Verso il mobile pervasivo. Obiettivo sicurezza. Con l’arrivo di Android for Work e Knox 2.4 i nuovi dispositivi Android sono ancora più appetibili in ambito business. Anche per via della loro migliore integrazione con le piattaforme MDM. E poi per la sempre maggior apertura agli sviluppatori via API
Il delitto di lesa maestà, almeno negli USA si è consumato già da qualche tempo. iPhone e iPad hanno spodestato BlackBerry quale standard di riferimento per i dispositivi mobili in ambiente business[1]. Anche dove prima nessuno si era mai sognato di arrivare. Angela Merkel sembra la sola a resistere. Prima con l’ormai mitico Z10. Poi sembra con il più performante BB10. Persino Obama, un altro dei fan storici del marchio canadese, alla fine ha ceduto alla tentazione di cambiare. «iOS è stato progettato in modo eccelso, con grande attenzione alla semplicità di utilizzo ed efficaci feature di sicurezza. Il concetto di sandbox peculiare di questo sistema operativo è leggendario, l’assenza di porte USB aperte riduce sensibilmente l’accesso di contenuti malevoli e il controllo sulle app è estremamente severo» – afferma Walter Narisoni, sales engineer manager di Sophos Italia. Che iOS rappresenti la scelta migliore in termini di sicurezza del dispositivo sono in tanti a pensarlo. Addetti ai lavori e non solo. Android però è la piattaforma mobile più venduta del Pianeta. Secondo Idc, oltre quattro dispositivi su cinque recano il marchio con il robottino verde, leader anche a livello business, pur con un vantaggio minore in termini assoluti rispetto a iOS. Tutto questo nonostante la valanga di malware in circolazione che infesta la piattaforma e che fa dire ai suoi detrattori: «I dispositivi Apple sono i più sicuri in circolazione».
Due galli nello stesso pollaio?
Le armi in più a disposizione di Google per convincere i più scettici sono Android for Work, il software di containerization per la piattaforma Android. E la nuova versione di Knox, la suite di sicurezza sviluppata da Samsung, il leader incontrastato del mercato pur in leggera flessione per l’arrivo di nuovi attori cinesi, con cui ha deciso di giocarsi sino in fondo la partita contro i device di Tim Cook.
La fortuna di Knox fin qui è stata limitata. La prima apparizione ufficiale ha luogo un paio d’anni fa all’interno di alcuni smartphone di punta del vendor sudcoreano. L’idea di partenza era di conferire un livello di sicurezza più elevato alla piattaforma attraverso la possibilità di scegliere tra due profili d’utilizzo, uno personale e l’altro professionale. L’accoglienza però è stata tiepida. E le cose non sono migliorate neppure in seguito. L’anno successivo il colosso sudcoreano ha deciso perciò di rilanciarlo. L’occasione è arrivata in concomitanza con Google I/O 2014, la flagship conference del gigante di Mountain View durante la quale è stato annunciato l’utilizzo e l’implementazione dei servizi di Knox su Lollipop, l’ultima versione del sistema operativo. Con un impegno comune. Quello di lavorare insieme per progettare nuove application program interface (API) spendibili principalmente su tre tavoli: dispositivi e sicurezza dei dati; supporto alle politiche IT; gestione delle applicazioni mobili. Neppure questo rilancio in grande stile – però – è riuscito a decretarne il successo. Nei piani di Samsung, Knox avrebbe dovuto rafforzare l’immagine di Android quale piattaforma sicura anche in ambito business. In realtà, limitandone l’impiego a una gamma limitata di device, il produttore sudcoreano non ha mai dimostrato di crederci fino in fondo, spingendo per l’impiego su tutta la gamma di device prodotti. La situazione potrebbe ancora cambiare con l’arrivo dei nuovi Samsung S6, distribuiti con la nuova versione di Knox 2.4. Sui nuovi device, Samsung fa sapere che Knox 2.4 fornirà l’attivazione e l’aggiornamento Over-the-air (OTA), la possibilità di monitorare l’utilizzo dei dati personali e di business e la piena integrazione nella gestione delle password con Active Directory. Ma i nuovi Samsung supporteranno anche Android for Work, la suite di sicurezza con cui Google ha deciso di rilanciare la sfida ad Apple nella corsa ad accaparrarsi nuovi clienti business.
Android for Work. L’asso in mano a Google
Vediamo un po’ più da vicino che cos’è Android for Work (AFW). Sviluppata per Android 5.0, Lollipop AFW è la versione riveduta e corretta della app di containerization sviluppata in origine da Divide, azienda hi-tech specializzata in soluzioni BYOD e acquisita nei mesi scorsi da Google. La funzionalità principale è quella di consentire la creazione di uno spazio di memoria (container) separato da quello personale sul quale far girare le app di lavoro gestite dall’IT. Naturalmente, Google assicura la piena compatibilità di tutte le app disponibili sugli store Google Play. Tuttavia, per le versioni precedenti di Lollipop – da Android 3.0 Ice Cream Sandwich fino alla versione 4.4 KitKat – l’accesso alle funzionalità di AFW è subordinato all’installazione di una app eponima. Quale che sia l’opzione scelta, la gestione delle policy da applicare alle app eseguite nel container è subordinata alla disponibilità di una suite di mobile management. E a oggi quelle che supportano AFW non sono tantissime: BlackBerry, Citrix Systems, Google, IBM, MobileIron, SAP, Soti e AirWatch by VMware. Soddisfatte queste condizioni, le personalizzazioni configurabili come vedremo non mancano. Dove però AFW può solo parzialmente raccogliere la sfida di sicurezza è nei confronti del malware, probabilmente la minaccia più grave alla affidabilità della piattaforma Android. Se la scelta dello smartphone aziendale dovesse avvenire sulla base del codice dannoso in circolazione, il problema neppure si porrebbe.
La stragrande maggioranza del malware colpisce i dispositivi Android. Ma di per sé questo dato fatica a imporsi come indicatore attendibile del livello di sicurezza del sistema operativo on board e della piattaforma tout court. Detto questo, è un fatto che «i cybercriminali ritengono che concentrarsi sui dispositivi basati su Android sia più proficuo» – come ci ricorda Morten Lehn, managing director di Kaspersky Lab Italia. Eppure, «oltre che per ragioni di natura tecnica – prosegue Lehn – ciò si deve anche al fatto che sono quelli più diffusi». Diverso il punto di vista di David Gubiani, technical manager Italy di Check Point Software Technologies secondo il quale «proprio perché i criminali informatici vanno dove hanno più possibilità di avere successo, l’incidenza del malware sulla piattaforma Android rappresenta un indicatore sicuramente valido. Inoltre Android è un sistema «aperto» e questo lo rende inevitabilmente «meno sicuro», rispetto a sistemi proprietari, per loro natura più chiusi. «Anche se va detto – precisa Gubiani – che vari vendor hanno personalizzato le versioni montate a bordo dei loro apparati, aggiungendo sicurezza e robustezza al sistema operativo di base». Di certo, diversamente da quanto spesso si sente dire, Android non è l’unica piattaforma esposta ad attacchi. Anche sui dispositivi Apple il malware è in aumento. «Si tratta di una tendenza che è destinata a confermarsi anche per il 2015» –fa notare Maurizio Martinozzi, manager sales engineering di Trend Micro, che sottolinea la pericolosità della minaccia, riportandoci la scoperta avvenuta lo scorso febbraio di XAgent, «lo spyware capace di colpire i device iOS, impossessandosi di tutte le informazioni presenti sul dispositivo».
Come accennato, AFW solo parzialmente arriva a contrastare il malware presente nelle app di Android. Sia per la forte presenza di app virate distribuite dagli store, ufficiali e non, sia perché in Android, il file system è condiviso. Questo fa sì che il malware infetti le app attraverso i file di dati. A fare la differenza tra Android e iOS è l’utilizzo del sandboxing, un meccanismo di esecuzione protetta che impedisce alle applicazioni di accedere ad altre app, e anche ai file, alle preferenze, alle risorse di rete, all’hardware. Questo approccio impedisce alle falle di sicurezza eventualmente presenti in un’applicazione di compromettere le altre o il sistema operativo stesso. Che con AFW, i sistemisti IT possano bloccare l’installazione delle app non autorizzate non risulta altrettanto efficace. Neppure nella crittografia dei dati AFW imprime quella accelerazione da più parti auspicata. Infatti, la crittografia sui device Android non è ancora attiva di default. E questo, nonostante Google abbia più volte assicurato[2] che invece lo sarebbe stata a partire dalla consegna di tutti i nuovi device con a bordo Android 5.0 Lollipop. Senza contare che su molti modelli di fascia bassa non sono presenti funzionalità di gestione della crittografia. A tutto vantaggio di Apple, dove invece la crittografia dei dati è attiva di default. Pur con questi limiti tuttavia, AFW colma un vuoto. Almeno nel mondo Android. E rilancia la sfida sul terreno dei tool di gestione e sicurezza.
Ecosistema mobile
Anche se con tempi e modalità diverse, tutte le piattaforme si aprono gradualmente verso l’esterno. La carta da giocare è la compatibilità con quelle presenti sul mercato. Solo per fare un esempio, iOS, WP, Android e BB10 supportano le policy di sicurezza configurabili su Microsoft Exchange ActiveSync (EAS). Ma questa apertura è stata tutt’altro che omogenea. Per esempio, Apple ha iniziato a mettere a disposizione degli sviluppatori API standard da utilizzare per gestire il contenuto e l’impiego delle app solo a partire da iOS 7. L’approccio portato avanti da Apple è di gestire direttamente le app e il loro contenuto. E agli sviluppatori di implementare le API, rispettando le specifiche del server di gestione che dovrà interagire con loro. iOS poi consente solo una istanza per ogni app installata sul device. In questo modo, si nega all’utente la possibilità di installare una copia personale senza restrizioni della stessa app utilizzata per lavoro, gestita invece dall’IT. Apple non è stata la prima a proporre la gestione delle app tramite API. E già a partire dal 2011, numerose startup hanno lanciato sul mercato tecnologie di gestione delle app mobile. Ma con risultati deludenti. Da allora l’approccio dominante (e poi più diffuso) è stato quello della containerization, la separazione tra app e dati personali e di lavoro.
Pur rappresentando un notevole passo avanti, neppure la segregazione dei contenuti ha reso la gestione della sicurezza più semplice. Le policy applicabili variano sensibilmente da container a container, come le API native personalizzabili da una piattaforma all’altra. Ma non solo. Nel caso di Android, possono variare anche da un sistema operativo all’altro a seconda delle personalizzazioni effettuate dal costruttore di device mobili. Per ognuna poi, sono disponibili vari tool di gestione. La tendenza è di aprire i tool MDM al supporto di tutti i sistemi operativi presenti sul mercato, attraverso una singola console di gestione, anche integrando applicazioni client che aggiungono funzionalità non fornite dalle API native. Apple – per esempio – mette a disposizione decine di API per la gestione del dispositivo e API che utilizzano profili personalizzati per configurare sia numerosi settaggi sull’iOS sia la gestione delle app. Inoltre, su tutti i device è possibile disabilitare la cancellazione di tutti i contenuti e configurare restrizioni personalizzate. Anche Microsoft, a partire da Windows Phone 8, supporta la possibilità di disinstallare le app, limitare il forwarding delle mail, effettuare da remoto installazione, disinstallazione e aggiornamento delle app distribuite nello spazio business.
Una funzionalità di Windows Phone 8 non disponibile invece su altri sistemi operativi è l’integrazione con Active Directory. Attraverso l’impiego di tool MDM compatibili è possibile accedere ai gruppi di Active Directory e assegnare a ciascuno policy ad hoc: una feature che riduce il rischio di inserire nel gruppo sbagliato uno o più utenti, vanificando l’effetto delle policy configurate. Per quanto riguarda le API di Android, Google non ha ancora rilasciato le specifiche di Android for Work. Ma sappiamo che per arginare la minaccia del malware, AFW consente all’IT di limitare il provisioning delle app nello spazio di lavoro. L’IT inoltre può installare, aggiornare e rimuovere le app in modo del tutto trasparente per l’utente. E configurare una serie di policy per disabilitare il copia e incolla dal container di lavoro verso l’area personale così come impedire l’utilizzo della fotocamera o la copia di dati non autorizzata; definire quale app può utilizzare una VPN per l’accesso alle risorse aziendali, e anche disabilitare le comunicazioni via VPN aziendale delle app personali. Google inoltre ha reso noto che dal proprio app store è possibile effettuare l’installazione distribuita delle app attraverso la formula delle licenze a volume tramite Google Play for Work, un’application che già supporta le app gratuite e che a breve estenderà il supporto anche a quelle a pagamento. Modalità questa, simile a quella introdotta da Apple a partire da iOS 7.
E non finisce qui
Come abbiamo visto, l’apertura delle piattaforme mobile verso componenti di terze parti non è stata né omogenea né simmetrica. Ogni costruttore mobile che adotta Android ha sempre la facoltà sia di personalizzare il sistema operativo sia il set di API che lo accompagna. Ciò può lasciare scoperte una o più aree di sicurezza. Un aspetto importante per le implicazioni di sicurezza che comporta, è l’integrazione tra hardware e software del dispositivo. Spesso si sente dire che la sicurezza di un certo sistema operativo dipende dalla qualità costruttiva dell’hardware. Ma è difficile stabilire in che misura la sicurezza di uno smartphone dipende dal livello d’integrazione tra la componente hardware e il sistema operativo installato. «Il sistema di controllo del dispositivo funziona su più livelli: la CPU dello smartphone verifica il firmware; il firmware accerta la compatibilità del sistema operativo; il sistema operativo controlla l’algoritmo del file base di sistema; il file base di sistema controlla l’algoritmo di tutte le applicazioni caricate» – sintetizza efficacemente Gregorio Piccoli, responsabile tecnologie di sviluppo di Zucchetti. Anche Morten Lehn di Kaspersky ritiene importante disporre di una forte integrazione tra questi componenti in termini di sicurezza. Ma nota altresì che «se si guarda alla tipologia di malware più diffusa tra gli smartphone, ci si rende conto che nella maggior parte dei casi il problema dipende più da un errore umano, che dal tipo di software o hardware». Ancora una volta si tratta di analizzare le proprie esigenze. Non in funzione del singolo aspetto, ma per quanto possibile in modo complessivo. «A seconda di quelle che sono le caratteristiche e le abitudini dei dipendenti piuttosto che del top management, dell’infrastruttura IT, dei bisogni di sicurezza e della loro gestione, bisognerà andare a scegliere il device che meglio risponde al maggior numero possibile dei requisiti identificati» – spiega Sergio Patano, research & consulting manager di IDC Italia. E poi dipende anche dall’uso che si vuole fare del device.
«In questo momento, tutti i principali costruttori si adoperano per realizzare dispositivi all’altezza delle esigenze del mercato. Anche a livello di integrazione hardware e software» – afferma Luca Bechelli, membro del comitato tecnico scientifico di CLUSIT, l’associazione italiana per la sicurezza informatica. «Detto questo – continua Bechelli – non è da escludere che se domani dovesse fare la sua comparsa un costruttore con standard qualitativi più bassi, sarebbe del tutto legittimo aspettarsi una reazione del mercato di conseguenza. In questo quadro, secondo Alessandro Peruzzo, amministratore unico di Panda Security Italia, «gli smartphone Apple risultano i più rispondenti a questo paradigma: sistemi chiusi dove le uniche installazioni di app aggiuntive possono provenire solo dall’Apple Store che, prima di pubblicarle, le certifica». È molto probabile che la diffusione del mobile payment darà nuovo impulso a questo aspetto. E non appena diventerà alla portata di tutti effettuare piccoli pagamenti con il proprio smartphone, probabilmente si farà più pressante la richiesta di una qualità costruttiva all’altezza delle nuove funzionalità presenti nello smartphone.
AirWatch e Google migliorano la sicurezza dei dispositivi Android nelle aziende
Come ci spiega Marenza Altieri-Douglas, enterprise executive Italy di AirWatch by VMware, il nuovo programma di Google, Android for Work (AFW), riunisce produttori, rivenditori e fornitori di soluzioni di enteprise mobility management (EMM), per assicurare alle aziende la corretta gestione dei dispositivi con sistema operativo Android. «Il programma, avvalendosi delle funzionalità di AirWatch by VMware fornisce alle aziende maggior sicurezza sui dati in mobilità, una gestione semplificata dei dispositivi e una piattaforma unica per il controllo, semplificando la gestione delle politiche legate al lavoro, ai profili e ai dati su tablet e smartphone Android. La soluzione EMM di AirWatch by VMware si integra perfettamente con Android for Work, offrendo alle aziende funzionalità avanzate di gestione dei dati e delle applicazioni, protezione delle app e integrazione con i sistemi di gestione IT, tra cui Microsoft Exchange e Google Apps for Work. Grazie all’integrazione con Android for Work, le aziende che utilizzano dispositivi Android gestiti da AirWatch potranno avvalersi di un profilo di lavoro crittografato che mantiene separati e protetti i dati, le applicazioni, la posta elettronica e i contenuti aziendali da quelli personali. Con Android for Work, AirWatch sarà in grado di offrire ai propri clienti una soluzione di mobility ancora più ampia per la gestione di tutti i dispositivi da un’unica piattaforma, confermando la propria mission aziendale: Simplify Enterprise Mobility».
Conclusioni
A questo punto della discussione, non è più possibile sottrarsi alla domanda che tutti si pongono quando si tratta di scegliere lo smartphone più adatto per il business. In particolare quando si parla di sicurezza è meglio un Android o un melafonino con a bordo iOS? Ritornare al vecchio BlackBerry riverniciato di fresco o puntare sui nuovi – che poi tanto nuovi non sono più – Windows Phone? Oppure, scommettere sul device di nicchia? La risposta non può non tenere conto dell’analisi di numerosi fattori[3]. Molto naturalmente dipende dall’utilizzo che si vuol fare della piattaforma. Dal livello di competenza del proprio reparto IT. Dal budget a disposizione. E anche dal grado di maturità delle tecnologie esistenti. Molto può fare anche la vivacità degli attori. Come abbiamo visto, la competizione tra Google e Samsung da una parte e Apple dall’altra mira costantemente a spostare la domanda su aspetti che non sono più legati soltanto all’estetica o al prezzo. Non solo. Cambiano gli attori nell’arena. E con le loro scelte tentano e qualche volta riescono a invertire tendenze consolidate. E non potrebbe essere altrimenti: enorme il valore del mercato e proporzionali gli appetiti che scatena. Le prospettive di sviluppo indicano che ci stiamo dirigendo verso una presenza pervasiva dei dispositivi mobile, che prima o poi bisognerà riuscire a governarne meglio di quanto si riesca a fare oggi. Anche in Italia. Dove per ora sono pochi i casi di aziende che hanno sviluppato progetti mobile avanzati, non sempre per loro negligenza. Le tecnologie sono in evoluzione. E per alcune, la piena maturità deve ancora arrivare. Gli stessi smartphone poi soffrono ancora di limiti che ne rallentano l’adozione massiva in ambito business. Infine, la sicurezza non è certo al primo posto quando si tratta di prendere decisioni nel campo della mobility. Anche questa tendenza – però – presto potrebbe cambiare, catapultando la sicurezza di nuovo al centro della discussione.
[1] Vedi in http://www.infoworld.com/article/2613574/mobile-technology/enterprises-dropping-blackberry-support-in-favor-of-the-iphone.html
[2] Vedi in http://www.infoworld.com/article/2686097/security/google-to-turn-on-encryption-by-default-in-next-android-version.html
[3] Per una panoramica esaustiva dei numerosi fattori da considerare si veda il pregevole paper realizzato da Clusit dal titolo Mobile Enterprise: sicurezza in movimento, disponibile in https://clusit.it/download/index.htm.
