On 08/02/2016 20:03, blackflag wrote:
> Ciao a tutti
> se ne e' parlato in passato ma ho perso il thread...
>
> Avete dei riferimenti sulla questione smartphone e sicurezza?
>
> Sono piu' affidabili le ROM "standard" o quelle gestite dalle comunita'
> (tipo Cyanogen)?
>
> Meglio un dumb-phone senza criptazione end-to-end o un smartphone che la
> supporta ma
> che ospita piu' facilmente un keylogger?
>
> Grazie a chi ne sa qualcosa...
>
Bisogna partire sempre da uno studio del threat model, ovvero: da cosa
ti vuoi difendere? Sicurezza totale non esiste, ed una sicurezza
"generica" rischia di essere una coperta troppo corta, che non ti
protegge cioe` da niente.
Qual e` il threat, l'aggressore, l'attacker da cui vuoi difenderti?
In base a questo, puoi avere delle risposte e che provero` a
sintetizzare qui sotto rispondendo alle tue due domande.
== ROM Standard vs ROM community (cyanogen) ==
Threat National State - Intelligence - sbirri (attacchi mirati): non
vince nessuno. Perche`? Perche` questo "attacker" ha risorse e mezzi che
permettono di scavalcare sia le protezioni tecniche (local root exploit
nel caso di ROM standard) che umane (social engineering).
Terze parti come apps malevoli o in generale attacchi di massa: non fa
nessuna grande differenza. Perche`? perche` entrambe le ROM possono
essere compromesse con un'app o una vulnerabilita` di qualche componente
(di solito webview). Che poi in entrambi i casi hai degli strumenti per
monitorare connessioni, processi, etc etc, quindi puoi avere una buona
dose di "monitoring".
Privacy: mah, direi forse leggermente meglio Cyanogen, che ti da` piu`
strumenti per controllare cosa fanno le tue app ed elimina quelle
installate di default (bloatware), ma puoi ottenere un discreto livello
di privacy anche con la ROM stock, dipende sempre da chi non vuoi essere
spiato :)
Vorrei anche aggiungere: a parte qualche aggiornamento tempestivo di
qualche bug (che con i provider arrivano dopo decenni), le ROM community
a mio avviso non danno una garanzia di nessun termine. La maggior parte
di loro ti danno, oltre ad una piu` vasta gamma di comandi unix da
terminale, delle app superfighe che pero` necessitano della root per
funzionare (tipo XPrivacy o come si chiama). Cosa che puoi fare
benissimo con una ROM stock (aka standard). Certo, hai meno app del
provider che rompono il cazzo con le ROM community, e quindi puoi voler
uno smartphone "pulito", ma personalmente le disabilito e sto bene cosi`.
== dumb-phone vs smartphone ==
Non ho ben capito cosa intendi per dumb-phone senza criptazione (un
cellulare di 20 anni fa?).
Se parliamo di quello, allora no way, sono molto piu` insicuri perche`
utilizzano protocolli GSM senza cifratura e quindi piu` facili ancora da
sniffare anche per un attacker non-nazionale.
In linea di massima, sempre avere un cellulare che utilizzi cifratura.
Tanto se vogliono il keylogger te lo mettono lo stesso, pero` certamente
gli rendi il lavoro piu` complicato, perche` non possono sniffarti le
chiamate (se utilizzi VoIP cifrato) o se si parla di Full Disk
Encryption, spento il cellulare e` andata. E quindi devono ingegnarsi
per installare un'app o exploitare lo smartphone, che comunque aggiunge
sempre una dose di incertezza sulla riuscita (il che gioca a tuo vantaggio).
Come sopra, anche qui va specificato da cosa vuoi difenderti e quali
sono gli scenari che piu` ti preoccupano, perche` ad esempio io mi posso
preoccupare di un raid a casa, mentre te magari di un controllo in
stazione, e quindi cambia anche la protezione che ti serve.
Se sviluppi meglio, sono sicuro arriveranno risposte piu` precise ai
tuoi bisogni.
Statte bbuono
--
Anathema
+--------------------------------------------------------------------+
|GPG/PGP KeyID: CFF94F0A available on http://pgpkeys.mit.edu:11371/ |
|Fingerprint: 80CE EC23 2D16 143F 6B25 6776 1960 F6B4 CFF9 4F0A |
| |
|https://keybase.io/davbarbato |
|https://www.msack.org |
+--------------------------------------------------------------------+
