[Soci SLIP] spaventosa situazione con android

[loredana]

On Fri, 2011-05-20 at 23:22 +0200, loredana wrote:

>  Leggerei molto volentieri cosa dice google ai suoi
> utenti, direttamente, senza passare attraverso giornalisti. Ma non so
> dove stia. Un link? 

L'ho trovato io. Sempre in inglese, pero':

http://googlemobile.blogspot.com/2011/03/update-on-android-market-security.html

Qui c'e' invece il rapporto dei ricercatori dell'universita' di Ulm, che
hanno fatto un ottimo lavoro ed un ottimo servizio, sia a google che ai
suoi "clienti":

http://www.uni-ulm.de/en/in/mi/staff/koenings/catching-authtokens.html

Fra le altre cose, spiega in maniera molto semplice in cosa consista
l'attacco e quali rimedi siano stati suggeriti sia a google che a chi
usa i servizi di google. Questo vale solo per il problema specifico
della cattura dei tokesn e l'impersonificazione
(man-in-the-middle-attack)

Il problema, come gia' riportato nel famigerato articolo, sta nel
protocollo ClientLogin, usato dalle applicazioni per autenticarsi con i
servizi di google. Non so esattamente dove sia implementato questo
protocollo, non conoscendo android, ma a naso me lo aspetto in una delle
librerie di sistema. Ovviamente, anche le singole applicazioni che lo
usano devono essere corrette, ma immagino che il codice stia in una
funzione di libreria che viene richiamata da tutte le applicazioni, non
che sia duplicato nelle singole applicazioni. Un minimo di cognizioni di
software engineering ce l'avranno anche dalle parti di google, spero.

Google comunque controlla le comunicazioni del vostro
cellulare/tablet/quant'altro e percio' la "correzione" ve la fa lui,
come e quando vuole. Questa, del controllo delle comunicazioni e del
loro abuso a proprio uso e consumo, mi immagino sia la funzione
principale di android, che non si trova in GNU/linux, ma che ben
conosciamo grazie a microsoft e mac. 

L'utente puo' aggiornare il sistema android all'ultima versione con il
bug corretto, ma deve 1) sapere che il baco c'e', 2) aspettare che
l'aggiornamento alla nuova versione sia disponibile per il suo
dispositivo, a volte, sembra, da confermare, per mesi. 

Immagino anche che con la moria dei cellulari dovuta all'accelerazione
tecnologica,  molti gli aggiornamenti se li sognano. Pensiamo solo a
quelli che si aspettano gli aggiornamenti di symbian dopo che nokia e'
passata a microsoft... E questo vale per tutti gli infiniti,
scelleratissimi produttori di hardware specializzato e incompatibile.
OGNUNO di questi deve fare gli aggiornamenti. Poveri utenti ... meglio
che vivano sicuri nella loro bambagia che nulla di male potra' mai
capitar loro, perche' se poi succede si accorgeranno troppo tardi che
sono rimasti in braghe di tela. 

> "Android malware has surged 400 percent since summer 2010, according to
> the "Malicious Mobile Threats Report 2010/2011." 

> Il malware per android e' aumentato del 400% dall'estate 2010, secondo
> il rapporto  "Malicious Mobile threats" 2010/2011. 

Il rapporto in se' non e' disponibile online, bisogna registrarsi:

http://www.juniper.net/us/en/dm/interop/go/

Se qualcuno ci mette sopra le mani, varrebbe la pena farlo circolare in
lista.

Invece online ci sono i moltissimi commenti al rapporto,  da varie
fonti. 

Il rapporto  ha a che fare con l'altro aspetto, ben piu' drammatico
rispetto alla faccenda clientlogin, del malware. 

"Most notable the recent android malware, DroidDream that was downloaded
over 50,000 times in four days"

" tra i piu' rilevanti, il malware recente per android, DroidDream, che
e' stato scaricato piu' di 50.000 volte in 4 giorni.

Scaricato, si noti, da android market, cioe' il repository ufficiale
delle applicazioni android. Sembra che si sia trattato di un rootkit che
ha infettato piu' di 50 applicazioni prima che qualcuno se ne
accorgesse. Se ho capito bene, le applicazioni girano in una sorta di
jail e droiddream e' capace di quello che in altri contesti si chiama
"priviledge escalation", cioe' esce dalla gabbia e si guadagna accesso
al sistema con privilegi di root. A questo punto, puo' ovviamente fare
tutto, proprio tutto quello che vuole. Installare altro software,
leggere e spedire dati etc. Il padrone di casa diventa lui.

Google ha certamente quello che si chiama backdoor sui vostri
dispositivi android. La stessa cosa che i trojan usano per le
loro sporche faccende su windows e unix system alike. Google lo
usa per controllare le applicazioni, spedire informazioni che poi
servono ai suoi scopi, rimouvere applicazioni infette, installare patch
e chissa' quant'altro. 

Cosi' e', se vi pare. Ignorarlo puo' solo far male.

Ah, gli altri son peggio di google e android, per definizione.

Non so quale sia la soluzione. L'unica soluzione che io conosco e' usare
solo quello che serve, riduce i danni e l'esposizione al rischio, ma non
sembra praticabile dalla massa. Comunque, sapere e' un passaggio
fondamentale. Non prendete nulla di quel che vi si dice per oro colato,
cercate di capire. Se lo si fa in tanti, di prendersi cura del problema
e cercar di risolverlo, prima o poi vengono anche fuori le soluzioni
adatte a quasi tutti.

Loredana