Sappiamo bene quanto il mondo Android abbia sofferta di un’eccessiva proliferazione di malware, virus e minacce simili. Il motivo? L’estrema libertà di azione data, agli albori della piattaforma, agli sviluppatori mobili e alle loro applicazioni. Nell’ottica di far crescere prima del tempo il negozio digitale e le app su esso pubblicate, il team di Android ha allargato un bel po’ le maglie con i requisiti di ingresso dell’allora Market, oggi Play Store. Il risultato è stato un aumento spropositato di programmi e giochi, qualcuno con finalità di hacking, vista la non così rara possibilità di trovare all’interno delle stringhe di compilazione, codice maligno, in grado di installare software pilotati da terzi, capaci di rubare file e informazioni personali.
Certo, con il tempo molto è cambiato, con la stessa Google attiva nel reprimere tutte le possibilità di intrusione nel suo mondo, dovute sia ad app che al sistema operativo proprietario. Nell’ottica di perseguire un obiettivo del genere, la versione 5.0 Lollipop si è dotata di una protezione ulteriore extra, permessa da Qualcomm, il produttore dei chip installati su tanti smartphone e tablet Android (l’altra metà sono in gran parte Intel). Stiamo parlando della ARM TrustZone, un modulo di sicurezza hardware che ospita un suo kernel e un ambiente di protezione indipendente dall’OS principale. Sui chip Qualcomm, una soluzione del genere è conosciuta come QSEE, Qualcomm Secure Execution Environment.
Di per sé, Android ospita la funzionalità full-disk encryption, che si basa su una generazione casuale di una chiave di crittografia, a sua volta camuffata da un’altra chiave, derivata dal PIN utente, dalla password o dalla procedure di sblocco con il segno possibile sulla schermata di blocco del telefono. Come iOS, Android cerca di prevenire l’estrazione della chiave di crittografia legandola al numero di serie dell’hardware utilizzato. Ciò rende praticamene inutile staccare l’hard-disk dal telefono per leggerne i dati, visto che non ci sarebbe comunque possibilità di tradurre le informazioni in assenza di un riscontro simultaneo della password digitale con quella basata sul dispositivo. Dove sta allora il problema?
Il ricercatore Gal Beniamini ha scoperto che, a differenza dell’iPhone che lega la chiave di crittogrfia al codice UID relativo allo smartphone, Qualcomm usa una chiave che è totalmente disponibile nell’applicazione di default MasterKey, che gira nel sistema parallelo QSSE. In questo modo, un aggressore potrebbe concentrare i propri sforzi non per hackerare Android o l’hard-disk principale, ma la sola sezione riguardante il Qualcomm Secure Execution Environment, dove è presente la stringa segreta in maniera evidente. Ciò riduce la sicurezza su Android al solo PIN personale che, per ovvie ragioni, non è sempre così difficile da identificare.
Qualcomm e Google hanno già detto che la falla in questione è stata tappata con due aggiornamenti rilasciati a gennaio e a maggio, anche se non è detto che i firmware relativi siano stati diffusi da tutti i produttori mobili alla totalità di telefoni interessati, quelli con almeno Android 5.0 Lollipop.
