GrapheneOS protegge password e dati copiati: cambia il copia e incolla di Android

Copiare in memoria una password, un codice OTP, una chiave API o un indirizzo di portafoglio crittografico significa affidare temporaneamente un dato personale e riservato alla clipboard ovvero agli appunti del sistema operativo. Su Android la situazione è migliorata molto rispetto al passato: da Android 10 le applicazioni che non si trovano in primo piano non possono leggere liberamente gli appunti, mentre Android 12 mostra un avviso quando un’app accede a contenuti copiati da un’altra applicazione.

Android 13 ha aggiunto ulteriori protezioni, compresa la cancellazione automatica dei dati conservati negli appunti entro un intervallo limitato. Gli sviluppatori di GrapheneOS, sistema operativo mobile open source basato su Android, progettato per aumentare sicurezza e privacy soprattutto sui dispositivi Google Pixel e a breve anche sui terminali Motorola, ritengono però che il problema di fondo rimanga irrisolto: quando un’app in primo piano ottiene accesso agli appunti, può acquisire il dato prima ancora che l’utente si renda conto di ciò che è accaduto.

Cos’è e come funziona GrapheneOS Secure Paste (incollaggio sicuro)

Un progetto noto per modificare in profondità Android con l’obiettivo di ridurre le superfici d’attacco e limitare l’accesso ai dati personali (qui la nostra guida dettagliata a GrapheneOS), non poteva non sviluppare un meccanismo in grado di mettere in sicurezza i meccanismi di “copia e incolla“.

Il sistema Secure Paste, al debutto in GrapheneOS, prova a cambiare il modello stesso usato da Android.

La novità, annunciata il 6 settembre 2026 dagli sviluppatori di GrapheneOS, non consiste semplicemente nel cancellare più velocemente gli appunti o nell’aggiungere un altro messaggio di avviso. L’idea è separare l’azione dell’utente dall’accesso programmatico alla clipboard: un’app potrebbe ricevere il testo che l’utente decide esplicitamente di incollare senza poter interrogare autonomamente gli appunti creati da altre applicazioni.

La nuova funzione deve ancora confluire nella versione stabile di GrapheneOS: gli sviluppatori spiegano di aver completato il lavoro principale e di volerlo integrare a breve. Il progetto prevede inoltre l’inserimento del nuovo meccanismo nella barra standard di selezione del testo, nei metodi di input, nei servizi di accessibilità e nelle scorciatoie da tastiera. Non si tratta quindi di un semplice pulsante aggiunto a una singola applicazione, ma di un intervento a livello di sistema.

Perché la clipboard Android è già più sicura di quanto fosse un tempo

Con Android 10, API level 29, Google ha introdotto una limitazione netta: salvo casi particolari, soltanto l’applicazione che possiede attualmente il focus e l’IME (Input Method Editor) predefinito, cioè la tastiera, possono leggere i dati presenti negli appunti.

Prima di Android 10 il rischio era sensibilmente maggiore. Un’applicazione in background poteva interrogare la clipboard e recuperare informazioni lasciate da altri programmi; password copiate da un password manager, numeri di carte, token, messaggi privati e altre informazioni potevano quindi diventare un bersaglio interessante. Le restrizioni introdotte con Android 10 hanno eliminato gran parte di quel problema.

Android 12, API level 31, ha aggiunto un ulteriore segnale visibile all’utente. Quando un’app chiama la funzione ClipboardManager.getPrimaryClip() e legge contenuto proveniente da un’altra applicazione, Android mostra normalmente un messaggio del tipo “L’app ha incollato contenuti dagli appunti“. Esistono delle eccezioni, ad esempio quando l’app accede ai dati che essa stessa aveva inserito negli appunti.

Con Android 13 Google ha poi lavorato sia sulla riservatezza che sull’esperienza d’uso. Il sistema può mostrare una UI standard dopo una copia e supporta ClipDescription.EXTRA_IS_SENSITIVE: un’app che inserisce nella clipboard una password o un numero di carta può contrassegnare il dato come sensibile, evitando che il valore compaia in chiaro nell’anteprima visualizzata dal sistema. Il flag, tuttavia, non modifica i diritti di accesso al dato e non rende di per sé più sicuro il contenuto della clipboard.

Android 13 impone inoltre la cancellazione automatica degli appunti: la Compatibility Definition stabilisce che i dati debbano sparire entro 60 minuti dall’ultima scrittura o lettura. È una protezione utile, soprattutto contro informazioni dimenticate nella clipboard per ore, ma non impedisce a un’app autorizzata dal modello Android di leggere il contenuto mentre questo è ancora presente.

Il problema che GrapheneOS vuole eliminare

Immaginiamo una situazione molto comune. L’utente apre un password manager, copia una credenziale e la incolla nel browser. Poco dopo copia un token di autenticazione oppure una porzione di conversazione privata. Finché quel valore rimane negli appunti, l’applicazione attualmente in primo piano può potenzialmente leggerlo attraverso le API previste da Android.

Il sistema può segnalare l’accesso, ma il punto è che la notifica arriva dopo la lettura. Dal punto di vista della riservatezza è una differenza sostanziale: sapere che un’app ha ottenuto una password non equivale a impedirle di ottenerla.

GrapheneOS vuole quindi consentire all’utente di revocare alle singole applicazioni l’accesso alla clipboard mantenendo comunque la possibilità di incollare.

Il gesto Incolla diventerebbe un’operazione mediata dal sistema anziché l’occasione per concedere all’app la possibilità di interrogare il contenuto degli appunti. È un approccio più vicino al principio della minima autorità: al programma arriva ciò che serve per completare una specifica azione, non necessariamente la capacità generale di leggere gli appunti.