211service.com
Comportamento scorretto dell'app mobile Android
Le vulnerabilità della sicurezza e lo spyware sono ora un problema serio per gli utenti di smartphone.
serpente di Troia: Un'app Android chiamata Tap Snake si pone come un gioco innocente, ma può essere utilizzata per tracciare utenti inconsapevoli tramite GPS. Questa schermata mostra le autorizzazioni necessarie.
A luglio, ad esempio, Citigroup ha annunciato che il suo programma di mobile banking per iPhone salvava in modo inappropriato le informazioni riservate, inclusi i numeri di conto dell'utente e il relativo PIN, non crittografate in un file nascosto a cui potevano accedere altri programmi in esecuzione sull'iPhone dell'utente. I numeri di conto e il PIN sono stati copiati anche sul computer desktop dell'utente quando l'iPhone è stato sincronizzato.
Le cose vanno un po' meglio sulla piattaforma Android di Google grazie al modello di sicurezza sottostante del sistema operativo. Le applicazioni iPhone hanno pieno accesso ai dati di ogni app. Ma le applicazioni Android devono specificare di quali autorizzazioni hanno bisogno. Le autorizzazioni possono includere la possibilità di accedere alle voci nella rubrica dell'utente, di determinare la posizione di un dispositivo utilizzando il GPS e di effettuare chiamate. I permessi si trovano in un file speciale e vengono mostrati al momento dell'installazione dell'applicazione; sono visibili anche nel pannello di controllo dell'Applicazione Android. Android attualmente supporta 114 autorizzazioni diverse, che puoi vedere su sito web dello sviluppatore .
Il sistema di autorizzazioni di Android non impedisce alle app di rubare i tuoi dati o di eseguire altre azioni dannose: semplifica semplicemente l'individuazione delle app coinvolte in questa pratica. Ma sta diventando sempre più chiaro che questo non è sempre sufficiente.
Lo scorso luglio, ad esempio, i ricercatori hanno scoperto che un programma gratuito di sfondi per Android chiamato Jackeey raccoglieva informazioni personali, inclusi i numeri di telefono dell'utente, le informazioni sulla posta vocale e i dati dell'operatore, e le inviava a un sito Web in Cina. Poi ad agosto si è scoperto che un gioco gratuito chiamato Tap Snake è in realtà uno strumento per monitorare di nascosto la posizione di una persona. Tap Snake viene eseguito come servizio in background e invia la posizione di un telefono a un sito Web; la persona che ha installato il gioco su quel telefono potrebbe quindi monitorare la posizione del telefono con un altro programma chiamato GPS Spy.
Tap Snake non viola il modello di sicurezza di Android: il programma richiede la capacità di funzionare come servizio, monitorare la posizione GPS e comunicare su Internet. Ma ci sono due problemi con il modello di sicurezza Android. Il primo è la granularità: sebbene i programmi Android siano tenuti a comunicare all'utente quali autorizzazioni utilizzano, ciò non spiega cosa fanno effettivamente le app con queste autorizzazioni. Il secondo problema è il coinvolgimento: il modello richiede che qualcuno utilizzi queste informazioni e si assuma la responsabilità della sicurezza dell'utente.
Una recensione di alcune app Android evidenzia questo problema. Qualche settimana fa mi è stata consigliata un'applicazione chiamata Rare Black Wallpapers per risparmiare la carica della batteria. Ho notato che l'app richiedeva la possibilità di modificare o eliminare i contenuti della scheda SD, l'accesso completo a Internet e la capacità di leggere lo stato e l'identità del mio telefono. Sorpreso, ho inviato un'e-mail a Hero Planet, la società che fornisce questa applicazione, e ho chiesto loro perché fossero necessarie queste autorizzazioni. Hero Planet non ha mai risposto, quindi ho disinstallato il programma.
Allo stesso modo, il programma Salamander eBook Reader per Android richiede le autorizzazioni per determinare la tua posizione fisica, ottenere l'accesso completo a Internet e leggere lo stato e l'identità del telefono. Ho inviato un'e-mail a Feel Social, l'editore, ma non ho ricevuto risposta. Il sito web di Feel Social sembra essere stato abbandonato e nessuno ha risposto al telefono dell'azienda quando ho chiamato. Ma l'app è ancora nel Google Marketplace; cosa fa quell'app con le mie informazioni GPS e l'accesso completo alla rete? L'ho anche disinstallato.
Un altro programma che richiede più autorizzazioni di quelle che ritenevo appropriate è Documents to Go, un programma che mi consente di leggere i file di Microsoft Office con il mio telefono Android. Questo programma richiede non solo la capacità di leggere e scrivere sulla scheda SD del telefono, ma anche l'accesso completo a Internet e la capacità di leggere lo stato e l'identità del telefono. Si avvia anche automaticamente all'avvio del telefono. Ho inviato un'e-mail a DataViz, il creatore del programma, e questa volta ho ricevuto una risposta.
Laura Caiafa, responsabile del supporto tecnico di DataViz, mi ha risposto dicendomi che Documents to Go su Android richiede la capacità di leggere l'identità del telefono perché collega le registrazioni del prodotto al numero IMEI/MEID del telefono (una sorta di numero di serie). Inoltre, controlliamo lo stato della rete del telefono per il roaming prima di consentire all'utente di registrarsi, che richiede anche questa autorizzazione.
È necessario l'accesso completo a Internet per registrare l'applicazione (cosa che Documents to Go fa direttamente, anziché tramite il browser Web). Infine, il programma avvia l'installazione all'accensione del telefono.
Un problema con questo approccio di indagine manuale è che richiede molto tempo. Un secondo problema è che non puoi sapere cosa sta facendo il telefono con queste autorizzazioni: sta inviando i miei dati riservati a truffatori, sta usando la mia posizione e l'accesso a Internet per mostrarmi annunci pubblicitari basati sulla posizione o sta solo registrando il mio applicazione in modo da poter ottenere aggiornamenti gratuiti?
Una soluzione funzionante a questo problema sarà presentata mercoledì al Simposio Usenix sulla progettazione e implementazione dei sistemi operativi (OSDI) a Vancouver, Canada. Chiamato TaintDroid, il programma utilizza un approccio chiamato etichettatura dei dati o contaminazione per monitorare il flusso di informazioni personali attraverso un telefono Android in esecuzione.
Sviluppato dai ricercatori della Pennsylvania State University, Duke University e Intel Labs, TaintDroid è stato progettato per analizzare 30 diverse applicazioni Android. I ricercatori hanno fatto alcune scoperte molto interessanti. Ad esempio, sebbene 21 delle 30 applicazioni richiedessero l'autorizzazione per leggere lo stato del telefono e l'autorizzazione per comunicare su Internet, solo due delle applicazioni hanno effettivamente trasmesso il numero di telefono o il codice univoco del dispositivo al server remoto. Uno di questi trasmette le informazioni ogni volta che il telefono si avvia, consentendo allo sviluppatore di sapere su quanti telefoni è attualmente installata l'app, ma violando anche la privacy di ciascun utente in modo piuttosto significativo.
I ricercatori scrivono nel loro articolo che metà delle applicazioni che hanno monitorato ha trasmesso i dati sulla posizione dell'utente a server pubblicitari di terze parti senza richiedere il consenso implicito o esplicito dell'utente, ovvero senza divulgare questo fatto nel contratto di licenza con l'utente finale dell'applicazione. In alcuni casi, i dati sulla posizione sono stati trasmessi ai server pubblicitari anche quando nell'applicazione non è stata visualizzata alcuna pubblicità. Puoi scaricare il paper dal sito dei ricercatori sito web .
Alcuni commentatori potrebbero obiettare che il documento OSDI è un'ulteriore prova che la politica di Apple di controllare manualmente ogni applicazione nel suo app store è superiore alla politica di Android. La verità è che non sappiamo quante app nascoste nell'App Store di Apple rubano informazioni personali perché non esiste un modo semplice per controllare le capacità dei programmi disponibili per il download. Il processo di revisione di Apple non valuta il codice sorgente dell'applicazione, quindi sarebbe possibile che uno sviluppatore malintenzionato (o anche un singolo programmatore all'interno di una società di sviluppo di app) introduca qualcosa di nascosto. Almeno con Android, il sistema operativo cerca di impedire alle app di accedere ai dati reciproci e di utilizzare Internet a meno che non richiedano tale autorizzazione.
Un altro fattore a favore di Android è l'uso del sistema operativo Linux, per il quale è disponibile tutto il codice sorgente. I ricercatori di Penn State, Duke e Intel potrebbero sviluppare TaintDroid perché è relativamente facile entrare nel cofano di Android e installare le funzionalità necessarie. Anche se potrebbe essere possibile ottenere gli stessi risultati su iPhone, il processo di reverse engineering sarebbe drammaticamente più difficile.
Ma le informazioni sul cattivo comportamento delle app non saranno sufficienti per fornire sicurezza agli utenti Android. Gli utenti semplicemente non hanno la vigilanza e la conoscenza per utilizzare le informazioni fornite da Android. A meno che Google non stabilisca politiche per proteggere la privacy dei suoi utenti mobili, Android sarà sempre più visto come un sistema afflitto da problemi di sicurezza, anche se la vera ragione di ciò è che abbiamo un'idea migliore di ciò che sta accadendo su Android che sul altre piattaforme di smartphone.