Certificazione, Sicurezza E Funzionamento

[leoniDAM]

Topic nato dalla discussione https://www.nokioteca.net/home/forum/index.php/topic/242174-le-app-si-possono-istallare-solo-dallo-store/

la certificazione delle app a poco a vedere con i virus, e continuo a pensare che i virus per gli Smartphone siano una leggenda metropolitana.
per quanto riguarda l'installazione delle app in più dispositivi, WP é lontano anni luce, dalla versatilità di Android.
Non. Voglio sembrare troppo critico, ma se gli altri hanno una cosa che funziona bene, dobbiamo tenerne conto

La certificazione delle apps ha molto a che vedere con la sicurezza, serve (anche e soprattutto) ad accertarsi che l'apps non esegua operazione che possono compromettere il terminale in qualche modo.
Non so, ma io trovo molto versatile poter installare le apps anche se ho lasciato il cellulare a casa, così come mi sembra versatile mettere le apps su una SD ed installarle

Ritengo il discorso virus non rilevante, l'unici che potrebbero sviluppare dei virus, sono proprio i creatori degli anti virus, e per non rendere appetibile questo business, basta non correre a scaricare le app antivirus!

A dirla tutta ci sono anche decine di centinaia di delinquenti che sono interessanti, questa è una affermazione che denota una certa superficialità in merito.
Il traffico di informazioni personali è un giro d'affari grandissimo, qualche tempo fa usci fuori anche un tariffario del prezzo di informazione (come nome e cognome, indirizzi, mail, contatti), pochi giorni fa c'è stata una compromissione di massa su Yahoo, vi siete mai chiesti come potete fare tutto quello che fate su internet, come leggere le mail, comprare cose, controllare il proprio credito telefonico o fare operazioni bancarie con relativa sicurezza? Perché c'è qualcuno che si fa le pippe mentali su come garantire la sicurezza di queste cose. Ma non solo, anche per i programmi sul pc lo sviluppatore (almeno il programmatore professionale) la prima cosa che si chiede riguardo le righe di codice che ha appena scritto è se il suo è codice safe o meno, cioè se può compromettere il dispositivo o il programma.

Il fatto è che la quantità di accorgimenti per garantire la sicurezza di un programma viene ignorata dall'utente (ed è anche giusto che sia così, non è necessario che un utente sappia tutto), ma ciò non vuol dire che non ci siano, esistono accorgimenti sia hardware (come l'NX) che software (come ASLR) ed il fatto che si possono fare con relativa tranquillità quasi ogni cosa con un dispositivo informatico non significa che non serve preoccuparsi della sicurezza.
E' un po' come i vaccini, solo perché oggi tu non ti ammali di rosolia non significa che non serva che ti vaccini, anzi è proprio grazie ad esso che non ti ammali ed è per questo che continua ad essere necessario vaccinarsi...

Modificato 21 Febbraio 2014 da mancae90

[hermes®]

Mi pare si stia facendo un pò di confusione, la certificazione di un, programma, app, driver, deve garantire il buon funzionamento dell'hardware, deve far si che questa non provochi danni deve, essere compatibile al 100%, con il tuo dispositivo, e altre cosette che non sto a tirar fuori!

La sicurezza, come tu la interpreti è ben altra cosa, è come ti ho detto, non centra niente con la certificazione, come la sicurezza non centra niente sul fatto che si possa installare una app direttamente da memoria interna.

Se hai fatto caso, molte App, programmi ho driver, ti fanno accettare i termini di installazione, e specie nelle app non è difficile imbattersi in questi tipi di messaggi al momento dell'installazione!

Chiamate telefoniche
Leggi stato e ID telefono
Consente all'applicazione di accedere alle funzioni telefoniche del dispositivo .
Un'aplicazione con questa autorizazione puo' stabilire il numero di telefono e il numero di serie .
Se e' in corso una chiamata ,puo' stabilire il numero e cui e' connessa e altre informazioni simili

I messaggi possono essere di vario tipo, questo è solo un esempio, ma non per questo l'app non è certificata per l'installazione!

Discorso virus......... Ripeto.......... io ho già avuto 7 smartphone, con sistemi che vanno da Android 1.6 al JB ultima versione, ho avuto simbyan, ho avuto windows mobile 5.5, 6, 6.5 e adesso ho WP8.

E con tuttto quello che ci ho smanettato e installato, non mi è mai capitato di prendere, neppure un minimo raffreddore, quindi per quello che mi riguarda i virus, sono una leggenda metropolitana!

Poi la sicurezza di un sistema è altra cosa, però siccome anche qui sono stati tirati in ballo sistemi per pc, posso dirti che la difesa migliore consiste nel proteggere al meglio la tua rete, dopo di che, il pc client, è quasi sempre al sicuro!

Poi liberissimo di pensarla in maniera diversa, anche perchè non la si può pensare tutti nella solita maniera

[leoniDAM]

Fai confusione riguardo la certificazione delle apps, la certificazione alla quale ti riferisci tu non è la stessa che fa lo store di Windows Phone (parlo di questo perché questo conosco). Poi non è che devi tirare fuori tu chi sa cosa, basta semplicemente andare a leggere la documentazione di Microsoft (parlando dello store di Windows Phone) è lì che c'è scritto cosa e come e quali criteri bisogna soddisfare per ottenere la certificazione della propria apps, non di certo le altre cosette che non sti a tirar fuori tu...

Quando realizzi un'app per Windows Phone (lo stesso discorso vale per le Windows Store Apps) lo sviluppatore deve compilare il file di manifest nel quale uno lui deve dichiarare quali sono le funzionalità dell'app, quando si invia l'app la prima cosa che fa lo store è verificare che le funzionalità dichiarate nel manifest sono quelle effettivamente utilizzate dall'app.

Se nel manifest non indico che l'app accede ai contatti, ma utilizzo l'API per leggere la rubrica del telefono, l'app non passa la certificazione, tanto per fare un esempio banale.

Il manifest ha due funzioni, da una parte serve per rendere edotto l'utente delle funzionalità dell'app che così è reso consapevole e può decidere se utilizzare o meno tale app, dall'altra permette a Microsoft di rendere più difficile nascondere funzionalità non volute (personalmente mi sorgerebbe qualche dubbio se un'app che fa da dizionario acceda ai miei contatti...).

Ma a parte il file di manifest, vengono bloccate le chiamate a certe API, ad esempio è il motivo per cui è possibile utilizzare solo Trident come layout engine per i browser internet, perché realizzare layout engine richiederebbe la necessità di accedere ad API che necessitano di permessi molto elevati il che esporrebbe a particolari rischi di sicurezza.

Allo stesso modo uno sviluppatore indipendente non può realizzare un'app che accede ai dati finanziari di un utente (come un client per la propria banca o il proprio operatore telefonico) se non utilizza dei particolari accorgimenti e l'app viene rimossa se tali accorgimenti non vengono presi, ancora si impone la possibilità di poter disattivare la localizzazione all'interno di un'app.

Ovviamente per ottenere la certificazione si fa, anche più banalmente, una scansione anti-maleware, c'è obbligo di utilizzare codice type-safe e l'impossibilità di eseguire security critical code.

Questo solo per fare qualche esempio di alcune delle richieste di sicurezza necessarie per ottenere la certificazione per il Windows Phone Store, che sicuramente comprende anche richieste sulle performance e sul tipo di contenuti, oltre che garantire la protezione e la privacy dell'utente.

Ma secondo te come è possibile proteggere la propria rete? Semplicemente utilizzando software e hardware che implementano (anche) tutti quegli accorgimenti di sicurezza che vengono utilizzati anche in un sistema operativo o su un qualunque software su un PC, oltre a tanti altri. Puoi avere il miglior firewall hardware al mondo, ma se soffre di vulnerabilità buffer overflow ti serve a poco, inoltre una rete sicura ti serve a poco in attacchi di tipo Man-In-The-Middle, come potrebbe essere un esempio un acquisto online, dove qualcuno può sniffare i tuoi dati quando questi non ben al di fuori della tua rete, allo stesso modo una rete ben protetta serve a poco quando, magari utilizzano social engineering, ti fanno installare un programma che semplicemente invia i tuoi dati a qualche serve remoto (e di solito una rete la si protegge per le connessioni in entrata, non tanto per quelle in uscita). Giusto per fare qualche esempio banale.

Prova ad installare apps da Store di terze parti che non sia il Google Play di dubbia gestione...

Se sono pochi i terminali Android infetti è perché nella maggior parte dei casi le apps vengono installate dal Google Play Store che garantisce un minimo di sicurezza, mentre su Windows Phone attualmente non ci sono vulnerabilità note e non ci sono exploit mentre di iOS non conosco la situazione

Personalmente io lo so bene quale è la difesa migliore e certamente il fatto che tu non abbia preso virus non significa che siano una leggenda metropolitana, io non sono affetto da SMA1, ma non per questo la reputo una leggenda metropolitana...

Inoltre se fossero leggende metropolitane, perché mai Google, Microsoft, Apple, ecc... dovrebbero pagare fior di quattrini in premi da dare a tutti quelli che scovano vulnerabilità?

Modificato 21 Febbraio 2014 da leoniDAM

[mancae90]

Ho provveduto a dividere questi post dalla precedente discussione in modo che l'argomento possa essere trattato senza andare fuori discussione nell'altro topic