La sicurezza di Android è migliorata a passi da gigante negli ultimi 10 anni: ecco come

Al giorno d'oggi Android è uno dei sistemi operativi più utilizzati e sicuri del pianeta, ma non è sempre stato così. Infatti, già nel 2014, ZDNet notoriamente definito Android un "inferno tossico" di vulnerabilità, che fu poi citato da Tim Cook in occasione del lancio dell'iPhone di quell'anno. Cook ha sottolineato che Android era così frammentato e gli aggiornamenti erano così lenti ad arrivare che non era possibile le persone povere che "hanno acquistato un telefono Android, per sbaglio" potrebbero godere ovunque della sicurezza del proprio iPhone migliori.

Tuttavia, questa non è la storia completa, e certamente non è accurata al giorno d'oggi.

Umili origini

Ripensando al primissimo iPhone, si connetteva tramite 2G, aveva circa 14 app e scattava foto con un'enorme quantità di rumore e grana. Tuttavia, il vantaggio per Apple è stato che l’azienda ha realizzato l’hardware e il software, comprese tutte e 14 le app, che, prima dell’App Store, erano tutto ciò che potevi utilizzare. Apple ha governato l'intera esperienza, il che significava anche che potevano inviare aggiornamenti ogni volta che lo desideravano.

Al contrario, i primi giorni di Android erano un po’ diversi, con molti più cuochi nella proverbiale cucina. Innanzitutto, Google rilascerà una nuova versione di Android, che è stata poi adattata dai produttori di chip per funzionare su qualsiasi CPU utilizzata dal telefono. Quindi il produttore ha avuto modo di fare a modo suo con Android, aggiungere nuove funzionalità o app e di solito cambiare un sacco di cose sul suo aspetto, spesso in peggio. Quindi doveva rivolgersi al tuo operatore telefonico se si trattava di un telefono con marchio di rete e si sarebbero assicurati che funzionasse sulla loro rete mentre lo spalavano Di più bloatware solo per il gusto di farlo.

Quindi, se sei stato fortunato, forse sei mesi dopo il lancio di una nuova versione di Android, tu, come un normale persona, lo otterrebbe effettivamente sul tuo telefono, insieme ad alcuni extra che potresti avere o meno ricercato. Per il 99% dell'ecosistema Android, questo era il modo in cui funzionavano gli aggiornamenti ed era un grande punto dolente. Un po' come ordinare un hamburger sofisticato in un ristorante e poi dover aspettare mentre il proprietario del franchising e il cameriere aggiungono un sacco di condimenti strani e grossolani che non hai chiesto.

Le uniche persone a cui i loro smartphone Android non impiegavano un'eternità per ottenere aggiornamenti che spesso includevano anche software aggiuntivo erano i possessori di Google Nexus. Questi telefoni eseguivano Android vanilla e ricevevano aggiornamenti direttamente da Google senza aggiungere nulla. Il problema era che rappresentavano solo una piccola fetta della torta Android in continua espansione.

La frammentazione crea problemi di sicurezza

L'intera situazione era piuttosto grave per una serie di ragioni, una delle quali era la sicurezza. Ovviamente, non è bello se Google o Qualcomm hanno bisogno di correggere un bug di sicurezza più in alto nella catena alimentare, e poi devi aspettare altri mesi prima che venga effettivamente diffuso sulla maggior parte dei dispositivi.

Ciò è stato aggravato dalla natura di Android in quel momento e dall’atteggiamento dei produttori di telefoni in direzione aggiornamenti. Gli aggiornamenti software per i telefoni esistenti erano spesso visti come un lavoro di routine, quasi come se avessi fatto un errore dovevo crearne uno perché, beh, qualunque cosa tu stia correggendo o aggiungendo dovrebbe essere semplicemente nella ROM originale. Di conseguenza, il track record degli aggiornamenti di praticamente tutti nel mondo Android di allora era fondamentalmente di livello cassonetto per gli standard odierni. Le ammiraglie avrebbero ricevuto un importante aggiornamento del sistema operativo mesi dopo, se fossero state fortunate. Ancora peggio è che le patch di sicurezza non esistevano ancora.

Come se le cose non potessero andare peggio, praticamente tutte le app Android più importanti erano ancora integrate nel firmware a questo punto. Gli aggiornamenti del browser Web, ad esempio, dovrebbero essere inseriti in un OTA e attendere di essere certificati dal produttore e dall'operatore. Quindi, se nel codice del motore del browser emergeva una vulnerabilità, ad esempio da parte di Google, non c'era modo di ottenere correzioni diffuse su larga scala o rapidamente. Ciò significava che persone diverse sarebbero rimaste bloccate su versioni diverse con personalizzazioni diverse e diversi livelli di vulnerabilità a malware e altri malware. Quindi: frammentazione Android.

Vale la pena dire che iOS *non era affatto esente da problemi di sicurezza, specialmente durante le prime due generazioni di iPhone. La mancanza di un app store ufficiale è stata un grande incentivo per gli script kiddie e gli hacker white-hat ad aprire l'iPhone e fargli fare cose nuove ed entusiasmanti. Almeno uno dei modi principali per eseguire il jailbreak degli iPhone all'epoca prevedeva lo sfruttamento di un bug nel browser. Fondamentalmente, una pagina web potrebbe violare la sicurezza dell'iPhone originale.

La differenza era che Apple poteva colmare queste falle di sicurezza molto più rapidamente quando apparivano e lo faceva attraverso un sistema tanto fetta più ampia della base utenti. Non così sul lato Android.

Google era pessimo, ma ora Android è molto meglio

Tutto ciò era l'"inferno tossico" che Google avrebbe servito ai tempi delle versioni Android 4 e 5. Guardando indietro, con il senno di poi, è facile dire che Google avrebbe dovuto fare di più per mantenere il controllo su Android... oppure mettere in atto sistemi fin dall'inizio per aiutare gli aggiornamenti a fluire più liberamente e frequentemente.

Vale la pena ricordare, tuttavia, che quando Android fu sviluppato per la prima volta nel 2007, il mondo era un posto diverso. Gli smartphone che esistevano erano principalmente primitivi congegni per schiacciare la posta elettronica per gli uomini d'affari. I pagamenti mobili non erano neanche lontanamente una realtà. Uber non sarebbe stata fondata prima di due anni. L'umile retweet non esisteva nemmeno.

Il punto è che allora non era chiaro come, nel decennio successivo, si fossero svolte così tante attività quotidiane essenziali sarebbe legato al tuo telefono, né come diventerebbe un vero tesoro di informazioni personali preziose e hackerabili dati. A merito di Google, negli ultimi anni sono cambiate moltissime cose per rendere Android sostanzialmente più sicuro e fornire soluzioni di sicurezza più rapidamente a più persone. Ci sono una serie di ragioni per questo.

Ad esempio, Google Play Services è qualcosa che potresti aver visto aggiornarsi sul tuo telefono a cui forse non hai prestato molta attenzione. Tuttavia, in realtà è una parte estremamente importante del modo in cui Google mantiene Android sicuro e aiuta a portare nuove funzionalità da Android 13 al vecchio Galaxy S7 di tua nonna che non riceve un nuovo firmware da anni.

Nel caso di Play Services, è un'app di sistema, quindi ha un accesso privilegiato di livello A+ Platinum di primo livello a tutto ciò che è sul tuo telefono. Può fare molto di più di una normale app scaricata dal Play Store, ad esempio installare o eliminare altre app o persino cancellare da remoto il tuo dispositivo se viene smarrito o rubato.

Le app di sistema come Play Services devono essere caricate sul telefono dal produttore, ma una volta installate possono essere aggiornate automaticamente in background. Ciò significa che le nuove versioni possono aggiungere in modo sicuro nuove caratteristiche e funzionalità. E Play Services ha tentacoli in tutto il sistema operativo, motivo per cui, ad esempio, la funzione di selezione foto sicura di Android 13 potrebbe essere distribuito su telefoni che eseguono versioni molto precedenti del sistema operativo senza che sia necessario installare un nuovo firmware.

Play Services include anche Google Play Protect, la funzionalità antimalware a livello del sistema operativo Android che può bloccare le app dannose prima che vengano installate o rimuoverle se sono già presenti. L'altra cosa importante di Play Services è che supporta versioni assolutamente antiche di Android. Google in genere elimina il supporto per Play Services solo sulle versioni Android che hanno circa dieci anni. In questo momento, siamo nell'estate del 2023 e l'attuale versione di Play Services è supportata fino ad Android 4.4 KitKat del 2013. Quel pezzo di curiosità nerd apparentemente casuale è importante perché ti aiuta a rimanere ragionevolmente sicuro anche su versioni molto più vecchie di Android. Questo di per sé è una parte importante della strategia di sicurezza di Android.

È interessante notare che Play Services ha svolto un ruolo interessante nella risposta al COVID-19 di molti paesi in tutto il mondo. Un aggiornamento distribuito tramite Play Services ha permesso a Google di distribuire il sistema di notifica dell'esposizione sviluppato con Apple essenzialmente all'intera base di utenti Android in un colpo solo. Senza Play Services, questo tipo di impegno avrebbe richiesto mesi e non avrebbe raggiunto lo stesso numero di persone.

In effetti, è piuttosto folle pensare che gli sforzi di Google per correggere la frammentazione di Android quasi dieci anni prima siano probabili indirettamente ha finito per salvare parecchie vite durante la pandemia.

Panico da palcoscenico

Le app malware sono una cosa, ma esistono altri modi in cui i malintenzionati possono provare a prendere il controllo del tuo telefono o a rubare i tuoi dati. Gli exploit dei browser hanno rappresentato una parte importante di tutto ciò e ora sia il browser Chrome che il codice WebView per i contenuti web all'interno di altre app vengono aggiornati tramite il Play Store. In realtà, questo vale per tutta una serie di parti diverse di Android che una volta richiedevano un aggiornamento del firmware. Altri includono il combinatore telefonico Google, Messaggi Android e innumerevoli app dietro le quinte.

Quindi, supponiamo che oggi nel 2023 venga scoperto un brutto exploit del browser in cui una pagina Web dannosa potrebbe mandare in crash il tuo telefono o rubare le tue password o far sì che l'app Starbucks rovini il tuo ordine. Non importa quale versione di Android utilizzi, Google potrebbe inviare aggiornamenti tramite il Play Store coprendo sia Chrome stesso che qualsiasi altra app che visualizza contenuti web. Ai tempi del cosiddetto inferno tossico, l’implementazione della stessa soluzione avrebbe avuto bisogno di un aggiornamento completo del firmware per uscire a ogni telefono Android: molto più lavoro per molte più persone e ci sarebbero voluti mesi o addirittura anni invece di giorni.

Un altro tipo di exploit ha rappresentato una grande novità nel mondo della sicurezza Android nel 2015. Il bug "Stagefright" ha colpito la parte di Android che gestiva il rendering di immagini e video: una foto manomessa nel modo giusto poteva fare male al telefono. Questo era un grosso problema perché allora quel componente Stagefright non poteva essere aggiornato senza un aggiornamento completo del firmware. Ancora una volta: un sacco di lavoro extra, certificazione e attesa mentre potenzialmente l'equivalente digitale di un dipinto infestato potrebbe spalancare il tuo telefono in qualsiasi momento.

Le conseguenze di quello spaventoso allarme per la sicurezza Stagefright sono state duplici: in primo luogo, Google ha iniziato a rilasciare patch di sicurezza mensili per Android, legando il livello di sicurezza a una data specifica. Non solo, ma ha fatto sì che Google prendesse molto più seriamente la modularità di Android, quindi parti del sistema operativo come Stagefright potevano essere aggiornate tramite il Play Store senza bisogno di un aggiornamento completo del firmware.

Ancora oggi vengono rilasciate nuove patch di sicurezza Android ogni mese. E coprono anche le versioni precedenti del sistema operativo, non solo le più recenti, quindi anche se un telefono ha ancora Android 11 o 12, può comunque essere protetto. Generalmente, GooglePixel e le ammiraglie di Samsung ricevono per prime le patch di sicurezza, mentre altre come Motorola corrono faticosamente dietro al resto dell'ecosistema, rilasciando il minimo contrattuale di una patch a trimestre.

Questo è l'altro lato dell'equazione: Google ora richiede legalmente ai produttori di telefoni di impegnarsi a garantire un livello minimo di supporto se desiderano Android con i servizi Google sui propri dispositivi. Nel 2018, Il limite segnalato che Google impone due anni di patch di sicurezza, rilasciandole almeno una volta ogni 90 giorni

Oggigiorno, marchi famosi come Samsung e OnePlus promettono quattro anni di aggiornamenti del sistema operativo e cinque anni di patch di sicurezza, possibilmente con un certo incoraggiamento da parte di Google dietro le quinte.

Nonostante gli aggiornamenti escano molto più frequentemente al giorno d'oggi, richiedono ancora molto lavoro di progettazione, soprattutto quando si tratta di un aggiornamento importante, come una versione completamente nuova del sistema operativo. Android non assomiglia alla One UI di Samsung o al ColorOS di Oppo quando lascia la fabbrica di cioccolato di Google a Mountain View, giusto? E all'inizio, tu, come Samsung o Oppo, avresti dovuto incorporare tutta la nuova versione di Android nel tuo fork personalizzato della versione precedente. È un po' come provare a scambiare alcuni ingredienti una volta che un pasto è già cotto: finisci per dover quasi ricominciare da capo.

La soluzione di Google? Fondamentalmente, un piatto da portata televisivo: servi quel pasto in due sezioni diverse. Separi le personalizzazioni del produttore - tutto il materiale One UI o ColorOS - dal sistema operativo principale. Ciò significa che puoi aggiornarne uno più facilmente senza interferire con l'altro. L'intera impresa si chiama Project Treble e, anche se non puoi vederlo sul tuo telefono, potresti averlo notato come il dispositivo Android che possiedi oggi riceve gli aggiornamenti un po' più velocemente di quello che hai utilizzato sette o otto anni fa.

Oltre a ciò, Google ha iniziato a condividere le future versioni di Android con gli OEM molto prima. Quindi, nel momento in cui il primo sviluppatore prevede l'anteprima di Androide 14 erano pubblici, aziende come Samsung probabilmente avevano sbirciato dietro le quinte per un paio di mesi circa. Per quanto riguarda le patch di sicurezza, vengono condivise privatamente un mese prima per dare ai produttori un vantaggio.

Quindi, anche se tutto ciò va bene, le persone spesso tengono i telefoni per più di un paio d'anni. L’implementazione del nuovo firmware è ancora una quantità di lavoro non banale e questi ingegneri non lavorano gratuitamente. Linea principale del progetto nel 2019 ha reso Android stesso più modulare, con moduli software per cose come WiFi, Bluetooth, gestione dei contenuti multimediali e molto altro. Questi moduli possono quindi essere aggiornati direttamente da Google o dal produttore separatamente, senza la trafila di dover affrontare l'intero processo di aggiornamento del firmware.

Se hai mai visto un aggiornamento del sistema Google Play sul tuo telefono, ecco di cosa si tratta. Pensala in questo modo: se una lampadina si brucia in casa tua, ora puoi semplicemente cambiarla... mentre prima uscivi, bruciavi la tua casa e ne costruivi una nuova sopra.

Le protezioni di sicurezza sono molto migliori ora

I problemi legati alla sicurezza Android continuano a verificarsi, anche nel 2023. Ma la differenza oggi, rispetto ai tempi dell’inferno tossico, è che ci sono molti strumenti per neutralizzarli. Prendiamo ad esempio la vulnerabilità Stagefright del 2015. La parte di Android interessata da questo bug è oggi un modulo Project Mainline e si aggiorna facilmente fino ad Android 10 senza un aggiornamento completo del firmware.

Come altro esempio, nel 2014, il bug “Fake ID” potrebbe consentire a un’app dannosa di impersonificarne una con autorizzazioni speciali, esponendo potenzialmente i tuoi dati a un utente malintenzionato. Se qualcosa del genere accadesse oggi, Play Protect lo fermerebbe sul nascere e il bug sottostante potrebbe essere rapidamente eliminato in un aggiornamento Mainline del modulo runtime Android. Oltre a ciò, Google ha anche fatto molto riguardo alla crittografia e alla gestione della memoria per rendere più difficile fare qualcosa di utile con le future vulnerabilità di Android se e quando si presentano.

Nessun software è mai completamente sicuro. Gli exploit 0-day – ovvero vulnerabilità segrete e senza patch – esistono per tutti i sistemi operativi e vengono utilizzati dagli stati-nazione e venduti per ingenti somme sul mercato nero. Ci sono molti esempi recenti di individui di alto profilo presi di mira da malware spaventosamente sofisticati basati sui giorni 0: persone come Jeff Bezos, Emmanuel Macron e Liz Truss. Nel 2022, l’ex primo ministro britannico avrebbe dovuto continuare a cambiare numero di telefono dopo essere stato hackerato, presumibilmente da agenti russi. Alla fine, il suo dispositivo fu ritenuto così completamente compromesso da essere rinchiuso, fondamentalmente, nell'equivalente smartphone del sarcofago di Chernobyl.

Se ti stai chiedendo perché stava cambiando il suo numero di telefono, è possibile che il suo telefono sia stato preso di mira da qualcosa del genere Pegasus, lo spyware di fabbricazione israeliana che, secondo quanto riferito, può prendere il controllo dei dispositivi Android o iOS semplicemente avendone il telefono numero. Secondo quanto riferito, la Russia non utilizza spyware di produzione estera, ma è probabile che ne abbiano uno equivalente locale basato su simili exploit 0-day.

Tutto ciò dimostra che la sicurezza al 100% è un'illusione: è irraggiungibile, qualunque sia il dispositivo o il sistema operativo che utilizzi. Tuttavia, Android ha ben superato l'essere un "inferno tossico di vulnerabilità" nello stesso modo in cui avresti potuto sostenere che lo fosse dieci anni fa. È in una posizione molto migliore per affrontare le minacce alle varietà da giardino che potrebbero incontrare quelli di noi che non sono capi di governo o amministratori delegati di un’azienda da trilioni di dollari.

Inoltre, la persona media ha molte più probabilità di cadere vittima dell’ingegneria sociale o di qualche altra truffa invece di essere colpita dal malware basato sul telefono. Questo tipo di frode è in aumento in molti paesi e nel Regno Unito è aumentato del 25% tra il 2020 e il 2022, nella maggior parte dei casi riguardante l'uso improprio del computer. Con il miglioramento della sicurezza degli smartphone, si potrebbe dire che molti malintenzionati si stanno rendendo conto che in realtà è più semplice sfruttare il componente morbido e carnoso attaccato allo schermo: tu.