[NEWS] Android, il reset che non resetta

[c.m.g]

lunedì 25 maggio 2015

Spoiler:

Una ricerca dell'Università di Cambridge evidenzia un grave problema di sicurezza nella funzionalità di reset sulle versioni meno recenti di Android, un problema che mette a rischio sia i dati che l'identità digitale dell'utente

Roma - Stando a quanto emerge da uno studio condotto da due ricercatori dell'Università di Cambridge, centinaia di milioni di dispositivi basati su Android sono a rischio a causa dell'errato funzionamento del reset alle impostazioni di fabbrica. Una funzionalità che in realtà non "resetta" alcunché e permette il recupero di dati che invece si vorrebbero cancellati per sempre.

Secondo i ricercatori britannici, il problema coinvolge sicuramente le versioni di Android comprese fra la 2.3 e la 4.3, mentre i test hanno riguardato 21 smartphone realizzati da cinque diversi produttori OEM inclusi Samsung e HTC. Vulnerabile anche il brand Nexus dei cellulari Android "purosangue" commercializzati direttamente da Google.

La ricerca evidenzierebbe il rischio, per mezzo miliardo di gadget Android, di non "sterilizzare" adeguatamente le informazioni dell'utente contenute nella partizione dati dello storage di sistema; per 630 milioni di dispositivi, invece, la mancata cancellazione sicura dei dati coinvolge anche le schede SD interne.I dati cancellati possono essere recuperati in un momento successivo, spiegano i ricercatori: anche in caso di utilizzo della cifratura full-disk, poi, la funzionalità di reset fallata lascia intatta una quantità di dati sufficiente a recuperare la chiave crittografica per tentare infine un attacco a forza bruta.

Anche impostando il reset da remoto in caso di furto di un cellulare, dicono i ricercatori, informazioni particolarmente sensibili come SMS, fotografie, video e le succitate chiavi crittografiche continuano a essere recuperabili.

Per mitigare il problema, agli utenti viene consigliato di usare la cifratura full-disk con una password particolarmente complessa. Ignota, al momento, l'eventuale presenza della falla sulle versioni di Android successive alla 4.3.

Alfonso Maruccia






Fonte: Punto Informatico