Preoccupati da Stagefright? Ecco come Google mantiene la sicurezza su Android

Nei giorni scorsi si è parlato molto di Stagefright, un exploit che permette ad eventuali malintenzionati di infettare il 95% degli smartphone Android tramite il semplice invio di un MMS con un file malevolo.

Da allora, come sempre è esplosa la paranoia generale: chi gridava allo scandalo, chi non ha perso occasione per sottolineare tutti i presunti bug di Lollipop e così via.

Per cercare di tranquillizzare gli utenti, Adrian Ludwig, ingegnere a capo della sicurezza di Android, ha spiegato che è davvero raro trovare un exploit così "grave" e che quasi mai eventuali bug del sistema operativo corrispondono a falle di sicurezza con cui infettare lo smartphone.

LEGGI ANCHE: RCSAndroid, il malware di Hacking Team, è ora open-source

Adrian, poi, si è lanciato in una panoramica di tutti sistemi di sicurezza adottati nel tempo da Android, che riassumiamo anche noi di seguito.

ASLR - Address Space Layout Randomization

ASLR è una tecnica di sicurezza che nasconde gli indirizzi di memoria: lo stesso Adrian, lo spiega con questo paragone:

ASLR rende scrivere un exploit come provare ad ad entrare in una città straniera senza aver accesso a Google Maps, senza alcuna conoscenza della città, del paesaggio circostante e neanche della lingua.

A seconda della città in cui vi trovate, potrebbe essere possibile riuscirci, ma è davvero molto più difficile.

Rimozione del supporto ai non-PIE linker

PIE sta per Position-Indipendet Executables e lavora insieme a ASLR per proteggere l'accesso alla memoria. Da Android 5.0 è stato rimosso il supporto ai contenuti che non adottano questo sistema, per complicare ulteriormente la vita ad eventuali attaccanti.

NX - No eXectue

Google ha introdotto NX già da Android 2.3: si tratta di un sistema di sicurezza al livello hardware (nello specifico opera sulle CPU), che impedisce l'esecuzione del codice da stack e heap.

Fortify Source

Fortify Source è un metodo di sicurezza che permette al sistema di riconoscere quando vengono copiati troppi byte: impedisce quindi i buffer overlow.

RELRO - Read-Onlin-Relocations

Read-Only-Relocations protegge i dati di alcune sezioni interne, impedendo che vengano sovrascritti.

Ma non finisce qui: a questo indirizzo potete consultare i vari aggiornamenti di sicurezza introdotte con le diverse release di Android.

Infine, segnaliamo che Textra SMS ha comunicato di essere al lavoro per evitare che gli MMS ricevuti tramite quest'app possano sfruttare l'exploit (il fix arriverà con la versione 3.1) e che se pensate di essere in grado di scovare un bug su Nexus 6 o Nexus 9 dovreste dare un'occhiata alla pagina di Android Security Rewards e segnalarlo a Google, dato che potreste ottenere una ricompensa fino a 30.000$.