Samsung ha venduto 100 milioni di smartphone Galaxy S con una falla di sicurezza (risolta qualche mese fa)

Un numero significativamente elevato di smartphone Samsung delle serie Galaxy S venduti negli ultimi anni sono stati commercializzati con una falla di sicurezza che avrebbe potuto consentire ad hacker, criminali e malintenzionati di recuperare informazioni sensibili dai dispositivi.

E' quanto scoperto da un gruppo di ricercatori dell'Università di Tel Aviv, i quali hanno riscontrato come diversi modelli di telefoni Galaxy S8, Galaxy S9, Galaxy S10, Galaxy S20 e Galaxy S21 non registrassero correttamente le loro chiavi crittografiche. Questo avrebbe potuto consentire di estrarre informazioni come password e altri dati sensibili.

I ricercatori hanno spiegato come sia stato loro possibile scavalcare, sfruttando la falla, le misure di sicurezza dei dispositivi Samsung. Nel documento redatto dai ricercatori si parla di un problema che interesserebbe circa 100 milioni di dispositivi - cioè il volume di smartphone che Samsung ha consegnato nel periodo dal 2017 al 2021.

Si legge nel report dei ricercatori dell'Univeristà di Tel Aviv: "Gli smartphone Android basati su ARM si affidano al supporto hardware TrustZone per un Trusted Execution Environment (TEE) per implementare funzioni sensibili alla sicurezza. Il TEE esegue un sistema operativo TrustZone (TZOS) separato e isolato, in parallelo ad Android. L'implementazione delle funzioni crittografiche all'interno di TZOS è lasciata ai fornitori di dispositivi, che creano progetti proprietari non documentati".

Le falle individuate dai ricercatori sono state corrette da Samsung con due patch rilasciate ad agosto 2021 e ad ottobre 2021: a coloro i quali dovessero avere uno smartphone tra quelli interessati con aggiornamenti precedenti a questi è ovviamente consigliato procedere quanto prima con l'installazione delle patch. Attualmente non è dato sapere se la falla sia stata sfruttata in precedenza.

"Sebbene i nostri attacchi specifici si applichino solo ai circa 100 milioni di dispositivi prodotti da Samsung, sollevano il requisito molto più generale di standard aperti e comprovati per i progetti crittografici e di sicurezza critici" concludono i ricercatori.