Le recenti modifiche alle Play Integrity API di Google, pensate per rafforzare la sicurezza delle applicazioni Android, stanno avendo ripercussioni significative su GrapheneOS, un sistema operativo open source noto per la sua attenzione alla privacy e alla sicurezza.
L'introduzione del requisito "meets-strong-integrity" impone infatti l'utilizzo di un sistema operativo certificato da Google e di specifiche chiavi di sicurezza hardware, escludendo di fatto GrapheneOS e altri sistemi operativi alternativi. Questa restrizione impedisce di conseguenza l'esecuzione di applicazioni che si affidano alle nuove API, tra cui alcune app bancarie e governative.
Le prime vittime delle nuove API
Le prime vittime delle nuove API sono state l'app IO, che ora ospita anche il portafoglio digitale IT-Wallet, e l'app bancaria Revolut, entrambe inaccessibili agli utenti GrapheneOS. La motivazione ufficiale addotta da Google è la necessità di garantire l'integrità del dispositivo e dell'app, prevenendo l'utilizzo di sistemi operativi modificati o compromessi.
Tuttavia, questa decisione solleva diverse questioni. L'impossibilità di utilizzare app essenziali come IO limita fortemente l'esperienza utente su GrapheneOS e può essere interpretata come una forma di "vendor lock-in", che limita la libertà di scelta degli utenti e sfavorisce lo sviluppo di sistemi operativi alternativi, anche quelli che implementano meccanismi di sicurezza avanzati come GrapheneOS.
È interessante notare che GrapheneOS supporta la Hardware Attestation API, una soluzione alternativa considerata più aperta e sicura, compatibile con versioni di Android precedenti alla 13. Nonostante ciò, Google sembra privilegiare un approccio più restrittivo, legando la sicurezza alla certificazione del sistema operativo.
Le nuove Play Integrity API saranno obbligatorie per tutti gli sviluppatori a partire dal 2025, ma alcune app, come le già citate Revolut e IO, le hanno già implementate, precludendo di fatto l'accesso agli utenti GrapheneOS.
Sarà interessante osservare come evolverà la situazione nei prossimi mesi. Riuscirà GrapheneOS a trovare una soluzione per garantire la compatibilità con le nuove API o assisteremo a una progressiva marginalizzazione dei sistemi operativi alternativi fino all'intervento di qualche autorità di garanzia? Voi che cosa ne pensate? Diteci la vostra nei commenti qua sotto. Intanto Google ha esteso di nascosto il supporto software a tre "vecchi" Pixel con aggiornamenti per altri due anni.
