Quest'anno l'estate è davvero bollente. Non solo per noi...
In questi giorni, ed in generale durante tutto il corso del 2015, si è tornati a parlare con forza di sicurezza in ambito informatico.
Cosa buona e giusta ovviamente, ma come al solito ce se ne ricorda sempre e solo in concomitanza di una serie di sventurati eventi.
Le vulnerabilità nel software sono sempre esistite e ve ne saranno sempre di nuove (purtroppo): è una immancabile caratteristica dei programmi stessi. È implicito, è inevitabile.
Alcuni bug sono meno gravi di altri: possono portare a malfunzionamenti di una determinata applicazione, o a difficoltà di scambio dati tra di esse.
Altri sono, invece, decisamente più minacciosi: dalla perdita di informazioni non salvate, all'accesso non autorizzato ai nostri documenti.
E visto che i nostri dati più importanti si stanno spostando dai vecchi PC ai nuovi smart-phone (e dai dischi fissi al cloud/web) non è difficile immaginare il crescente interesse dei malintenzionati verso questi nuovi dispositivi.
Android è il sistema operativo mobile più diffuso al mondo, e considerando l'alta interazione che abbiamo con i nostri cellulari/tablet (e quant'altro), e che in molte parti del mondo telefonini ed affini stiano diventando la scelta privilegiata per l'accesso alla rete, probabilmente quello del robottino verde è anche il sistema operativo più utilizzato in generale.
Avrete sicuramente sentito parlare di Stagefright, solo l'ultima tra le vulnerabilità (che colpisce più dell'80% dei dispositivi immessi sul mercato!) saltate fuori nelle scorse settimane e relativa all'OS di BigG.
Collegata al mondo degli MMS, alla semplice ricezione di un messaggio malevolo rischia di mettere a disposizione del malintenzionato di turno tutti i vostri dati salvati sul telefono. Proteggetevi!
Discorso simile per il Certifi-gate.
Se Android è perciò il sistema più diffuso e più utilizzato, esso è anche il più vulnerabile e preso di mira dai cattivoni.
Ma perché è così bucherellato?
Quando Google acquisì Android.inc (e ciò che l'azienda stava sviluppando) aveva la necessità che il sistema operativo si diffondesse a macchia d'olio nel più breve tempo possibile. E l'unico modo per ottenerlo era quello di aprire alla personalizzazione totale da parte di OEM ed operatori telefonici.
Chiunque avrebbe potuto modificarne non solo l'aspetto esteriore (temi, icone o sfondi) o anche la suite di applicazioni preinstallate (il bloatware a cui siamo abituati a convivere da sempre).
Ma, addirittura, ciascun produttore o carrier avrebbe potuto modificare qualsiasi parte dell'OS stesso, ad ogni livello.
Quella scelta ha permesso un'esplosione nell'adozione, fino a far diventare il sistema operativo ciò che è oggi. Ma allo stesso tempo ne ha causato una frammentazione enorme.
Tralasciando le percentuali di diffusione di ogni versione finora rilasciata ed ancora in uso (Jelly Bean, Kit Kat o Lollipop, giusto per citarne qualcuna), quando viene scoperto un problema nel codice e Google ne crea un fix, quest'ultimo è distribuito alle varie aziende partner e a loro è demandato l'onere di aggiornare i propri prodotti afflitti.
Che succede a questo punto?
Operatori telefonici e produttori OEM non hanno il ben che minimo interesse a seguire/proseguire il costoso mantenimento di prodotti non più commercializzati e/o non più fruttuosi.
E BigG non ha alcuna arma per intervenire direttamente.
Se è vero che -pian pianino- a Mountain View stanno riprendendo il controllo della propria creatura (per motivi slegati o non direttamente connessi a quello della sicurezza), disaccoppiando il più possibile servizi, applicazioni e molte delle API dal core dell'OS, è anche vero che non tutti i bachi possono essere risolti senza aggiornare lo strato sottostante.
Ed è proprio in questi casi che l'assenza di un controllo centralizzato sul cuore dell'OS si fa sentire e crea disagi.
Google ha annunciato un nuovo processo che garantirà patch mensili ai possessori dei dispositivi nexus, proprio in riferimento alle questioni di sicurezza. Ed altri grandi produttori, come Samsung ed LG si sono uniti al coro, affermando di essere al lavoro con i vari carrier in tutto il mondo per cercare di velocizzare quei processi di approvazione degli aggiornamenti stessi (per lo meno per alcuni modelli) che fino ad oggi hanno reso l'ecosistema così disomogeneo.
Ciò non toglie, però, che non tutti gli smart-phone saranno aggiornati, e soprattutto non lo saranno quelli meno remunerativi cioè la maggioranza dei telefonini che vengono acquistati dalle masse...
Se Google vuole risolvere il problema alla radice deve guardare al vecchio mondo dei personal computer. Lì le cose funzionano decisamente molto meglio: ad esempio Microsoft permette agli OEM di personalizzare lo strato superiore al core, ma tiene saldo il controllo sulla parte sottostante e su di essa può agire all'occorrenza, mantenendo così aggiornato un qualcosa come un rispettabilissimo 85% della propria base di utenza.
Google e partner, con le ultime mosse, riusciranno a coprire -forse- il 5-10% dei propri utenti...
Questo non significa assolutamente che BigG debba puntare al closed-source (anche se in molti casi è proprio in quella direzione che si sta muovendo), ma a creare dei paletti oltre i quali i partner non possano spingersi. Ed il disaccoppiamento di app e servizi va nella giusta direzione, ma ad esso sarebbe il caso di aggiungere una strato di hooks (punti di connessione) a cui chi voglia personalizzare l'esperienza possa agganciarsi.
Lock-screen, status e navigation bar, menu di sistema, sezione delle impostazioni e quant'altro: ogni parte che compone l'OS dovrebbe essere più modulare e consentire la modifica da parte di terzi senza che essi abbiano la necessità di andare ad infastidire il sottosuolo.
Gli aggiornamenti firmware in questo caso diminuirebbero, diventerebbero slegati al 100% dallo strato superiore, potrebbero essere centralizzati e sicuramente ridurrebbero il rischio per gli utenti di rimanere scoperti nel caso di attacchi come quelli di cui si sta parlando incessantemente.
EDIT: Google ha annunciato la creazione di un gruppo chiamato Android Security Updates Google Group che avrà lo scopo di fornire maggiori informazioni sui bollettini e sui problemi legati alla sicurezza in Android, ovviamente solo per la serie nexus.
Un primo passo certo, ma sicuramente non la soluzione definitiva ai tutti i mali...
E la cosa si fa ancora più seria se si parla del mondo del lavoro.
Un settore in cui -da sempre- Android fa fatica a farsi strada è quello dell'enterprise. Lì la sicurezza conta davvero (non che nel ramo consumer sia secondaria, sia chiaro!), ed i recenti sopracitati problemini verificatesi proprio in concomitanza con il lancio della suite Android for Work non fanno bene all'immagine che il gigante americano vorrebbe dare al proprio figlioletto prediletto.
Il mondo delle aziende, un tempo dominato da BlackBerry, sta incessantemente virando verso la gabbia dorata di Apple, la quale in qualche modo sembra assicurare (almeno in apparenza) più certezze alle esigenti menti del business. Se non altro lì il controllo è assolutamente centralizzato e la base di utenza è praticamente tutta coperta (iOS9 e future patch arriveranno addirittura sull'iPhone 4S e l'iPad2 usciti nel lontano 2011!).
E forse sarà per questo motivo che Google e BlackBerry negli ultimi mesi sembrano essere più amiche che mai: leak di dispositivi della mora con l'OS di BigG, accordi con Samsung per portare la suite Knox sotto BES, la creazione del portale AndroidSecured, e così via.
L'ultima carta da giocare per i due brand?
Forse: Google al fine di avvicinare seriamente il mondo dell'enterprise a sé, e BlackBerry per restare a galla nel sempre più affollato e competitivo oceano del mobile.
Ma Android è davvero così insicuro?
Non sembrano pensarlo diversi produttori che partendo dall'AOSP stanno creando dei fork del robottino verde rivolti proprio a potenziarne la sicurezza.
BlackPhone, TuringPhone e GranitePhone: sono solo alcune delle proposte che arriveranno nel corso dell'autunno con soluzioni pensate per aumentare le difese di Android.
Anche se principalmente lato privacy: del resto lo sviluppo e la correzione di bug a livello core rimane nelle mani di Google (con al più l'intervento da parte dell'AOHA) e, come visto prima, non sono convinto che per come si siano messe le cose finora essa sia la strada migliore da percorrere.
Altri player da poco entrati nel mercato, come jolla o canonical, stanno proponendo soluzioni differenti per i loro sistemi operativi (Sailfish ed Ubuntu nello specifico): il core centrale non deve essere modificabile dagli OEM, i quali possono agire solo entro certi limiti che possano in ogni caso garantire loro sufficiente personalizzazione.
Questa strada mi sembra molto più fruttuosa, tant'è che canonical ad esempio riesce a tenere aggiornati senza problemi 3 dispositivi prodotti da 2 aziende differenti in contemporanea, con rilasci cadenzati ogni 4-5 o 6 settimane (decisamente più frequenti rispetto a quelli di Google!).
Ed essi sono tutti distribuiti in modo centralizzato dopo che i vari partner abbiano approvato e/o contribuito alle piccole modifiche del caso (se necessarie).
Sicuramente la situazione è molto più gestibile rispetto al panorama di oltre 24.000 modelli stimati che montano Android, ma è proprio l'approccio alla base ad essere differente.
Microsoft, con un ecosistema in qualche modo paragonabile (in proporzione) a quello di Google, riesce più o meno a gestire tutto centralmente ed ha tanti prodotti legati al mondo Windows Phone!
Mozilla, al contrario, sta seguendo le orme di Google ed infatti non tutti i telefoni godono dello stesso favore. Speriamo che assieme ai buoni propositi di cambiamento previsti per il prossimo futuro ce ne sia qualcuno relativo anche a tale aspetto.
Insomma, il mobile è diventato il primo veicolo per l'accesso ad Internet e con esso il contenitore dei nostri dati personali. Malintenzionati da tutto il mondo sono, perciò, sempre più interessati ad attaccarlo, ed i sistemi operativi che lo guidano diventano ogni giorno più complessi e ricchi di funzionalità.
Ma con esse (e dietro la corsa alla primato) la probabilità della presenza di buchi aumenta, con conseguente pericolo per la sicurezza delle informazioni private.
Richiedere maggiore attenzione a questi aspetti è per me un diritto di ognuno di tutti, che dobbiamo reclamare con forza.
E voi vi fidate del vostro produttore? Siete convinti che il fornitore dell'OS che muove il/i vostro/i dispositivo/i stia facendo tutto il possibile per mantenere al sicuro i vostri dati?
Fatemi sapere che cosa ne pensate nei commenti!
A presto.