Autorizzazioni alle app: quali rischi e come gestirli in azienda

Installare un’applicazione è il gesto più ripetuto su qualsiasi dispositivo mobile, e quasi sempre si conclude con una richiesta di permessi accettata senza leggerla. Alcune di quelle richieste sono indispensabili al funzionamento del servizio, altre servono a raccogliere informazioni che non hanno alcun rapporto con ciò che l’applicazione dichiara di fare. La differenza non è visibile al momento dell’installazione, e il permesso concesso resta valido finché qualcuno non lo revoca.

Il tema riguarda la vita privata di chi usa il telefono, ma non si esaurisce lì. Nella maggior parte delle aziende italiane lo stesso dispositivo su cui si installano applicazioni personali accede anche alla posta di lavoro, ai documenti condivisi e talvolta alle credenziali aziendali. Da quel momento un permesso concesso con leggerezza smette di essere una questione di privacy individuale.

1. Che cosa concedete quando autorizzate un’applicazione
2. I permessi che meritano più attenzione
3. Quando il dispositivo accede anche ai dati aziendali
4. Che cosa prevede la normativa e cosa fanno gli store
5. Come ridurre il rischio

Che cosa concedete quando autorizzate un’applicazione

Un permesso è l’autorizzazione ad accedere a una funzione o a un archivio del dispositivo: fotocamera, microfono, posizione, rubrica, archivio dei file, notifiche. Alcuni sono necessari per definizione, perché un’applicazione di videochiamata senza accesso alla fotocamera non svolge il proprio compito. Altri sono richiesti per ragioni che non hanno relazione con la funzione dichiarata, e servono a costruire un profilo commerciale rivendibile a terzi.

Il criterio per distinguerli è più semplice di quanto sembri: chiedetevi se il permesso richiesto è indispensabile a ciò che l’applicazione promette di fare. Un’applicazione di fotoritocco che chiede la rubrica non ha nessuna necessità tecnica di leggerla. Una torcia che chiede la posizione geografica nemmeno. Quando la richiesta eccede la funzione, il motivo è quasi sempre la raccolta di dati, e in qualche caso qualcosa di peggio.

C’è poi un aspetto che sfugge, e riguarda la durata. Sui sistemi operativi recenti è possibile concedere un permesso solo per la sessione in corso, ma l’impostazione predefinita resta spesso quella permanente: il permesso concesso una volta continua a valere anche mesi dopo, quando l’applicazione è ancora installata ma non la si usa più. Le raccolte di dati più estese avvengono proprio in quella condizione, mentre nessuno guarda lo schermo.

I permessi che meritano più attenzione

Non tutte le autorizzazioni hanno lo stesso peso. Alcune espongono informazioni riservate, altre consentono di intervenire sul funzionamento del dispositivo, e la seconda categoria è quella che conta davvero.

1. Servizi di accessibilità. Nati per assistere le persone con disabilità, permettono a un’applicazione di leggere quanto compare sullo schermo e di simulare i tocchi dell’utente. È il permesso più abusato dai trojan bancari su Android, perché consente di osservare l’inserimento delle credenziali e di operare sull’interfaccia al posto di chi possiede il telefono. Nessuna applicazione di intrattenimento ha un motivo legittimo per richiederlo.
2. Accesso alle notifiche. Consente di leggere il contenuto dei messaggi in arrivo, compresi i codici di verifica temporanei. È il modo in cui un secondo fattore basato su SMS può essere intercettato senza toccare il dispositivo.
3. Amministrazione del dispositivo. Attribuisce privilegi elevati, tra cui la possibilità di ostacolare la rimozione dell’applicazione stessa. Una richiesta di questo tipo da parte di un’applicazione di consumo è un segnale da non ignorare.
4. Installazione di altre applicazioni. Permette di scaricare e installare ulteriore software, ed è il meccanismo con cui un’applicazione apparentemente innocua introduce il componente malevolo dopo essere passata dai controlli dello store.
5. Rubrica, posizione e archivio dei file. Non consentono di intervenire sul dispositivo ma espongono l’informazione più commercialmente utile, ed è la categoria in cui si concentra la raccolta dati su larga scala.

Vale la pena notare come queste autorizzazioni possano concatenarsi. Un’applicazione che legge le notifiche e simula i tocchi dispone di quanto serve per completare un’operazione al posto vostro, ed è la ragione per cui l’autenticazione via messaggio è considerata il fattore più debole tra quelli disponibili: se state valutando come irrobustire gli accessi, abbiamo raccolto il quadro completo nella guida all’autenticazione a più fattori.

Quando il dispositivo accede anche ai dati aziendali

Qui il problema cambia scala. Un telefono personale su cui è configurata la posta di lavoro custodisce anni di corrispondenza, allegati, contatti di clienti e fornitori, e spesso le credenziali salvate per accedere a portali aziendali. Un’applicazione con permessi eccessivi installata su quel dispositivo non compromette una fotografia di famiglia: si trova nella stessa posizione di un accesso interno all’organizzazione, senza aver superato nessun controllo perimetrale.

È una superficie che quasi nessuna azienda censisce. I sistemi in rete sono inventariati, i portatili sono gestiti, i dispositivi mobili dei dipendenti quasi mai — perché sono di proprietà personale e perché nessuno vuole affrontare la conversazione. Il risultato è che una parte consistente dei dati aziendali risiede su apparati di cui l’organizzazione non conosce nemmeno lo stato degli aggiornamenti, un problema che si somma a quello più generale della gestione delle patch.

La conseguenza pratica è che le difese tecniche, su questo fronte, servono meno delle abitudini. Un permesso concesso è una decisione presa da una persona in tre secondi, e nessun sistema centrale la intercetta: quello che riduce il rischio è che chi tocca lo schermo sappia distinguere una richiesta legittima da una che non lo è.

Che cosa prevede la normativa e cosa fanno gli store

Il Regolamento generale sulla protezione dei dati impone a chi sviluppa un’applicazione di dichiarare quali dati raccoglie e per quali finalità, e di consentire la revoca del consenso in qualsiasi momento. È un obbligo che ha migliorato la trasparenza formale, non necessariamente la sostanza: un’informativa completa resta un documento che quasi nessuno legge, e il consenso continua a essere concesso nel momento in cui si vuole usare l’applicazione, cioè nella condizione peggiore per valutare.

Anche le piattaforme di distribuzione applicano controlli e rimuovono le applicazioni che violano le proprie regole. Restano però due limiti: la verifica avviene su ciò che l’applicazione fa al momento della pubblicazione, mentre un aggiornamento successivo può modificarne il comportamento, e la rimozione dallo store non disinstalla nulla dai dispositivi su cui l’applicazione è già presente. Fuori dai canali ufficiali questi controlli semplicemente non esistono, ed è il motivo per cui l’installazione da fonti alternative resta il singolo comportamento a rischio più alto — con una dinamica analoga a quella che rende pericoloso aprire un allegato di provenienza incerta.

Come ridurre il rischio

La misura più efficace non richiede strumenti: consiste nel leggere le richieste prima di accettarle e nel domandarsi se il permesso serva a ciò che l’applicazione promette. Dove il sistema operativo lo consente, conviene concedere l’accesso solo per la sessione in corso invece che in modo permanente, in particolare per posizione, microfono e fotocamera.

Un secondo accorgimento riguarda la manutenzione. Le autorizzazioni concesse si accumulano nel tempo e nessuno le rivede, quindi vale la pena aprire le impostazioni ogni pochi mesi e verificare quali applicazioni dispongono dei permessi più delicati — servizi di accessibilità, lettura delle notifiche, amministrazione del dispositivo. Le applicazioni che non usate più vanno rimosse, perché un’applicazione dimenticata mantiene i propri privilegi senza che nessuno se ne accorga.

Sul piano aziendale la questione va affrontata prima che sorga un problema. Definire quali dati possono risiedere su dispositivi personali, quali applicazioni sono ammesse su un apparato che accede alla posta di lavoro e cosa accade quando un dipendente lascia l’organizzazione sono decisioni organizzative, non tecniche. E chi ha già subito una compromissione delle credenziali sa che il percorso di rientro è lungo: su questo abbiamo raccolto alcune indicazioni per contenere il rischio di esposizione.

In conclusione

Le autorizzazioni concesse alle applicazioni sono uno dei pochi punti in cui la sicurezza di un’organizzazione dipende da un gesto individuale, ripetuto ogni giorno e mai registrato da nessuno. Le difese tecniche non intercettano quel gesto, e le normative lo governano solo in parte.

Per un’azienda il passo utile è smettere di considerare i dispositivi mobili una questione privata dei dipendenti e includerli nel perimetro che viene periodicamente esaminato, insieme a reti, server e applicazioni esposte. È l’unico modo per sapere quanto della propria informazione si trova su apparati che nessuno controlla.