Android, la crittografia non è sicura

All’interno di Android viene utilizzata la crittografia FDE (Full Disk Encryption), che secondo un ricercatore di sicurezza non garantisce la protezione del dispositivo, dal momento che la chiave crittografica viene memorizzata all’interno del software. Si tratta di un’importante problematica che è stata individuata sui dispositivi dotati di processori Qualcomm e riguarda almeno un terzo degli smartphone Android venduti. Scopriamo più in dettaglio che cosa sta succedendo e i meccanismi con cui può essere letta la chiave crittografica.

Secondo un ricercatore di sicurezza, il sistema operativo Android ha due gravi vulnerabilità. Attraverso l’impiego di vari metodi, un cyber criminale potrebbe estralle master key usata per la crittografia del disco, senza che l’utente se ne accorga. La FDE (Full Disk Encryption) è la tecnologia di protezione dei dati presente sui dispositivi Android, che sulla carta dovrebbe garantire la massima protezione, ma ciò non avviene visto che la master key viene archiviata nel software.

Una vulnerabilità che riguarda i dispositivi dotati di processori Qualcomm e sembra coinvolgere almeno un terzo degli smartphone. Le vulnerabilità sono presenti nella TrustZone, tecnologia che impedisce l’accesso ad hardware, software e dati. Proprio a testimonianza del fatto che la crittografia su Android non è sicura, il ricercatore ha pubblicato un exploit che consente di estrarre la master key, sfruttando due vulnerabilità. Attraverso l’utilizzo di un FPGA o un cluster di GPU è possibile effettuare un attacco brute force e trovare la password corrispondente.

Inoltre, il ricercatore ha reso noto che la FDE (Full Disk Encryption) è in grado di semplificare lo sblocco del dispositivo da parte delle forze di polizia, visto che la chiave è presente all’interno della TrustZone.

Nel momento in cui stiamo scrivendo, Google e Qualcomm hanno già reso noto che le vulnerabilità sono state risolte durante i mesi di gennaio e maggio, anche se molti dispositivi Android non riceveranno mai queste patch. Infatti, l’elevata frammentazione Android comporta il fatto che molti produttori non continuino a supportare dispositivi che hanno superato i due anni di vita, esponendoli a potenziali pericoli.