Google espone agli hacker utenti Android pre-KitKat

Le persone con smartphone e tablet che eseguono versioni precedenti del sistema operativo mobile Android Kitkat – circa il 60 per cento di tutti gli utenti Android – stanno per vivere con una falla di sicurezza nel sistema operativo che Google ha deciso di non risolvere.

Un noto bug di sicurezza del sistema che colpisce il browser Web di default in Android 4.3 Jelly Bean e le versioni precedenti del sistema operativo mobile di Google non avrà una patch, come il capo della sicurezza di Android di Google ha scritto in un post su Google Plus lo scorso Venerdì.

"Mantenere il software aggiornato è una delle più grandi sfide della sicurezza", ha scritto Adrian Ludwig. Poiché l’applicazione del browser è basata su una versione del motore del browser WebKit che è ormai vecchia più di due anni, risolvere la vulnerabilità in Android Jelly Bean e versioni precedenti "non è più pratico da fare in modo sicuro", ha scritto.

Google ha confermato Sabato che quanto scritto da Ludwig nel è la posizione ufficiale della società in materia del suddetto bug.

La decisione dell’azienda ha sconvolto gli esperti di sicurezza, che si preoccupano che gli hacker saranno in grado di approfittare facilmente delle centinaia di milioni di persone che utilizzano i telefoni e tablet che eseguono versioni precedenti di Android. Ludwig sostiene che il numero di persone potenzialmente interessate dalla vulnerabilità si sta "restringendo ogni giorno".

Secondo le cifre di utilizzo di Android fornite ufficialmente da Google, il 39,1 per cento dei suoi smartphone e tablet eseguono la più recente versione di Android 4.4 KitKat. La versione più recente del sistema operativo, Android 5.0 Lollipop, resa disponibile nel mese di novembre, rappresenta meno di un decimo dell’1 per cento dei dispositivi Android in uso. Ciò significa che circa il 60 per cento dei dispositivi Android hanno versioni precedenti del sistema operativo, che includono il browser affetto dal bug.

La conseguenza di avere così tante persone che eseguono tante versioni diverse dello stesso sistema operativo è che diventa molto più complicato proteggerli, scrive Tod Beardsley, un responsabile tecnico della società di sicurezza Rapid7. "Purtroppo, questa è una grande notizia per i criminali per la semplice ragione che, per i veri cattivi, praticamente tutto è alla loro portata", ha scritto in un post sul blog.

L’aggiornamento ad un nuovo telefono o tablet Android non è un’opzione per molte persone, Beardsley ha detto, perché mentre l’ultimo telefono Nexus che utilizza l’ultima versione di Android viene venduto a 649,99 dollari, "Amazon vende i nuovi telefoni Android con in esecuzione le versioni precedenti del sistema operativo ad un decimo del prezzo".

Ludwig raccomanda le persone che hanno un dispositivo con Android 4.3 o superiore di utilizzare un browser Web diverso da quello di default. Egli suggerisce Google Chrome, che funziona su Android 4.0 Ice Cream Sandwich e versioni successive, o Mozilla Firefox, che funziona su Android 2.3 Gingerbread e versioni successive. Tuttavia, installare questi browser alternativi non risolvono pienamente il problema, in quanto la maggior parte delle app utilizzano il browser web per la visualizzazione di alcuni contenuti. Ludwig chiede quindi anche agli sviluppatori di applicazioni di limitare il contenuto caricato nelle applicazioni che non proviene dal dispositivo Android in sé, o almeno di rendere possibili i caricamenti di pagine web attraverso una connessione sicura.

Beardsley ha detto che capisce la decisione di Google a causa delle difficoltà di aggiornare una versione del motore del browser WebKit, ma ha detto che spera che la società riveda al più presto la sua decisione alla luce dell’enorme numero di persone che dipendono da Android "per gestire e salvaguardare i dati più personali della loro vita".