Le modifiche Android dei produttori di telefoni causano problemi di sicurezza

La natura aperta del sistema operativo Android di Google significa che i produttori possono aggiungere il proprio livello software al telefono, aiutandoli a distinguersi dalla massa con un aspetto e funzionalità diversi. Tuttavia, una nuova ricerca mostra che tale personalizzazione potrebbe anche essere responsabile di una serie di punti deboli della sicurezza che potrebbero rendere i telefoni più vulnerabili agli hacker.

Secondo uno studio condotto da ricercatori di informatica presso la North Carolina State University, le modifiche apportate dai produttori al software Android di serie sono state responsabili di oltre il 60 percento delle falle di sicurezza scoperte nei telefoni di diverse società di telefonia. UN carta (pdf) sull'opera è prevista per mercoledì alla Conferenza ACM sulla sicurezza informatica e delle comunicazioni a Berlino.

Siamo rimasti sorpresi dall'insicurezza generale, afferma uno degli autori, Xuxian Jiang , professore associato di informatica all'università, che si occupa di malware mobile. Jiang lo vede come un'indicazione che alcuni fornitori di telefoni non stanno prendendo abbastanza sul serio la sicurezza e che sentono una pressione costante per portare sul mercato nuove funzionalità software.

Nel loro studio, i ricercatori hanno esaminato 10 smartphone Android; cinque hanno eseguito variazioni della quarta generazione di software Android e cinque hanno utilizzato la seconda generazione (tra queste due, Google ha rilasciato una versione 3.2, nota anche come Honeycomb, destinata ai tablet). I ricercatori hanno testato un telefono con ciascuna delle due versioni Android di Samsung, HTC, LG e Sony, inclusi i famosi Samsung Galaxy S3 e HTC One X, nonché due telefoni con marchio Google (Nexus S e Nexus 4, realizzati da Samsung e LG, rispettivamente) che servivano principalmente come frame di riferimento, dal momento che non includono le stesse skin software personalizzate che si trovano su molti altri telefoni Android.

Per capire quali fossero le vulnerabilità della sicurezza e da dove provenissero, i ricercatori hanno prima separato le app caricate sugli smartphone in tre categorie, annotando quali provenivano dal progetto Open Source Android di Google, che sono state create o personalizzate dal produttore di smartphone, e che provenivano da programmatori esterni.

Hanno quindi esaminato i dati e le funzionalità che le app vogliono utilizzare, ad esempio la possibilità di accedere alle tue foto o comporre i numeri di telefono dei tuoi contatti, per capire quali app richiedevano autorizzazioni che non stavano effettivamente utilizzando. Le app con più autorizzazioni del necessario sono problematiche perché possono mettere dati personali come nomi utente e numeri di carte di credito a maggior rischio di essere compromesse se l'app viene violata.

I ricercatori hanno scoperto che l'86 percento delle app precaricate su questi smartphone richiedeva più permessi del necessario e la maggior parte delle cosiddette app con privilegi eccessivi erano state aggiunte dai produttori di smartphone come parte dei loro processi di personalizzazione. Poiché sono integrate con il sistema operativo a un livello basso, le app aggiunte dai produttori possono ottenere maggiori autorizzazioni di accesso rispetto a quelle create da sviluppatori di app esterni.

Marc Rogers, principale ricercatore di sicurezza presso la società di software di sicurezza mobile Lookout, afferma che il problema delle app con privilegi eccessivi è comune agli sviluppatori di app in generale, non solo ai fornitori specifici. Se guardi attraverso il mercato, ci sono alcune applicazioni che hanno questo problema in cui lo sviluppatore dell'app ha detto: 'Chiederò quante più autorizzazioni possibile nel caso ne avessi bisogno', dice.

I ricercatori hanno anche cercato problemi di sicurezza che potrebbero consentire alle app di agire come se avessero il permesso di fare cose per cui non sono autorizzati a fare o che potrebbero consentire alle app di condividere dati utente sensibili senza autorizzazione.

Nel complesso, i ricercatori hanno determinato che tra il 65 percento e l'85 percento delle 177 vulnerabilità di sicurezza sugli smartphone Samsung, HTC e LG provenivano da personalizzazioni del produttore; Il 38% dei 16 punti deboli riscontrati sugli smartphone Sony proveniva da quella fonte.

Rogers, che in passato ha visto le personalizzazioni dei fornitori produrre problemi di sicurezza (come uno derivato dalla personalizzazione di Samsung della schermata di blocco del Galaxy S3), afferma che, indipendentemente da dove hanno origine i problemi, qualsiasi modifica al software Android contribuisce alla frammentazione del sistema operativo e può introdurre vulnerabilità che non vengono monitorate da Google.

I ricercatori dello studio affermano di aver cercato di contattare i produttori di smartphone per informarli dei problemi di sicurezza riscontrati, ma non tutti hanno risposto. I produttori di smartphone e Google non hanno risposto alle richieste di commento su questa storia.

Tuttavia, Jiang spera che lo studio aiuterà i fornitori e gli utenti a riconoscere tali problemi di sicurezza. Si spera che la prossima generazione di telefoni diventerà molto più sicura, dice.

nascondere