I dispositivi Android perdono traffico quando un dispositivo mobile è connesso a una rete Wi-Fi, anche quando sono abilitate le funzionalità volte a proteggere i dati inviati su Internet pubblico tramite reti private virtuali (VPN).
Il problema potrebbe creare un buco nella capacità di un utente di rimanere anonimo quando utilizza una VPN per crittografare i dati inviati da un dispositivo Android su una rete Wi-Fi pubblica, consentendo a un potenziale aggressore di monitorare il traffico di un utente e persino individuare la posizione di qualcuno , hanno osservato i ricercatori.
Un audit di sicurezza condotto da Mullvad VPN ha identificato il problema, che ha segnalato al team Android di Google. Ha scoperto che il sistema operativo mobile Android, che ha quasi 3 miliardi di utenti in tutto il mondo, sta inviando controlli di connettività al di fuori del tunnel VPN.
“Lo fa ogni volta che il dispositivo si connette a una rete Wi-Fi, anche quando il Blocca le connessioni senza VPN l’impostazione è abilitata”, hanno scritto nel post. “Il traffico di controllo della connessione può essere osservato e analizzato dalla parte che controlla il server di controllo della connettività e da qualsiasi entità che osserva il traffico di rete.
Ciò potrebbe consentire a un attore di minacce di ricavare informazioni oltre al semplice fatto che il dispositivo Android è connesso, come la posizione di un utente se “combinato con dati come le posizioni dei punti di accesso Wi-Fi”, hanno osservato i ricercatori di Mullvad.
Android, da parte sua, afferma che la funzione funziona come previsto e che non è necessaria alcuna correzione.
Difendere il comportamento predefinito
Ha senso che Android invii il traffico dati di connettività per impostazione predefinita, hanno riconosciuto i ricercatori di Mullvad, come quando c’è un captive portal sulla rete, hanno affermato.
In questo caso, la connessione sarà inutilizzabile fino a quando l’utente non avrà effettuato l’accesso, “quindi la maggior parte degli utenti vorrà che il captive portal check avvenga e consentirà loro di visualizzare e utilizzare il portale”, hanno scritto i ricercatori.
Tuttavia, poiché non sembra esserci alcun modo per impedire ad Android di perdere traffico, il problema rimane irrisolto e potenzialmente un rischio per alcuni utenti, hanno affermato i ricercatori. Inoltre, l’attuale documentazione di Android su come il sistema operativo blocca le connessioni senza una VPN è fuorviante, hanno scritto, anche se un utente “sta bene con del traffico che esce dal tunnel VPN”.
Poiché richiederebbe un “attore sofisticato” per utilizzare i controlli di connettività contro qualcuno che utilizza un telefono Android, “probabilmente è improbabile che la maggior parte dei nostri utenti lo consideri un rischio significativo”, hanno riconosciuto i ricercatori.
Ma la funzione, come attualmente documentata da Android, dà all’utente l’impressione “che nessun traffico lascerà il telefono se non attraverso la VPN” quando la funzione è attivata, il che non è il caso, hanno affermato i ricercatori di Mullvad.
In precedenza, a settembre 29, Mullvad aveva pubblicato su Android IssueTracker suggerendo una modifica alla documentazione relativa alla funzione “Blocca connessioni senza VPN” per avvisare gli utenti di potenziali perdite di dati.
Per ovviare a questo problema, i ricercatori hanno suggerito di aggiungere “tranne i controlli di connettività” ai riferimenti della documentazione che affermano che la funzione consente alle persone che utilizzano un dispositivo o a un amministratore IT di forzare tutto il traffico a utilizzare la VPN o blocca tutto il traffico di rete che non utilizza la VPN per chiarire. La questione resta in sospeso.
Dark Reading ha contattato Android per un commento.
Controlli di connessione che funzionano come previsto
I ricercatori hanno segnalato l’attuale perdita di dati di connettività da parte del sistema mobile ad Android sul sito della bacheca IssueTracker. Android ha risposto rapidamente che lo stava esaminando.
Un ingegnere di Google in seguito ha difeso lo stato attuale della funzione “Blocca connessioni senza VPN”, rispondendo che lo stato del problema è “Non risolverà” in quanto “funziona come previsto” in un commento pubblicato il 18 ottobre. 6.
L’ingegnere ha indicato quattro motivi per rifiutare di aggiungere un’opzione in Android per disabilitare i controlli di connettività. Uno è che la VPN potrebbe effettivamente fare affidamento sul risultato di questi controlli di connettività, mentre un altro è che la VPN potrebbe essere un tunnel diviso, che lascia parte del traffico sulla rete sottostante o interessa solo un determinato set di app.
Inoltre, i controlli di connettività sono tutt’altro che l’unica cosa esentata dalla VPN, poiché le app privilegiate possono anche bypassare la VPN, e questo è necessario per il loro funzionamento in molti casi, ha affermato l’ingegnere.
Infine, la posizione di Google è che non è chiaro quale sia l’impatto specifico sulla privacy del problema, poiché “i controlli di connettività rivelano che c’è un dispositivo Android a questo indirizzo, il che è comunque molto chiaro dalla connessione L2 e dal traffico che passa attraverso la VPN ,” secondo l’ingegnere.
Rischio di alto profilo
Il punto di Mullvad secondo cui la fuga di notizie potrebbe rappresentare una minaccia per alcuni utenti ha certamente validità, soprattutto dato il crescente interesse degli attori delle minacce sponsorizzati dallo stato a utilizzare spyware e altri modi per monitorare e persino perseguitare utenti Android di alto profilo come giornalisti, attivisti, accademici , e politici.
Le VPN hanno lo scopo di garantire che le connessioni di rete che le utilizzano crittografano il traffico Internet su reti pubbliche, il che significa che utilizzano l’indirizzo IP di un servizio VPN designato anziché l’indirizzo IP pubblico di qualcuno. Ciò consente agli utenti ad alto rischio che sanno di aver bisogno di maggiore sicurezza quando i loro dispositivi sono connessi a reti Wi-Fi pubbliche di nascondere la loro attività da occhi indiscreti.
Mullvad ha riconosciuto che non c’è nulla che la società o chiunque altro possa fare per correggere le perdite di Android se Google non interviene per cambiare il sistema operativo.
Tuttavia, esiste una distribuzione basata su Android, GrapheneOS, che offre agli utenti la possibilità di disabilitare i controlli di connettività all’interno del sistema operativo mobile, hanno affermato i ricercatori. Con questa funzione abilitata nei dispositivi che utilizzano la distribuzione, i ricercatori di Mullvad hanno affermato di non poter osservare le connessioni.
Alla luce di ciò, i ricercatori hanno ribadito la loro posizione secondo cui Google ha preso in considerazione l’adozione di questa stessa capacità di disabilitare i controlli di connettività in Android di serie, hanno concluso nel loro post.