Niente da fare, una delle minacce più pericolose e “pazze” del 2015 continua a imperversare in migliaia di app per Android e iOs. Parliamo di Freak, balzata agli onori delle cronache mondiali agli inizi di marzo perché in grado di abbassare il livello di sicurezza crittografica di siti e applicazioni, permettendo ai malintenzionati di porsi nel mezzo dei sistemi di comunicazione. Un buco che ha origini antiche e deriva dalla debolezza insita nel protocollo Secure Socket Layer e dalla politica dei governi statunitensi negli anni Novanta, che obbligarono le aziende a esportare i sistemi di sicurezza più fragili, conservando i mezzi più “potenti” sul suolo americano. La notizia della minaccia, diffusa dall’Istituto nazionale francese per la ricerca nell’informatica e nell’automazione, ha fatto in queste settimane il giro del mondo, ma a quanto pare non si è ancora giunti a una soluzione definitiva.
Come riporta il blog di FireEye, azienda specializzata in cyber security, circolerebbero ancora 1.228 app su Google Play e 771 programmi per iOs potenzialmente pericolosi: si tratta in alcuni casi di software di grande successo, nelle categorie finanza, comunicazioni, shopping e medicina, con milioni di download e installazioni attive. Un problema serio, che evidenzia come sia davvero difficile ripulire l’ambiente anche quando un bug viene scovato. Freak è in grado di “spezzare” le chiavi di sicurezza dei protoccoli Ssl e Tls, portandole a 512 bit, ovviamente molto meno forti di quelle a 2.048 bit utilizzate di solito oggi.
Fonte: FireEye. Il grafico mostra il numero di app per Android e iOs ancora vulnerabili a Freak
Apple e Google hanno dichiarato di aver sistemato i loro sistemi operativi, ma molte app compatibili con Android e iOs devono ancora essere aggiornate. Ad esempio, tra gli applicativi nati per funzionare sul sistema di Google, 664 utilizzano le librerie OpenSsl implementabili con il robottino verde. Questo pacchetto è comunemente utilizzato per le connessioni di tipo Ssl e Tls, ma è anche uno dei più a rischio: nei mesi scorsi è stato attaccato da altre minacce dalla grande risonanza mediatica, come Heartbleed e Poodle.
Sul versante Apple, invece, si trovano notizie migliori: secondo FireEye sarebbero in pericolo soltanto le app operanti sulle versioni di iOs precedenti alla 8.2. L’ultima release dell’ecosistema mobile di Cupertino, appena pubblicata, avrebbe infatti risolto il problema.