L’applicazione Immuni è davvero sicura? L’analisi di Check Point


 

I ricercatori di Check Point Software Technologies Ltd., il principale fornitore di soluzioni di cybersecurity a livello globale, stanno esaminando attentamente le app di contact tracing. Dopo un’analisi iniziale, hanno evidenziato una serie di preoccupazioni intorno alle modalità di implementazione di queste app. I ricercatori hanno suddiviso le loro preoccupazioni in quattro punti:

1. I dispositivi possono essere tracciati. Poiché alcune applicazioni di tracciamento, tra cui l’App italiana Immuni, si affidano al Bluetooth Low Energy (BLE), i dispositivi trasmettono pacchetti handshake che facilitano l’identificazione del contatto attraverso altri dispositivi. Se non implementato correttamente, gli hacker possono tracciare il dispositivo di una persona mettendo in correlazione i dispositivi con i rispettivi pacchetti di identificazione.
2. I dati personali possono essere compromessi. Naturalmente, le app memorizzano sui dispositivi i login dei contatti, le chiavi di cifratura e altri dati sensibili. I dati sensibili dovrebbero essere criptati e memorizzati nell’applicazione sandbox e non in luoghi condivisi. Perfino all’interno di sandbox, ottenendo i privilegi root o l’accesso fisico al dispositivo, si potrebbero compromettere i dati, soprattutto se vi sono memorizzate informazioni sensibili, come le posizioni GPS.
3. Intercettazione del traffico di un’app. Gli utenti possono essere soggetti ad attacchi “man-in-the-middle” e all’intercettazione del traffico dell’app se tutte le comunicazioni salvate sul server dell’applicazione non sono adeguatamente criptate.
4. Possibile circolazione di falsi rapporti sanitari. I ricercatori affermano quanto sia importante che le applicazioni di contact tracing eseguano l’autenticazione nel momento in cui le informazioni vengono inviate ai propri server, come quando un utente pubblica le proprie diagnosi e i registri dei contatti. Senza un’adeguata autorizzazione, infatti, si potrebbero riempire i server con falsi rapporti sanitari, compromettendo l’affidabilità dell’intero sistema.
   

Come rimanere protetti:

• Scaricare app solo dagli store ufficiali. Installare le applicazioni di tracciamento solo dagli app store ufficiali, in quanto risultano i soli ad essere autorizzati dalle agenzie governative a pubblicare tali applicazioni. Attenzione anche ai link per scaricare l’app che ci arrivano da altri canali, come messaggi o email.
• Utilizzare soluzioni per la sicurezza mobile. Scaricare e installare una soluzione di sicurezza mobile per la scansione delle applicazioni, al fine di proteggere i dispositivi contro malware e verificare che non siano stati compromessi.