Android 4.4 KitKat introduce il “verified boot”, ROM e root a rischio?

Maestra_bacchetta

Android 4.4 KitKat, a lungo atteso da tutta la comunità Android, sembra introdurre alcune interessanti ed utili novità tanto quanto problemi e discussioni. Ultima arrivata è la notizia che Google ha integrato all’interno del nuovo sistema operativo il cosiddetto “verified boot” (avvio verificato) che serve a bloccare il malware ma ha effetti potenzialmente devastanti sul modding.

Non si tratta di allarmismo ingiustificato o di sensazionalismo, purtroppo, anche se per il momento la situazione è la stessa di sempre. Il problema sta nel fatto che Google, per migliorare la sicurezza di Android, ha introdotto dm-verity, una funzionalità che consente di verificare che il sistema non sia stato infettato da rootkit.

Cosa sono i rootkit? Come dice il nome stesso, sono malware che si insediano nella radice del sistema e si nascondono. I rootkit tipicamente riescono ad ottenere, con tecniche variegate, accesso come amministratore (utente root nei sistemi UNIX-like e, quindi, anche in Android) al sistema e con questi permessi si installano in zone ad accesso ristretto della memoria. Spesso non è possibile rilevare i rootkit poichè si nascondono sfruttando numerosi escamotage, ma questo non significa che non siano presenti.

Un modo per verificare con assoluta certezza la presenza di un rootkit e rimuoverlo è creare una sorta di “fotografia” (un hash) della memoria ancora “vergine” in maniera tale da poter effettuare dei confronti: se qualcosa non torna rispetto alla “fotografia”, allora il sistema è infetto. Può però essere facilmente ripristinato, poichè è possibile sapere le condizioni del sistema prima della modifica: se io scatto una fotografia ad una stanza e qualcuno sposta un mobile, guardando la fotografia posso riportarlo nella posizione originale. La spiegazione è stata semplificata per permettere a tutti di comprendere, ma rende l’idea di come stiano le cose.

Si tratta di una importante aggiunta che aumenta la sicurezza del sistema, ma compromette la possibilità di effettuare modding: molte delle tecniche per ottenere i permessi di root sono del tutto simili a quelle impiegate dai rootkit e modificano alcuni file di sistema. Inutile dire che con dm-verity questi cambiamenti andrebbero persi e sarebbe quindi molto più difficile, quando non impossibile, ottenere i permessi di root – almeno non in maniera permanente.

Al momento attuale non c’è motivo di allarmarsi. La funzionalità non sarà probabilmente abilitata con l’aggiornamento a KitKat degli attuali terminali, ma potrà essere sfruttata dai produttori in dispositivi futuri. Non ci sono elementi per valutare quale impatto questa nuova funzionalità potrà avere sul modding: se tutti i produttori la vorranno sui loro smartphone e tablet sarà chiaramente un problema, ma se sarà una funzionalità ristretta ai soli dispositivi che necessitano di un elevato grado di sicurezza (come i dispositivi aziendali o governativi) allora sarà la benvenuta.

Sembra quasi un caso – ironico – il fatto che da poche settimane CyanogenMod abbia annunciato il lancio di un proprio modello di business fondato sulle ROM. Non si vogliono fare complottismi alla Adam Kadmon, ma è certamente curioso (e anche divertente, da un certo punto di vista) che Google abbia lanciato questa funzionalità ora. Una bella coincidenza!

Tutto ora è nelle mani dei produttori, a cui spetta l’ultima parola in questo discorso. Saremmo indubbiamente felici se trascurassero dm-verity. Come diceva Benjamin Franklin: coloro i quali sono disposti a sacrificare la propria libertà per ottenere una sicurezza temporanea non meritano né la libertà né la sicurezza.

Via

Commenti

Ti invitiamo ad usare toni consoni e di rimanere in tema all'argomento trattato, in caso contrario, il sistema automatico potrebbe oscurare il tuo messaggio e potrebbero trascorrere fino a 48h per la verifica ed un'eventuale autorizzazione.
TuttoAndroid si riserva comunque il diritto di allontanare le persone non adatte a tenere un comportamento corretto e rispettoso verso gli altri.

  • Fabrizio Pelosi

    Praticamente come su chrome os , comunque li basta sbloccare il bootloader con uno switch sotto la batteria mi pare, qui da fastboot OEM unlock e dovrebbe fare la stessa funzione spero :-)
    Chissà se in futuro diventeranno tutt’uno :-P

  • zucchino

    Google ha una porzione di mercato sempre più ampia, grazie anche all’open source, ma una volta consolidato il mercato a suo favore chi ci dice che non cambi rotta? Stiamo parlando sempre di una caxxo di multinazionale che ovviamente per definizione non fa altro che pensare sempre solo ad aumentare i magini di profitto. Se economicamente gli converrà rimanere open source così sarà, altrimenti avremo una mela2.

  • Ayoub Lefhim

    Quindi stando a ciò che è trapelato se non sarà presente nel prossimo aggiornamento, cioè android KitKat, molto probabilmente la troveremo su Android 5.0.
    Beh in questo caso se venisse implementata per tutti i dispositivi Android con tale versione sarebbe un bel problema, si dovrebbe trovare una soluzione nuova per moddare il proprio dispositivo e qui ci si dirige sempre più a un vero e proprio jailbreak come quello che si fa per i dispositivi della casa di Cupertino.
    Spero che non venga implementato per tutti i dispositivi, già Knox di Samsung sta creando tanti problemi…

  • Vincenzo

    “Cosa sono i rootkit? Come dice il nome stesso, sono malware che si insediano nella radice del sistema e si nascondono” mai letta una sciocchezza così eclatante… e menomale che sei studente di informatica!

    • Cesare Andreoli

      In effetti non è proprio cosi. Magari però lo ha voluto scrivere in questo modo per rendere più chiari quali sono i rischi che provoca un rootkit…

      • Infatti. Bastava leggere un paio di paragrafi dopo: “La spiegazione è stata semplificata per permettere a tutti di comprendere, ma rende l’idea di come stiano le cose.”
        A volte si sacrifica l’assoluta veridicità di quello che si afferma in nome di una comprensione migliore da parte dei non “addetti ai lavori”.

  • Andrea M.

    L’ultima frase l’ho letta proprio durante il caricamento mentre giocavo a Empire: Total War

  • Non date peso a tutti questi articoli allarmistici, fanno solo scalpore. Con questo non accuso TuttoAndroid ma le fonti dalle quali prendono spunto. Un sistema di hashing non è per forza di cose un fattore negativo. Se il sistema è gestibile al momento della compilazione del kernel della rom è possibile creare un hash personalizzato per le rom e soltanto le modifiche successive all’installazione della rom possono creare problemi. Pertanto sarà possibile anche ottenere il root tramite i flash di rom modded…. Premetto che non conosco il funzionamento di dm-verify ma quando ci sono sistemi software di controllo si possono sempre aggirare… Ci potrà volere più tempo ma non è impossibile.

    • gambit3rd

      Visto come Samsung si sta ponendo a muso duro tramite Knox credo che i tempi cominceranno ad allungarsi sempre di più per i modder. Restano i Nexus, certo, ma a quanto pare tra un check di sicurezza e l’altro iniziano a dare nuove rotture.

      Non credo sia allarmismo, semplice evoluzione di tecnologia e politica manageriale di Google.

      • Il fatto che lo faccia Samsung non vuol dire che lo farà Google. Sono semplici deduzioni di vari blogger! I dati di fatto sono che kitkat presenta un sistema SELinux e il dm-verify. Ciò che è sicurezza per me è solo cosa buona. Come verrà usato è altro? Tutto ciò che ci si ricama sopra non sono dati di fatto ma solo allarmismi. Se verrà usato impropriamente allora avremo di che lamentarci, fino ad allora è soltanto positivo.

  • Luca

    Ma che cavolo sta succedendo, ci manca solo che danno un morso al robottino verde e siamo uguali al frutto, si va verso un peggioramento

  • ale

    Ma il root si potrà sempre fare,al limite nello script di installazione del root mettono anche delle istruzioni per disabilitare questa funzione e quindi ilroot è fatto

  • Matteo Virgilio

    Se le rom vengono compilate dai sorgenti, il problema root non si pone! Quindi cyano, PA, AOKP ecc non saranno mai bloccate sotto questo punto di vista…andate tranquilli!

    • Alecs

      ma infatti!! allarmismi inutili..stavolta lo devo proprio dire!

    • gambit3rd

      Sempre se non ci sarà una firma digitale di autenticità da emulare o simili…

      • Matteo Virgilio

        ok ok…ma un firma digitale è ben altra cosa..un firma vuol dire rendersi proprietari del codice. Android è open-source per definizione, non esisterebbe se non in questa forma…poi…imho!

    • voodoonet

      Ma lo devi sempre prima rootare

      • Matteo Virgilio

        Perchè? ti basta sbloccare il bootloader…

      • peppefetish

        flash kernel da fastboot o odin che sia, tabula rasa da recovery e flash della rom… problemi risolti.

        • voodoonet

          Ok, ho detto una baggianata! :)

  • san

    Google attuasse una mossa del genere, sicuramente lo farà, perderebbe un bel pò di sviluppatori e utenti!!!! Sempre più verso closed-source!

    • Kalos86

      Secondo me, Google, non attuerà mai la politica stile Apple. Anche se accadesse, vi ricordo che Apple ha pur sempre degli sviluppatori indipendenti che hanno eseguito il Jailbreak su iOS (anche se sono pochi rispetto ad Android).

    • voodoonet

      No, non penso proprio, forse qualche sviluppatore ma utenti no, forse con un po di bocca amare ma solo gli smanettoni e cioè la nicchia, non credo che per tale cosa gli utenti passano a Apple, per cosa avere poi,?

Top