Aggiornamento Android: come verificare la sicurezza del proprio dispositivo

Tra i dispositivi basati sul robottino verde quelli appartenenti al programma Android One sono forse in grado di offrire maggiori garanzie dal punto di vista della sicurezza in un’ottica temporale piuttosto ampia.
L’acquisto di dispositivi Android One dà infatti diritto a ricevere due anni di aggiornamenti da parte del produttore e un anno aggiuntivo di aggiornamenti per la sicurezza da parte di Google. La data che viene presa come riferimento, a partire dalla quale vengono calcolati i 3 anni complessivi di supporto, è quella del lancio del dispositivo mobile Android One, non quella dell’acquisto da parte di ogni singolo utente.

Nonostante i continui “richiami” di Google (vedere Google impone ai produttori di smartphone Android l’obbligo di rilasciare aggiornamenti continui), alcuni produttori continuano ad “abbandonare al loro destino” i modelli di smartphone Android di fascia medio-bassa cessando di distribuire aggiornamenti (anche quelli relativi a problematiche di sicurezza) trascorso un lasso di tempo piuttosto limitato.

Soprattutto con i dispositivi che non sono più aggiornati dai rispettivi produttori, l’unico sbocco consiste nel passare a una ROM personalizzata più recente, seppur non ufficiale ma universalmente apprezzata: Aggiornamento Android, come effettuarlo quando sembra impossibile. Spesso è soltanto in questo modo che si potranno continuare a ricevere le patch di sicurezza per Android in caso di mancanza di aggiornamenti di sistema ufficiali.
È un buon modo, tra l’altro, per evitare di dover “gettare al macero” (leggasi RAEE) dispositivi che ancora assolvono egregiamente alle loro funzioni e che sono perfettamente in linea con le proprie esigenze.

Il problema sicurezza esiste anche in ambito Android e non può essere semplicemente ignorato. Il rischio è quello di esporre il proprio dispositivo e i dati in esso conservati ad attacchi remoti. Ne abbiamo parlato anche nell’articolo Antivirus Android: no, non è affatto inutile.

Come controllare lo stato del proprio dispositivo Android

Provate a portarvi nelle impostazioni di Android, scegliere Sistema, Avanzate quindi Informazioni sul telefono o Informazioni sul tablet e infine cercare la voce Livello patch sicurezza Android.
Sui dispositivi Android One basta accedere alle impostazioni, scegliere Sistema, Informazioni sul telefono o Informazioni sul tablet quindi toccare Versione di Android (verificare quanto compare accanto a Livello patch di sicurezza Android).

Se la data mostrata fosse piuttosto indietro nel tempo, significa che il dispositivo non è aggiornato con le ultime patch di sicurezza e che quindi è potenzialmente esposto a rischi di aggressione. Vero è, inoltre, che soprattutto nel caso dei dispositivi “non-Android One”, alcuni produttori sono soliti applicare alcune patch di sicurezza e non altre: avevamo parlato di questo tema nell’articolo I produttori di dispositivi Android si dimenticano di distribuire alcune patch, anche sui device più aggiornati.

Con Android 10 cambia tutto perché gli utenti non devono più aspettare “i comodi” dei singoli produttori. Come comunicato da Google, grazie a Project Mainline, la distribuzione delle patch più importanti avviene attraverso i Play Services.
In altre parole, l’azienda di Mountain View ha titolo per forzare la distribuzione e l’installazione di aggiornamenti ritenuti essenziali per la sicurezza: con Android 10 non c’è bisogno di attendere che i singoli produttori rilascino aggiornamenti del firmware, cosa che – spesso – non succede.
Il nuovo meccanismo di aggiornamento approntato da Google permette di intervenire su alcune delle aree di Android cruciali per il suo corretto funzionamento e che sono prese di mira da codice malevolo.

Per approfondire il tema, è possibile installare l’app Android gratuita SnoopSnitch: realizzata dai tedeschi di Security Research Labs, essa permette di verificare lo stato degli aggiornamenti presenti sul proprio dispositivo Android controllando quelli che eventualmente mancassero all’appello.

Usare SnoopSnitch è semplicissimo: dopo aver installato l’app, basterà toccare il pulsante in cima alla schermata quindi premere Start Test.

Come si vede in figura, qui abbiamo a che fare con un dispositivo che utilizza l’ultimo aggiornamento di Android (si tratta guarda caso di un device Android One) e che non soffre di alcuna vulnerabilità lato sistema operativo.

Di seguito, invece, un dispositivo aggiornato con una ROM di terze parti: sebbene la situazione non sia affatto malvagia, Android manca comunque di una patch di sicurezza considerata importante.

Scorrendo la lista e toccando il pulsante corrispondente si otterrà il corrispondente identificativo CVE (Common Vulnerabilities and Exposures) che, se cercato sul web, permetterà di stabilire a che cosa si riferisce il problema di sicurezza (ed eventualmente anche come limitare gli effetti del bug nel caso in cui non si potesse risolverlo nel breve termine installando una versione più aggiornata di Android).

L’applicazione – ma soltanto sui dispositivi Android sottoposti a root – può anche raccogliere e analizzare i dati provenienti dalle reti di telefonia mobile per informare gli utenti sul livello di sicurezza intrinseco e avvisare circa l’eventuale utilizzo di false stazioni radio base (IMSI catchers; ne avevamo parlato già nel 2014: Intercettare telefonate su rete mobile: giro di vite della FCC), attività di monitoraggio degli utenti e attacchi SS7.