Device sicuri? Google modifica da remoto le impostazioni dei telefoni Android

4

Google sicuramente ha aiutato a definire internet così come lo conosciamo, arrivando in alcuni casi a diventare sinonimo di internet stesso (quante volte qualche nostro parente ci ha chiamato perchè “non andava più Google”?).

Seppur con i suoi prodotti si pone come a paladino della libertà degli utenti e dell’open source, e nonostante l’incredibile lavoro che abbia innegabilmente fatto per quest’ultimo, spesso inciampa e mostra quello che è uno dei suoi lati, uno di cui “tutti” siamo a conoscenza ma che viene mostrato di meno: quello del controllo.

E’ il caso di parecchi utenti di Android Pie, l’ultima versione di quello che è tra i più diffusi sistemi operativi mobile, che la settimana scorsa si sono visti attivare sul telefono la funzione di Battery Saver.

Seppur la funzione di per se non è male (permette di risparmiare batteria disattivando alcune funzionalità come le notifiche o i servizi di localizzazione quando il telefono non è in uso), la cosa ha lasciato perplessi molti utenti: bug del nuovo sistema? O cosa?

La risposta è arrivata su Reddit da parte di Google stessa:

This was an internal experiment to test battery saving features that was mistakenly rolled out to more users than intended. We have now rolled battery saver settings back to default. Please configure to your liking. Sorry for the confusion.

E’ stato un esperimento interno per testare le funzionalità di risparmio batteria che per errore è stato distribuito a più utenti di quelli previsti. Abbiamo ripristinato le impostazioni di risparmio batteria al default. Gentilmente, configuratele come preferite. Scusate per la confusione

Che l’errore ci possa stare va anche bene, però questa è l’ammissione che Google stessa ha modificato non una, ma ben due volte le impostazioni dei cellulari Android da remoto, il tutto senza alcuna notifica agli utenti.

Certo, si potrebbe obiettare che forse questa possibilità ce l’hanno solo sui terminali Pixel, che vendono solo loro (e che comunque non giustificherebbe l’accaduto), ma è difficile credere che sia una qualche feature legata all’hardware, bensì è più facile pensare ad un accesso software (backdoor?) che la stessa Google ha su tutti i nostri dispositivi (o, per lo meno, su quelli che eseguono Android).

E, personalmente, questo mi fa abbastanza rabbrividire; è dunque palese che non solo Google ha accesso costante a tutti i suoi dispositivi, ma può anche pilotarli da remoto. Le finestre che questo apre alla privacy sono gigantesche: cosa vieta di riattivare i servizi di localizzazione (magari disattivati consciamente da un utente) per sapere dove si trova? Oppure configurare segretamente una VPN per far passare tutto il traffico da un loro server? E, soprattutto, cosa può succedere se l’accesso a questa “sala comando” viene compromesso, e tutte queste informazioni finiscono nelle mani di un qualche tipo di malintenzionato?

La notizia è stata anche commentata da Kate Bevan, scrittrice per Which? Computing Magazine:

I noticed the other day that suddenly my battery saver was on and I was a bit puzzled by it […]

I don’t want any app or operating system reversing decisions I’ve made – unless I know why they are doing it. […]

It’s about transparency and consent – it may well be a good idea that a change is being made but I still want to know why […]

Ho notato l’altro giorno che improvvisamente il risparmio batteria era attivato e questo mi ha lasciato perplessa […]
Non voglio che alcuna app o sistema operativo cambi decisioni che io ho preso – a meno che non sappia perchè lo fa […]
Riguarda la trasparenza ed il consenso – può essere una buona idea che venga fatta quella modifica ma comunque voglio saperne il motivo

Con le teorie complottistiche potremmo riempire pagine e pagine di questo blog, ma non è questa l’intenzione: l’importante è far riflettere, capire che tutti, anche la “buona” Google, ha sempre un ritorno da quello che ci fornisce, sia esso alla luce del sole, o in qualche console remota di un datacenter.

[Un ringraziamento all’utente Kim Allamandola per la segnalazione]

Utente Linux/Unix da più di 20 anni, cerco sempre di condividere il mio know-how; occasionalmente, litigo con lo sviluppatore di Postfix e risolvo piccoli bug in GNOME. Adoro tutto ciò che può essere automatizzato e reso dinamico, l’HA e l’universo container. Autore dal 2011, provo a condividere quei piccoli tips&tricks che migliorano il lavoro e la giornata.

4 risposte a “Device sicuri? Google modifica da remoto le impostazioni dei telefoni Android”

  1. Avatar carlo coppa
    carlo coppa

    Perché, non potrebbe essere un semplice aggiornamento che ha modificato alcune impostazioni ? Personalmente non credo in backdoor o cose del genere, più probabilmente o aggiornamenti o utenti che hanno dato consenso magari senza sapere a cosa.

  2. Avatar Kim ALLAMANDOLA

    Aggiornamenti “push” sono a tutti gli effetti backdoor. Possono benissimo installarti ssh+chiave per far un esempio stupido.

    La sostanza è che finalmente, dopo averlo più o meno tutti saputo/sospettato per anni adesso comincia ad arrivare sulla stampa, non solo “informatizzata”, per dire ne ha parlato anche il Sole24Ore.

  3. Avatar matteocappadonna
    matteocappadonna

    Perchè normalmente gli aggiornamenti vengono notificati, in questo caso la modifica è stata automatica senza richiesta di reboot o di interazione da parte di utente alcuno, semplicemente un impostazione di molti terminali è cambiata, ed a quanto pare è stato fatto da remoto da Google. E si, spesso gli utenti danno consenso senza sapere a cosa lo stanno dando, ma se questa cosa ha fatto così tanta risonanza dubito sia stata una mera “svista di massa”.

  4. Avatar Kim ALLAMANDOLA

    È anche peggio, nel senso che ogni aggiornamento “push” è qualcosa che di fatto cambia il sistema senza consenso, e questo vale per le “Instant Apps” per i “Play services”, per l’app Google Play stessa e chissà quante altre. Banalmente quante volte hai aperto l’app Play Store e l’hai vista “diversa” o all’avvio hai brevemente notato “aggiornamento Instant Apps” e cose simili?

    Un aggiornamento push è software che ti arriva “da fuori”, al di la del tuo controllo, e che viene normalmente eseguito dal tuo OS, nel caso della maggior parte delle componenti di sistema di Android direttamente all’avvio. Se non è un login ssh poco ci manca. Di fatto non hai modo si sapere cosa fa il codice aggiunto, banalmente copiare foto&contatti e poi auto-cancellarsi alla fine, è roba che fa uno scriptino di shell.

    Ora anche gli aggiornamenti classici “pull” possono contenere codice malevolo, per questo è importante usare distro che si basano su source, non su binari e menchemeno su binari che fa direttamente l’upstream tipo snap, flatpack, appimage ecc di nuovo qui NixOS e GuixSD eccellono perché il pkg-manager si basa su source, ma include un hash di quel che viene compilato così di norma si scarica un binario pronto avendo l’hash a garanzia che è realmente il prodotto delle source. Non è 100% valido nel senso che non tutti i build sono riproducibili, LibreOffice e Firefox sono ottimi esempi, ma ci si stà arrivando. Debian stà andando in questa stessa strada anche se è più indietro. Ma al di la di tutto chi distribuisce eventuali “aggiornamenti malevoli” non sa quando questi saranno applicati e da quanti utenti. Le chances di venire scoperti, specie in un mondo semi-FOSS dove anche i binari passano di mano in mano da soggetti diversi, upstream, packagers, repo ufficiali, mirror dei repo ecc, sono MOLTO più elevate come le chances di non poter colpire il 100% degli utenti in un colpo.

    Con Android, Windows, OSX, iOS non hai nessuna di queste garanzie, puoi solo fidarti del vendor e sappiamo bene che (the need of) trust is a weakness.

    Più eventi di questo genere capitano e vengono notati prima, spero, vi sarà qualche reazione. I Play Services&c non appaiono troppo al pubblico quindi nessuno ha fatto gran rumore, questa volta è accaduto, era più visibile… Speriamo serva a qualcosa.

Lascia un commento

Il tuo indirizzo email non sarà pubblicato. I campi obbligatori sono contrassegnati *