Google rilascerà patch mensili per i Nexus

La vulnerabilità Stagefright scoperta dai ricercatori di Zimperium Mobile Security ha finalmente scosso i produttori mondiali di dispositivi Android. Mentre LG, HTC e Sony hanno annunciato il rilascio di una patch, Samsung e Google hanno deciso di distribuire aggiornamenti di sicurezza almeno una volta al mese. L’azienda di Mountain View aveva tuttavia sviluppato un fix in 48 ore, ma la nota lentezza dei partner e degli operatori telefonici non garantisce la risoluzione del bug in tempi brevi.

Stagefright è il nome della libreria che elabora i formati multimediali su Android. È sufficiente inviare un MMS contenente il malware per eseguire codice remoto sullo smartphone o sul tablet della vittima e rubare dati personali memorizzati sul device. Il sistema operativo di Google usa diverse tecnologie per ridurre al minimo i rischi per la sicurezza. La protezione ASLR (Address Space Layout Randomization) modifica casualmente le locazioni di memoria per impedire l’accesso al codice del software. La sandbox, invece, mantiene separata l’esecuzione delle app dalle altre. Infine, la funzione Verify Apps effettua la scansione antivirus del dispositivo in background (se attivata).

Anche se queste misure di sicurezza offrono già una buona protezione, Google ha deciso di rilasciare patch mensili via OTA per i suoi dispositivi (Nexus 4, Nexus 5, Nexus 6, Nexus 7, Nexus 9, Nexus 10 e Nexus Player). Il primo aggiornamento, disponibile da ieri, risolve diverse vulnerabilità, tra cui quella individuata nella libreria Stagefright. I bug fix verranno distribuiti anche attraverso il progetto AOSP. I Nexus continueranno a ricevere update per almeno due anni e patch di sicurezza per almeno tre anni dall’iniziale disponibilità o per 18 mesi dalla fine delle vendite sul Google Store.

Samsung ha comunicato che seguirà lo stesso approccio di Google, ma probabilmente la distribuzione delle patch subirà qualche rallentamento a causa degli attori coinvolti, in particolare gli operatori telefonici. Nei prossimi giorni verranno forniti ulteriori dettagli (nomi dei modelli Galaxy e timeline).