Il reset sui dispositivi Android non elimina tutti i dati memorizzati

Quando si vende, regala o smaltisce uno smartphone non si vuole di certo che chi ne entra in possesso possa accedere ai dati memorizzati. E quindi – è stata messa appositamente per questo – si utilizza la funzione di ripristino o di reset, quella che cancella tutto e porta il tuo telefono alla “impostazioni predefinite di fabbrica“, come se fosse appena uscito dal negozio. Ma siamo certi che sia così? Forse no o perlomeno non per gli smartphone con sistema operativo Android a partire dalla versione 2.3. x (Gingerbread) fino alla 4.3 (Jelly Bean).

Lo dice uno studio dei ricercatori Laurent Simon e Ross Anderson dell’Università di Cambridge, che hanno scoperto che spesso non tutti i dati sensibili vengono eliminati correttamente. Hanno testato alcuni smartphone usati e comprati tramite eBay: si trattava di dispositivi Samsung, Htc, Lg Electronics, Motorola e tre modelli della gamma Google Nexus. Nell’80% dei casi i ricercatori sono riusciti a recuperare il “master token” Google (utilizzato da Android per l’accesso ai dati delle applicazioni proprietarie, come Gmail o Calendar), fatto che potrebbe consentire a un utente malintenzionato di risincronizzare il dispositivo con l’account Google del proprietario precedente, l’accesso alle e-mail, contatti, alle password Wi-Fi e ad altri dati di backup associati all’account. Hanno anche recuperato immagini, video e messaggi di testo. In tutti gli smartphone esaminati era ancora presente qualche traccia di dati preesistenti, in particolare quelli relativi alle app di Facebook e WhatsApp.

Secondo i docenti di Cambridge le cause sono varie e complesse: può dipendere in parte dal metodo con cui è realizzata la memoria e senz’altro dal fatto che il software, che dovrebbe provvedere ad “azzerare” tutto, non è stato aggiornato o non è adeguato. I metodi di crittografia sembrano inefficaci e durante il processo di reset la chiave per la cifratura di un file non è cancellata. L’unica protezione è una password definita dall’utente. Se si si tratta del classico pin a quattro cifre l’accesso per un esperto è abbastanza semplice. Ecco perché sarebbe consigliabile l’uso di password complesse e lunghe, che mettano a dura prova i malintenzionati.

Google non ha rilasciato dichiarazioni sulla situazione, ma secondo i due ricercatori a partire dalla versione 5.1 di Android la gestione della crittografia è cambiata e la cifratura è a più ampio spettro. Questo dovrebbe avere migliorato le tecniche di ripristino.  (cit. La Repubblica)