[OT] Mobile security su Android. Ovvero, fino a che punto siamo sicuri di essere al sicuro?

Ne avevo accennato qualche giorno fa ad Arrubiu, nell'ambito di una discussione sulla sicurezza delle OTP gestite con le app.
Segnalo il video di una presentazione che tratta il problema dei vari livelli di vulnerabilità degli smartphone e, in particolare, un dato statistico preoccupante nel senso che circa il 50% degli smartphone connessi in Italia è vulnerabile anche ai livelli più accessibili.

Il video: https://www.youtube.com/watch?v=eq9UnB-xkCs&list=PLjFwLdXy9N1O9Z0OgAFsIYFeMTOPbNC2R&index=7&t=0s

Chi fosse interessato alla slideshow può scaricarla da qui: http://linuxday.gulch.it/slides/2018/sanna_MobileSecurity_LinuxDay2018.pdf

Ovviamente le parti strettamente tecniche sono indirizzate ad un target di competenti (fondamentalmente sviluppatori di software per android), ma l'intera presentazione è accessibile a chiunque soprattutto per trasmettere la consapevolezza di come piccole e apparenti azioni quotidiane possano farci tranquillamente passare in un'insidia nascosta.

Molto interessante, grazie mille.
Appena posao guardo tutto:)

Grazie per la segnalazione della risorsa.
I problemi di sicurezza sono noti ma la vera emergenza è la faciloneria nell’uso degli strumenti da parte delle persone. Gli studi sulla pericolosità  degli smartphone per accessi a vari account o servizi vengono di solito letti da chi non li usa. Gli altri, per pigrizia o incoscienza cambia poco, adottano una gestione dello strumento e dei dati che definire allegra è un puro eufemismo. Da quello che ho verificato (coordino un gruppo di aggiornamento nella mia scuola) la stragrande maggioranza accede a qualsiasi cosa con lo smartphone, salvando tranquillamente le credenziali.
Non mi preoccupa tanto il “suicidio digitale di massa” dei colleghi quanto il fatto che come insegnanti, volenti o nolenti, sono, o almeno dovrebbero essere, un modello per le future generazioni. E quando mi chiedono, sorpresi, perché non ho sullo smartphone X o Y rispondo – Ottima domanda! Ora prova a cercare la risposta -
Questi motivi sono più che sufficienti per definire folle qualsiasi iniziativa che promuove lo smartphone come strumento didattico.
Anche rootare l’attrezzo e sovrascrivere il firmware, opzione preferibile, comporta l’uso di software difficilmente verificabile.
La comunità di linux forse non si è occupata abbastanza di questi dispositivi, magari sottovalutandone la diffusione o i futuri utilizzi. E’ una beffa vedere il kernel linux utilizzato in questo modo, visto che android è sulla stragrande maggioranza di smartphone e tablet.

fischietto ha scritto:La comunità di linux forse non si è occupata abbastanza di questi dispositivi, magari sottovalutandone la diffusione o i futuri utilizzi. E’ una beffa vedere il kernel linux utilizzato in questo modo, visto che android è sulla stragrande maggioranza di smartphone e tablet.

A dire il vero la comunità di linux è più versatile di quanto appaia. Gli stessi Linux Day, ormai, vertono più sull'ITC in generale che su Linux sensu stricto. Per fare un esempio, nel LD 2018 che si è tenuto a Cagliari si è parlato di bitcoin, android, intelligenza artificiale, argomenti che con Linux hanno una relazione solo marginale.
È una tendenza sempre più marcata al punto che ormai si sta mettendo in discussione l'opportunità di chiudere con l'iniziativa del Linux Day per dirottarla su un tema più ampio.

Per quanto concerne la questione della beffa, devo fare un rilievo. Il kernel Linux è open source e nulla vieta che possa essere riciclato in altri progetti che poco hanno a che fare con la filosofia del software libero. Android ne è un esempio. Tuttavia non diamo la colpa ad Android per l'uso che ha fatto del kernel. Qualsiasi sistema operativo (libero o non) riscuote sempre l'interesse dei malintenzionati quando raggiunge alti livelli di diffusione. La maggiore "solidità" (le virgolette sono d'obbligo) di un sistema Linux risiede anche nel fatto che, essendo meno diffuso nei dispositivi convenzionali (computer e laptop), offre meno stimoli a chi cerca vulnerabilità nel mucchio. È anche questo un motivo per cui un sistema Windows è più bersagliato dagli attacchi informatici di altri sistemi, soprattutto per i client. Ciò non toglie che anche un sistema Linux possa essere bersaglio di attacchi informatici se amministrato alla volemose bene.

Poi si può anche parlare della potenzialità omeostatica dell'architettura di un sistema operativo, ma è un altro discorso. Se Android presenta molte vulnerabilità è perché catalizza maggiormente l'interesse per la ricerca di vulnerabilità in quanto probabilmente è diventato (o sta diventando) il sistema operativo più installato nei dispositivi client connessi ad Internet.

[quote="Tiria"]


Per quanto concerne la questione della beffa, devo fare un rilievo. Il kernel Linux è open source e nulla vieta che possa essere riciclato in altri progetti che poco hanno a che fare con la filosofia del software libero. Android ne è un esempio. Tuttavia non diamo la colpa ad Android per l'uso che ha fatto del kernel.


E' ovvio che Google abbia fatto, con android, un'operazione commerciale lecita. Era prevedibile anche l'accordo con i produttori, ma mentre dal lato PC le alternative a windows esistono e sono facilmente reperibili ed usabili dall'utenza, per quanto riguarda smartphone e tablet la situazione è diversa. Non ho visto molti progetti...malgrado la base di android sia targata linux.

https://www.fastweb.it/web-e-digital/app-android-vulnerabili-agli-attacchi-man-in-the-disk/

https://www.androidworld.it/2017/07/01/lenovo-vulnerabilita-vibe-lollipop-487372/

cosa pensate di questa?

https://weople.space/

(157)

Per quanto riguarda il secondo link non acquisterei un prodotto con quel marchio e lo sconsiglio a tutti. Prima ancora di farsi hackerare da "terzi" bisogna fare i conti con il loro firmware...c'è già stato uno scandalo enorme, in Italia non ne hanno parlato molto, per i bootkit inseriti nei loro bios...



Il terzo mi sembra un esperimento biologico di massa.

fischietto ha scritto:Per quanto riguarda il secondo link non acquisterei un prodotto con quel marchio e lo sconsiglio a tutti. Prima ancora di farsi hackerare da "terzi" bisogna fare i conti con il loro firmware...c'è già stato uno scandalo enorme, in Italia non ne hanno parlato molto, per i bootkit inseriti nei loro bios...

Va comunque detto che le versioni di Android implementano di volta in volta nuove specifiche di sicurezza. Le vecchie versioni sono perciò più vulnerabili delle più recenti. Chi ha una versione Lollipop rientra in quel circa 50% di smartphone italiani connessi a rischio di attacchi di facile realizzazione.
Per quanto riguarda l'affidabilità dei marchi poco posso dire, ma proprio poco tempo fa mi è capitato di leggere di una sanzione comminata ad Apple e a Samsung proprio per le schifezze del loro firmware finalizzate a costringere l'utente a fare un upgrade del dispositivo.

Il terzo mi sembra un esperimento biologico di massa.

Ma che roba è? Mah... preferisco mantenere tutta la mia roba in casa, a parte i soldi nel conto corrente.

fischietto ha scritto:E' ovvio che Google abbia fatto, con android, un'operazione commerciale lecita. Era prevedibile anche l'accordo con i produttori, ma mentre dal lato PC le alternative a windows esistono e sono facilmente reperibili ed usabili dall'utenza, per quanto riguarda smartphone e tablet la situazione è diversa. Non ho visto molti progetti...malgrado la base di android sia targata linux.

Questo è un rilievo interessante, ma dal momento che i fork sono fenomeni alquanto diffusi nel mondo del software libero c'è da chiedersi se non ci siano difficoltà strutturali nello sviluppo, come ad esempio la compatibilità con l'hardware. O forse i tempi sono prematuri. Un po' come quello che è successo con pc e laptop: negli anni 90 e un po' anche negli anni duemila si incontravano spesso difficoltà nella compatibilità o nell'ottimizzazione del kernel e dei driver per un numero elevato di componenti e soprattutto periferiche a causa dell'impossibilità di accesso alle specifiche dell'hardware. Nel tempo le cose sono decisamente migliorate e oggi difficilmente si riscontrano gravi deficit di compatibilità tra un'installazione Linux e l'hardware. Può darsi che si stia riscontrando lo stesso problema per i dispositivi mobile, il cui ritmo di innovazione è sicuramente più intenso dei dispositivi tradizionali. Quando un produttore non rilascia le specifiche, lo sviluppo dei driver procede per tentativi e non credo sia una cosa facile. A maggior ragione se la tecnologia dei dispositivi si innova con grande velocità.

Tiria ha scritto:

fischietto ha scritto:E' ovvio che Google abbia fatto, con android, un'operazione commerciale lecita. Era prevedibile anche l'accordo con i produttori, ma mentre dal lato PC le alternative a windows esistono e sono facilmente reperibili ed usabili dall'utenza, per quanto riguarda smartphone e tablet la situazione è diversa. Non ho visto molti progetti...malgrado la base di android sia targata linux.

Questo è un rilievo interessante, ma dal momento che i fork sono fenomeni alquanto diffusi nel mondo del software libero c'è da chiedersi se non ci siano difficoltà strutturali nello sviluppo, come ad esempio la compatibilità con l'hardware. O forse i tempi sono prematuri. Un po' come quello che è successo con pc e laptop: negli anni 90 e un po' anche negli anni duemila si incontravano spesso difficoltà nella compatibilità o nell'ottimizzazione del kernel e dei driver per un numero elevato di componenti e soprattutto periferiche a causa dell'impossibilità di accesso alle specifiche dell'hardware. Nel tempo le cose sono decisamente migliorate e oggi difficilmente si riscontrano gravi deficit di compatibilità tra un'installazione Linux e l'hardware. Può darsi che si stia riscontrando lo stesso problema per i dispositivi mobile, il cui ritmo di innovazione è sicuramente più intenso dei dispositivi tradizionali. Quando un produttore non rilascia le specifiche, lo sviluppo dei driver procede per tentativi e non credo sia una cosa facile. A maggior ragione se la tecnologia dei dispositivi si innova con grande velocità.

Tiria, non stai prendendo in considerazione le stampanti usb o gli scanner, vero?:D

arrubiu ha scritto:

Tiria ha scritto:

fischietto ha scritto:E' ovvio che Google abbia fatto, con android, un'operazione commerciale lecita. Era prevedibile anche l'accordo con i produttori, ma mentre dal lato PC le alternative a windows esistono e sono facilmente reperibili ed usabili dall'utenza, per quanto riguarda smartphone e tablet la situazione è diversa. Non ho visto molti progetti...malgrado la base di android sia targata linux.

Questo è un rilievo interessante, ma dal momento che i fork sono fenomeni alquanto diffusi nel mondo del software libero c'è da chiedersi se non ci siano difficoltà strutturali nello sviluppo, come ad esempio la compatibilità con l'hardware. O forse i tempi sono prematuri. Un po' come quello che è successo con pc e laptop: negli anni 90 e un po' anche negli anni duemila si incontravano spesso difficoltà nella compatibilità o nell'ottimizzazione del kernel e dei driver per un numero elevato di componenti e soprattutto periferiche a causa dell'impossibilità di accesso alle specifiche dell'hardware. Nel tempo le cose sono decisamente migliorate e oggi difficilmente si riscontrano gravi deficit di compatibilità tra un'installazione Linux e l'hardware. Può darsi che si stia riscontrando lo stesso problema per i dispositivi mobile, il cui ritmo di innovazione è sicuramente più intenso dei dispositivi tradizionali. Quando un produttore non rilascia le specifiche, lo sviluppo dei driver procede per tentativi e non credo sia una cosa facile. A maggior ragione se la tecnologia dei dispositivi si innova con grande velocità.

Tiria, non stai prendendo in considerazione le stampanti usb o gli scanner, vero?:D

Non so se ce ne siano ancora, in ogni caso escludo dai miei acquisti quei marchi che notoriamente hanno dato problemi di compatibilità. Come stampante ho una LP di rete, non la collego all'usb perché che l'ho collegata alla rete. Vi accedo tranquillamente con la mia slackware e mia moglie con la sua ubuntu e via wifi anche da un portatile con ubuntu e slackware in dual boot. Come scanner ho un Mustek USB, funziona egregiamente da anni con Sane da tutti i sistemi operativi. Tranne windows 10, per il quale ho dovuto arrangiarmi con un'interfaccia che lavora a scartamento ridotto :-D

A margine, ormai a distanza di molti anni mi trovo in una fase in cui mi trovo molto meglio con il pinguino che con windows. E ti assicuro che in diverse volte che ho avuto a che fare con windows negli ultimi anni mi è capitato di incontrare più ostacoli di quanti ne incontri con Linux.
Fare il salto quindici anni fa mi ha dato del filo da torcere, ma ho la testa dura e una volta fatto il salto definitivo non mi pento della scelta :-)

Tiria ha scritto:
Va comunque detto che le versioni di Android implementano di volta in volta nuove specifiche di sicurezza. Le vecchie versioni sono perciò più vulnerabili delle più recenti.

Mi riferivo al bios di due o tre notebook che avevano un bootkit in  grado di tracciate l'intera navigazione del dispositivo. Personalmente evito tutti i prodotti della marca.

Il terzo mi sembra un esperimento biologico di massa.

Ma che roba è? Mah... preferisco mantenere tutta la mia roba in casa, a parte i soldi nel conto corrente.

In pratica fanno questo discorso:
appurato che la tua navigazione è tracciata e rivenduta a compagnie di marketing....perchè non ottieni tu i soldi?
Chiedono quindi che il navigatore, volontariamente, li autorizzi a raccogliere i dati per venderli direttamente ai colossi delle vendite online, o più probabilmente a chiunque fosse  interessato. Hanno la faccia tosta di spiegare che se i dati sono quantitativamente maggiori aumenteranno i guadagni. Insomma: datti da fare!
Penso funzioni come con le VPN gratuite, che criptano i dati della connessione evitando che ISP, google ed altri possano catturarli...poi se li vendono loro.
Questi invece sono benefattori che mettono su domini, server ecc per farti prostituire e darti l'incasso.

Soldi? No, no calma...ti danno i Wecoin


Insomma ti misurano il QI

In un paio di righe da qualche parte ti dicono pure di stare attenti con account, pw ecc

Tiria ha scritto:....... E ti assicuro che in diverse volte che ho avuto a che fare con windows negli ultimi anni mi è capitato di incontrare più ostacoli di quanti ne incontri con Linux.
)

Al momento trovare qualche componente che non funzioni anche con linux è difficile. Deve trattarsi di qualcosa di molto specifico. Ho installato MX linux su 13 portatili di generazioni diverse e funziona tutto (2 sono ancora a 32 bit ma esiste ancora il supporto).
Mi capita di provare diverse stampanti e sino a questo momento non ho neppure dovuto scaricare dei driver. Anche con 7 stampanti installate attacchi, stacchi e stampi da una all'altra.
Sino a qualche anno addietro alcune schede wifi dei notebook davano problemi ora pare vadano tutte.
Ma la gente non lo sa.
In compenso con win 10 ad ogni aggiornamento ho trovato sorprese, risolte si ma con perdite di tempo.
A un notebook addirittura era letteralmente "scomparso" il lettore CD.

fischietto ha scritto:Chiedono quindi che il navigatore, volontariamente, li autorizzi a raccogliere i dati per venderli direttamente ai colossi delle vendite online, o più probabilmente a chiunque fosse  interessato.

Ma per favore... Continuo a farmi tracciare aggratis da gugol :-D

fischietto ha scritto:Al momento trovare qualche componente che non funzioni anche con linux è difficile. Deve trattarsi di qualcosa di molto specifico. Ho installato MX linux su 13 portatili di generazioni diverse e funziona tutto (2 sono ancora a 32 bit ma esiste ancora il supporto).

Io incontrai problemi anni fa con la scheda grafica di due portatili ASUS, per la quale non potevo sfruttare l'accelerazione 3D. Ma si trattava di due schede ATI, con i cui driver non sono mai andato d'accordo. Infatti opto da anni per le schede Intel o Nvidia

fischietto ha scritto:Ma la gente non lo sa.
In compenso con win 10 ad ogni aggiornamento ho trovato sorprese, risolte si ma con perdite di tempo.

Il problema di windows è che nel tempo perde la retrocompatibilità, costringendoti a fare l'upgrade dell'hardware anche quando non ce ne sarebbe bisogno. Questo capita con vecchi scanner o vecchie stampanti, magari perfettamente funzionanti ma resi inutili perché non si trovano i driver per le versioni più recenti di Windows.

> Ma la gente non lo sa

Su questo aspetto sono piuttosto critico. L'installazione di una distribuzione "accessibile" come Ubuntu, per citare un esempio che conosco, è quanto di più semplice si possa trovare. Con una installazione hai tutto il software che serve ad un'utenza ordinaria e volendo non devi fare più niente. E finché le cose vanno bene non si incontrano problemi. Si configura automaticamente o comunque è piuttosto intuitiva, il software aggiuntivo si installa facilmente, gli aggiornamenti si possono fare in automatico, ecc.
Però quando ci sono problemi l'utente base non ne esce fuori e allora è costretto a risolvere come si risolvono generalmente i problemi con un sistema windows: un bel formattone e si ricomincia da capo.

Tuttavia per sfruttare appieno le potenzialità di un sistema Linux richiede un'adeguata conoscenza (ovviamente rapportata a bisogni specifici). E magari usare una distribuzione concepita per smanettoni più che per utenti base. È questo il motivo per cui mia moglie preferisce usare Ubuntu, più facilmente configurabile nelle impostazioni grafiche, mentre io non mi smuovo dalla Slackware. Con la Slackware bisogna fare tutto a manina, ma quando c'è un problema è più facile superarlo se si conosce l'architettura, perché è concepita per essere manovrata e non per manovrare l'utente. Tant'è che per le mie esigenze, con la Slackware posso fare operazioni che con Ubuntu (e tanto meno con Windows) non sono mai riuscito a fare. E talvolta, pur non trovando il software, mi è capitato di scompattare pacchetti deb e far funzionare il software anche sulla slackware. Ma sono ormai 13 anni che uso questo sistema operativo e più passa il tempo più ne conosco i segreti.

Tiria ha scritto:]
Io incontrai problemi anni fa con la scheda grafica di due portatili ASUS, per la quale non potevo sfruttare l'accelerazione 3D. Ma si trattava di due schede ATI, con i cui driver non sono mai andato d'accordo. Infatti opto da anni per le schede Intel o Nvidia

Nel tempo sono cambiate molte cose..per esempio nei primissimi anni 2000 le ati erano supportate in modo più semplice delle Nvidia, queste dovevano essere installate riavviando senza server grafico....
L'accelerazione hardware in pratica esisteva solo per ati, nvidia e matrox.

Ho usato molte distribuzioni diverse, all'inizio Red Hat e mandrake...poi molte altre. E' almeno dal 2005/6 che linux, a mio giudizio, è più semplice da usare rispetto a windows, salvo il caso di dover usare software specifici. Purtroppo gli utenti tendono a usare quello che trovano preinstallato.