Android vulnerabile perché mancano le patch

Oltre il 50 percento dei dispositivi Android in circolazione ha gravi problemi di vulnerabilità. Tutta colpa della mancanza di patch dovuta dalla lentaggine con cui i produttori diffondono gli aggiornamenti. L'accusa è dell'esperto di sicurezza Jon Oberheide di Duo Security.

"Da quando è stato annunciato X-Ray, l'app Android per la ricerca di vulnerabilità, sono stati raccolti i risultati di oltre 20mila dispositivi in tutto il mondo. Sulla base dei primi risultati, si stima che oltre la metà dei dispositivi Android in tutto il mondo abbia vulnerabilità non corrette che potrebbero essere sfruttate da cybercriminali o app malevole" ha allertato Oberheide in un post sul suo blog. 

Il 50% dei prodotti Android in circolazione ha problemi di sicurezza

Oberheide, che presenterà i dettagli della ricerca allo United Summit di San Francisco, sostiene che le vulnerabilità rilevate da X-Ray sono gravi. "Se l'utente ha installato un'app dannosa o un hacker ha ottenuto l'accesso al terminale tramite un exploit del browser, queste vulnerabilità consentono un'escalation dei privilegi finanche al pieno controllo del dispositivo" ha proseguito.

Le vulnerabilità in questione possono restare silenti nei dispositivi per mesi o per anni, perché produttori e vettori sono "molto conservatori" nello spedire le patch che correggono i bug di Android. Il problema è che sono costose da sviluppare, testare e distribuire.

A complicare la situazione è la presenza di decine di modelli differenti di telefoni, con molte configurazioni e personalizzazioni che rendono difficile ogni minimo cambiamento al software. Inoltre, spiega Oberheide, qualsiasi patch deve essere testata e verificata nei minimi particolari, perché se vengono diffusi aggiornamenti difettosi si rischia di mettere fuori uso i telefoni di milioni di utenti. Un rischio che nessuno vuole correre perché molti deciderebbero di passare alla concorrenza.

Non ultimo, è da ricordare che produttori e carrier non hanno alcun interesse a mantenere la compatibilità fra i terminali ed eventuali periferiche, perché il ricambio generazionale dei modelli avviene a un ritmo talmente sostenuto che non c'è alcuna convenienza a investire sui prodotti vecchi invece che in quelli nuovi. Complice la concorrenza agguerrita che obbliga a spingere sull'acceleratore dell'innovazione e ad annunciare nuovi terminali ogni trimestre, i prodotti vecchi insomma finiscono nel dimenticatoio in men che non si dica.

Tim Wyatt, ingegnere capo di Lookout Mobile, ribatte alle accuse di Oberheide spiegando che sta mettendo in luce solo il rovescio della medaglia. "Nello studio non si dice che la frequenza con cui vengono rilasciate le patch è migliorata rispetto allo scorso anno, e che i dispositivi vulnerabili sono solo quelli più vecchi in fase di dismissione". Questo però non risolve il problema, e nemmeno giustifica la situazione: gli utenti non sono e non devono essere obbligati a cambiare telefono ogni anno per essere al sicuro.