Android 17 alza le difese contro gli attacchi alla rete mobile

Android sta trasformando il modem integrato nello smartphone in una fonte di informazioni sulla sicurezza molto più visibile all’utente. Con Android 17, Google prepara infatti un’evoluzione importante delle protezioni contro le reti cellulari sospette: una cronologia persistente degli eventi rilevati dal modem, dettagli sugli algoritmi di cifratura utilizzati dalla connessione e nuovi avvisi dedicati ad attacchi come downgrade, jamming, Denial-of-Service e tracciamento della posizione.

Google lavora su questa tematica da diverse versioni di Android: Android 12 ha introdotto il controllo per disabilitare il 2G sui dispositivi compatibili, Android 14 ha aggiunto il supporto per il blocco delle connessioni cellulari prive di cifratura e Android 16 ha portato nel Safety Center la sezione Sicurezza rete mobile. Android 17 sembra ora voler fare un passo ulteriore: non limitarsi ad avvertire che qualcosa di insolito sta accadendo, ma conservare una traccia tecnica di ciò che il modem ha osservato.

Android 17 registra gli eventi sospetti rilevati dal modem

La novità forse più interessante prende il nome di SIM security timeline. Android può conservare una cronologia degli eventi di sicurezza segnalati dal modem, associando a ciascuno una data e un’ora.

Android 16 aveva già introdotto gli avvisi quando una rete cellulare richiede identificatori persistenti come IMEI e IMSI oppure quando il telefono passa a una connessione non cifrata. C’era però un limite evidente: una volta eliminata la notifica, l’informazione poteva facilmente sfuggire, a meno di avere attivato la cronologia generale delle notifiche del sistema.

La nuova cronologia di Android 17 affronta proprio questo problema: se il modem segnala, ad esempio, che la rete ha richiesto un identificatore del dispositivo, Android può memorizzare l’evento e consentire all’utente di consultarlo in seguito. Nei telefoni con più SIM, la cronologia può inoltre essere filtrata in base all’utenza.

Una richiesta dell’IMEI o dell’IMSI non dimostra automaticamente la presenza di una falsa base station della telefonia mobile: anche una rete legittima può scambiare questi identificatori in alcune fasi della registrazione o della riconnessione. Google stessa chiarisce che tali eventi acquistano interesse soprattutto quando diventano insoliti o particolarmente frequenti.

Perché IMEI e IMSI interessano anche a chi costruisce una falsa cella

L’IMEI identifica il terminale, mentre l’IMSI identifica l’abbonamento mobile associato alla SIM. Sono informazioni preziose per il normale funzionamento della rete, ma possono assumere un altro significato quando un dispositivo si collega a una stazione radio base controllata da un soggetto terzo.

Dispositivi comunemente indicati come IMSI catcher o stingray simulano il comportamento di una rete cellulare legittima inducendo gli smartphone nelle vicinanze a comunicare con loro. Le capacità reali dipendono dalla tecnologia radio utilizzata, dalla configurazione dell’operatore, dalla generazione della rete e dalle difese implementate dal modem.

L’obiettivo può comunque comprendere l’identificazione dei terminali presenti in una determinata area, il tracciamento o il tentativo di degradare la connessione verso protocolli meno robusti.

Il lavoro svolto da Google negli ultimi anni ha come fine proprio quello di proteggere gli utenti. La possibilità di disabilitare il 2G riduce una delle superfici di attacco più note; il controllo dei cosiddetti null cipher evita invece che il dispositivo continui a trasmettere quando la rete impone un algoritmo che, di fatto, non cifra il traffico.

Android 17 aggiunge soprattutto visibilità: l’utente può capire meglio quali eventi il modem ha rilevato e quando si sono verificati.

Android mostra anche quali algoritmi proteggono chiamate, SMS e dati

La nuova versione di Android, almeno stando all’analisi in anteprima delle versioni non definitive, contiene anche una nuova pagina denominata SIM security information: il sistema operativo può così mostrare gli algoritmi di cifratura attivi sulla connessione cellulare corrente, separandoli in base ai diversi servizi e livelli del protocollo telefonico.

L’indicazione CS riguarda le tradizionali chiamate e gli SMS sulle reti a commutazione di circuito; SIP gestisce la segnalazione usata per avviare e controllare le chiamate VoLTE e VoWiFi; RTP trasporta invece il flusso audio della conversazione.

Android può inoltre riportare le protezioni applicate alla segnalazione NAS, cioè allo scambio di messaggi tra smartphone e core network, al traffico dati packet switched e al livello AS, che copre la comunicazione radio tra terminale e stazione base.

Per un utente comune nomi come NAS, AS o RTP dicono poco: dal punto di vista tecnico, però, la nuova schermata rappresenta qualcosa di insolito per un sistema operativo mobile destinato al grande pubblico: porta fino all’interfaccia dati preziosi che normalmente restano confinati tra modem, Radio HAL e stack telefonico.

Nuovi avvisi per downgrade, jamming e attacchi DoS

Esaminando alcune stringhe presenti nel software di sistema, si apprende come Google stia preparando notifiche più specifiche per diverse categorie di attacchi alla rete cellulare.

Tra i nomi rilevati compaiono “Downgrade attack“, “DoS attack“, “Imprisonment attack“, “Jamming“, “Location tracking attack“, oltre ad avvisi per SMS e messaggi di emergenza non autenticati.

Un downgrade attack tenta di spingere il dispositivo verso una tecnologia o una configurazione meno sicura. L’esempio più intuitivo è il passaggio forzato da una rete moderna a una generazione precedente, dove alcune protezioni crittografiche risultano meno robuste.

Il jamming riguarda invece l’interferenza intenzionale con frequenze o canali radio, mentre un attacco DoS (Denial-of-Service) può sfruttare le segnalazioni per impedire al terminale di utilizzare correttamente la rete.

Android distingue inoltre una categoria chiamata “imprisonment attack“: il termine descrive scenari nei quali il dispositivo resta intrappolato in procedure di connessione o registrazione che gli impediscono di tornare rapidamente su una rete legittima.

Più delicato è il riferimento al tracciamento della posizione. Le reti cellulari devono conoscere, almeno con una certa granularità, dove si trova un terminale per instradare correttamente servizi e connessioni: è una geolocalizzazione non disattivabile. Alcuni comportamenti anomali del protocollo possono però servire a restringere la posizione di un dispositivo o a seguirne gli spostamenti: Android 17 sembra voler trasformare le indicazioni provenienti dal modem in segnalazioni comprensibili dall’utente.

SMS ed emergenze: Android prepara controlli sull’autenticazione

Tra le stringhe scoperte compaiono anche avvisi per “Unauthenticated SMS” e “Unauthenticated emergency message“: è qualcosa di particolarmente interessante perché i messaggi trasmessi dalla rete cellulare non coincidono sempre con un normale SMS inviato da un’utenza mobile tradizionale.

Le reti mobili utilizzano infatti anche meccanismi di broadcast per diffondere allarmi pubblici e comunicazioni di emergenza.

Un terminale deve poter ricevere questi messaggi rapidamente, ma la fiducia attribuita alla rete che li trasporta diventa essenziale. Segnalare una comunicazione che non soddisfa i requisiti di autenticazione permetterebbe ad Android di far emergere condizioni altrimenti completamente invisibili all’utente.

La vera difficoltà è il modem, non l’interfaccia di Android

C’è un limite tecnico fondamentale. Gran parte di queste protezioni non può funzionare semplicemente aggiornando l’app Impostazioni o il framework Android. Il sistema operativo deve ricevere dal modem le informazioni necessarie e serve quindi un supporto specifico nella IRadio HAL 3.0, l’interfaccia hardware attraverso la quale Android dialoga con il sottosistema radio.

Un dispositivo mobile privo del necessario supporto nel modem o nel relativo driver non acquisisce le abilità descritte in precedenza installando una nuova versione di Android.

I produttori hardware devono insomma lavorare insieme ai fornitori del modem e adeguare il livello radio del dispositivo.

WiFi, Bluetooth e permessi delle app hanno da tempo strumenti di controllo relativamente comprensibili. La rete cellulare, al contrario, resta per la maggior parte degli utenti una scatola nera: il telefono mostra il nome dell’operatore, qualche tacca e la sigla 4G o 5G, ma quasi nulla di ciò che accade durante autenticazione, negoziazione degli algoritmi o scambio degli identificatori.

Android 17 prova a compiere un bel balzo in avanti: il sistema prova a rendere osservabile il comportamento della rete cellulare e permette di conservarne una traccia. Per una piattaforma utilizzata da miliardi di dispositivi, è un cambiamento tecnico di grande portata.