Punti chiave
Quanto sono sicuri realmente i nostri smartphone? L’annuale conferenza CanSecWest di Vancouver ha fornito, per il 2014, risposte poco lusinghiere circa la sicurezza dei sistemi operativi mobile. Falle e criticità che potrebbero consentire ad hacker ed esperti informatici di penetrare le barriere erette a difesa dei nostri dispositivi, prendendo il pieno controllo del sistema. Un quadro allarmistico che non ha risparmiato nemmeno le aziende leader del mercato e i relativi prodotti di punta, vale a dire Google (Android Kit Kat 4.4), Apple (iOS 7) e Blackberry (OS 10).
iOS: il sistema cifrato, che fa un passo indietro
Il passaggio da iOS 6 a iOS 7 era stato caratterizzato da un corposo avanzamento in termini di sicurezza. Grazie al co-processore “Secure Enclave”, montato direttamente all’interno del chip A7, il kernel alla base del nuovo sistema operativo avrebbe dovuto presentare una protezione crittografica a prova di bomba, immune da un qualsiasi attacco hacker destinato a penetrare l’algoritmo di cifratura dati.
Al CanSecWest il ricercatore Tarjei Mandt della società di sicurezza informatica Azimuty Security ha tuttavia svelato la clamorosa falla: il sistema di generazione di numeri casuali alla base dell’algoritmo di cifratura di iOS7 non è così “casuale” come sembra. Al contrario, la creazione dei numeri sarebbe relativamente semplice da indovinare per un professionista di hacking, consentendogli di entrare in possesso delle chiavi di accesso al kernel e di conseguenza penetrare l’intero sistema operativo.
Nel dettaglio, il problema risiederebbe nel generatore di numeri casuali implementato da Apple nel proprio sistema operativo mobile. Il generatore presente in iOS 6 creava le chiavi di accesso basandosi sui valori numerici associati al processore. Valori estrapolabili da qualsiasi esperto informatico che, una volta rielaborati in fase sequenziale, potevano far risalire alle chiavi di accesso del kernel.
Il nuovo algoritmo, basato su un generatore lineare congruenziale, risulterebbe invece di ancor più semplice lettura basandosi su un algoritmo matematico molto vecchio e conosciuto, in grado di fornire risultati largamente prevedibili per gli esperti in materia e caratterizzati da maggior correlazione tra i valori generati.
Una falla importante che di fatto renderebbe iOS 7 assai meno sicuro del predecessore iOS 6, a detta dello stesso Mandt. Allo stato attuale Apple, aggiornata rispetto a questo grave problema, non ha ancora espresso alcuna nota ufficiale. Un vistoso passo indietro, se si pensa che sfruttando questa singola falla tutta la “catena di sicurezza” garantita attraverso la Secure Boot Chain può venire meno: uno dei punti di forza di iOS 7 era infatti rappresentato dalla rigida politica di firme digitali che, all’atto della fabbricazione, Apple va ad associare ai singoli componenti dei propri dispositivi (bootloader, kernel, etc.) per garantirne l’integrità evitando intrusioni. Una ferita al cuore del nuovo iOS per la quale si attendono i commenti ufficiali del colosso di Cupertino.
Android: gli aggiornamenti a singhiozzo, e non per tutti
Rispetto al concorrente Apple, Google ha dovuto modellare la nuova versione di Android KitKat per renderla compatibile con centinaia di dispositivi diversi immessi sul mercato, frutto delle politiche di marketing di decine di produttori diversi.
Un panorama così ricco e variegato ha inevitabilmente richiesto ai tecnici di Mountain View un enorme lavoro in termini di personalizzazione e, soprattutto, in termini di rilascio degli aggiornamenti. Con un così gran numero di smartphone e tablet presenti, ad esempio, il medesimo aggiornamento di sicurezza Android può essere rilasciato a settimane o addirittura mesi di distanza tra un dispositivo Samsung e uno Htc.
Con il rischio, per l’utente finale, di veder colmata una falla di sicurezza dopo mesi e mesi dalla sua scoperta. La frammentazione del sistema operativo Android, principale artefice del successo di questo prodotto made in Google, rischia quindi di trasformarsi contemporaneamente nel suo peggior difetto. L’allarme in questo caso è stato lanciato dai ricercatori Jon Oberheide e Collin Mulliner: se da un lato gli utenti di Google Chrome sono soliti ricevere gli aggiornamenti nell’arco di 24 ore dal loro rilascio, per gli utilizzatori di Android gli aggiornamenti possono avvenire nell’arco di mesi o addirittura dopo un anno. Una politica che vale soprattutto per i possessori di dispositivi con qualche anno di vita alle spalle, per i quali gli aggiornamenti diventano progressivamente meno frequenti invogliandoli ad acquistare i nuovi modelli di punta equipaggiati con sistemi operativi aggiornati.
Una criticità difficile da sanare, a detta dei ricercatori, soprattutto per la politica di Android che non consentirebbe aggiornamenti parziali dell’architettura dei propri sistemi operativi, soprattutto per quanto concerne il sistema di verifica delle firme digitali implementato su Android Kit Kat denominato Master Key. In mancanza di aggiornamenti continui di sicurezza, in conclusione, ogni dispositivo Android si presenta a rischio di attacchi informatici.
Una possibile soluzione, a detta di Mulliner, risiede nella App ReKey, progettata dalla Northeastern University Systems Security Lab in collaborazione con Duo Security. Il software, eseguibile solo su dispositivi con permessi di root, consente di correggere con determinate patch le vulnerabilità del Master Key a pochi giorni dalla loro uscita, evitando le lunghe attese nel rilascio delle patch “ufficiali” da parte delle case produttrici di smartphone e tablet.
BlackBerry: con OS 10 i permessi sono un problema
L’avvento della nuova generazione BlackBerry 10 ha senza dubbio segnato un passo in avanti in termini di sicurezza di sistema, beneficiando dell’apporto tecnologico fornito da QNX.
Il nuovo binomio, tuttavia, se da un lato sembrerebbe aver colmato alcune lacune del “vecchio” sistema operativo, dall’altro ha introdotto una nuova serie di problematiche. Una delle principali criticità di BlackBerry 10 è rappresentata dalla gestione dei permessi.
Alcuni di questi, in determinati casi, consentirebbero a chiunque di accedere al dispositivo attraverso internet sfruttando i programmi BlackBerry. Analogamente, qualsiasi applicazione installata potrebbe sfruttare questa falla per creare connessioni sulla Rete tra il telefono e soggetti terzi.
Bug e vulnerabilità minori, inoltre, sembrerebbero essere state ereditate del “vecchio” sistema Blackberry. Per tali ragioni, a detta dei ricercatori intervenuti alla CanSecWest, BlackBerry 10 presenta ancora importanti lacune in termini di sicurezza, al pari dei suoi diretti concorrenti sul mercato mobile.