che il cellulare abbia ricevuto questo e quest’altro aggiornamento, dando un occhio ai changelog periodici.

I più letti

avatar-icon

Antonino Caffo

Nato un anno prima dell’urlo di Tardelli al Mondiale, dopo una vita passata tra Benevento e Roma torno a Milano nel cui hinterland avevo emesso il primo vagito. Scrivo sul web e per il web da una quindicina di anni, prima per passione poi per lavoro. Giornalista, mi sono formato su temi legati al mondo della tecnologia, social network e hacking. Mi trovate sempre online, se non rispondo starò dormendo, se rispondo e sto dormendo non sono io. "A volte credo che la mia vita sia un continuo susseguirsi di Enigmi" (Guybrush Threepwood, temibile pirata).

Read More