Magisk Hide potrebbe essere vicino alla fine della sua corsa
Le API SafetyNet di Google sono state pensate per controllare se uno smartphone sia “integro” o abbia subito qualche manomissione, come lo sblocco del bootloader e l’ottenimento dei permessi di root: questo permette ad alcune app di una certa rilevanza (come quelle delle banche) di non procedere nel caso un dispositivo venga “beccato”. In questi ultimi anni, tuttavia, grazie a MagiskHide è stato possibile aggirare questo controllo. Purtroppo, la sua corsa potrebbe essere vicina alla fine.
Secondo quanto riportato da John Wu, pare che le API SafetyNet siano state aggiornate lato server per eseguire non solo una verifica software (che MagiskHide era in grado di aggirare) ma anche una hardware, andando a testare la Trusted Execution Environment (TEE), una piccolissima (e sicurissima) parte di Android che si occupa di operazioni di sicurezza. E, purtroppo, MagiskHide con la TEE ha poco a che fare.
Sì, colpire la TEE è tecnicamente possibile, ma nella pratica è molto, molto difficile: tantissime compagnie sono disposte a pagare centinaia di migliaia di dollari nel caso uno sviluppatore trovi una vulnerabilità che la riguarda. Per fare un esempio, Google ha messo in palio 250.000$ per una scoperta riguardante la TEE dei Pixel, e ben 1.000.000$ per una vulnerabilità riguardante il chip Titan M.
LEGGI ANCHE: Motorola Edge nei primi scatti dal vivo: ecco spiegata la scelta del nome!
È davvero la fine? A quanto pare, no: sempre John Wu sottolinea come queste nuove misure di sicurezza non siano ancora pienamente operative, soprattutto per la paura di andare a creare dei (fastidiosi) falsi negativi. Ma non c’è dubbio: quando questo cambiamento diventerà operativo, usare un dispositivo con root sarà molto meno appetibile.
So here we go, after years of fun messing around using Magisk, it seems that Google FINALLY decided to "fix" SafetyNet to something useful, and that is to use key attestation to verify device status (after 3 years since introduced to Android's platform!)
— John Wu (@topjohnwu) March 11, 2020
Via: Android Police, XDA DevelopersFAQ regarding new SafetyNet changes:
Q1: SafetyNet is passing fine on my device
A1: It seems this new measure is not fully enforced, most likely to prevent false negatives. If your device is old, or somehow key attestation fails in keymaster HAL, SN will simply ignore it— John Wu (@topjohnwu) March 11, 2020