A partire da Android 5.0 Lollipop, Google ha introdotto la cifratura del disco di default in Android (FDE, full disk encryption) per mettere al sicuro i dati degli utenti sia dai furti che da accessi non autorizzati anche da parte degli enti governativi.
Affinché la cifratura sia efficace, il sistema operativo combina una password scelta dall’utente ad una chiave RSA a 2048 bit, quest’ultima praticamente impossibile da ottenere.
A meno che, secondo una recente ricerca, sul proprio dispositivo Android non sia presente una CPU Qualcomm.
Si, perché il ricercatore Gal Beniamini ha scoperto che sfruttando alcune vulnerabilità del kernel Android e combinandole con alcune debolezze presenti nell’implementazione delle misure di sicurezza nelle CPU Qualcomm, è possibile risalire alla chiave RSA a 2048 bit utilizzata per ottenere la cifratura completa del disco.
Morale della favola: basta un attacco bruteforce per scoprire il secondo fattore necessario – ovvero la password scelta dall’utente – per far saltare completamente la cifratura del disco.
Più complessa è la password più è difficile che l’attacco bruteforce abbia successo ma, siccome gli utenti tendono a scegliere password semplici e poco sicure, le probabilità di successo di un attacco di questo tipo aumentano. E vista la dinamica della vulnerabilità in sé, questa potrebbe essere sfruttata anche da remoto.
Fortunatamente Beniamini è al lavoro con Qualcomm e Google per lavorare ad un fix su questo problema: Google dal canto suo ha patchato i suoi problemi e Qualcomm ha dichiarato di aver diffuso una soluzione ai suoi partner.
Beniamini, tuttavia, nota che per ottenere sicurezza completa potrebbe rendersi necessario ricorrere “a delle modifiche hardware“, poiché alcuni exploit – relativi alla CPU – semplicemente non possono essere corretti.
Sicuramente la vulnerabilità scoperta da Beniamini non può essere sfruttata in maniera così semplice (e probabilmente non lo farà), tuttavia già il fatto che esista deve ricordarci che, tecnologicamente parlando, la sicurezza assoluta non esiste e probabilmente non esisterà mai.
