Scovata una falla di sicurezza nel processo di installazione di Fortnite per Android

25 Agosto 2018 121

La decisione di rilasciare un prodotto così importante come Fortnite al di fuori del Play Store è stata sicuramente una mossa coraggiosa. Così facendo Epic ha deciso di assicurarsi introiti diretti, senza dover dunque condividere con Google una percentuale degli acquisti in app effettuati dai suoi gamers, ma al tempo stesso ha aperto la strada a diverse critiche, sopratutto dal punto di vista della sicurezza.

Proprio per quest'ultimo caso all'interno dell'issue tracker di Google è stata riportata un'importante vulnerabilità, che la Epic ha prontamente risolto.

Secondo quanto è stato segnalato, il vecchio installer di Fortnite consentirebbe infatti di sfruttare gli attacchi man-in-the-disk: l'utente, una volta scaricato ed eseguito l'apk dal Galaxy Apps, grazie ad un codice o un'applicazione malevole già presente all'interno del telefono, potrebbe trovarsi a scaricare dati non inerenti a fortnite per poi avviare un'applicazione del tutto sconosciuta.

La vulnerabilità poteva essere sfruttata in quanto l'installer sviluppato da Epic non effettuava controlli approfonditi, limitandosi ad analizzare il nome del pacchetto che doveva coincidere con com.epicgames.fortnite.

La falla è stata scovata il 15 di Agosto da un ricercatore Google, esattamente 6 giorni dopo il primo rilascio per dispositivi Samsung di Fortnite. Epic, una volta scoperta la falla, ha rilasciato il nuovo installer in pochissime ore chiedendo a Google di attendere 90 giorni prima di rendere pubblica la vulnerabilità. Di controrisposta Google ha decido di non modificare la sua policy ed ha pubblicato i dettagli della falla esattamente 7 giorni dopo che la patch è stata resa disponibile.


121

Commenti

Regolamento Commentando dichiaro di aver letto il regolamento e di essere a conoscenza delle informazioni e norme che regolano le discussioni sul sito. Clicca per info.
Caricamento in corso. Per commentare attendere...
Emanuele Fulco

Appunto, ti sei risposto da solo. Limitassero su 4gb di ram, non su dispositivi superiori.

Max

5T quanti giga di RAM ha? Mi pare 6...
Il problema sembra essere con 4 giga.

Zazzy

Il codice di condotta di Project Zero dice di aspettare 90 giorni nel caso in cui NON venisse patchata la falla. Ma al momento che viene chiusa, la policy è che la disclosure avviene "dopo che la patch è stata ampiamente distribuita",

Emanuele Fulco

Io su di un OnePlus 5T ci ggiocavo divinamente senza perdere frames :-). Se sui Pixel fa pena, limitassero quei dispositivi, non tutti.

Nurgiachi

Guarda che il comportamento schifoso e meschino è stato di Google.
La falla è stata scoperta e lo stesso giorno è cominciato il rilascio della patch da Epic. In queste situazioni il codice di condotta impone di aspettare 3 mesi prima della divulgazione del problema,

A quanto pare a Google premeva più far fare una brutta figura ad Epic che non gli paga l'obolo piuttosto che tutelare gli utilizzatori di Android rimasti senza protezione.

Personalmente di Fortnite non mi interessa nulla ma il caso è sconcertante proprio perché si tocca con mano quanto interessi a Google della sicurezza delle informazioni dei suoi utenti Android.

DeathTheKid

Da quando la scelta del nick deve essere parallela all immagine profilo ? XD ( no apparte gli scherzi, perché ormai su molti siti ho commentato con questo Nick e non mi va di cambiare, altrimenti le persone non si ricordano)

xantarmob

Cappellata intergalattica... Ed il bello è che han chiesto 90 giorni prima di tirare fuori sta storiella che (se non fosse stata sgamata quasi al volo) avrebbe provocato notevoli danni.

Achille

RILEVATA AHAHHAHA

sopaug

è da pazzi dire il contrario. Se l'utente windows clicca su exe a caso la colpa è dell'utente che non sa usare windows, non di microsoft. Altrimenti è come dire che un utensile come un coltello non sia sicuro perchè ti ci puoi tagliare se lo impugni dalla lama.
E spero di aver risolto la questione con questo esempio tanto semplice che ti raccontano il primo giorno di qualsiasi corso di sicurezza informatica, caro il mio espertone da blog.

sopaug

sarebbe sicuro perchè non puoi scegliere di installare app esterne? Vai a studiare un po' di sicurezza informatica prima di rispondere altre fesserie con arroganza del tutto ingiustificata vista la tua preparazione.

sopaug

virus mascherati da pdf che installano apk? In quale film esattamente?

sopaug

vedo che vai avanti... Vorrei sapere di cosa ti occupi nella vita. Spero di nulla di informatico perchè i tuoi paradigmi di sicurezza sono risibili se hanno i loro fondamentali in un ente terzo di certificazione (apple) piuttosto che nel sistema stesso a disposizione dell'utente.

Parli di cose che non conosci e ti rendi ridicolo.

sopaug

e cosa c'entra il comportamento DEGLI UTENTI rispetto alla sicurezza di un SO? Quindi secondo il tuo ragionamento sarebbe meglio fare come apple e non permettere del tutto l'installazione al di fuori dallo store.

Utente apple medio, sacrificare la scelta per proteggere gli i.dioti. Dice bene l'altro utente, hai fatto la tua figuraccia anche oggi, bravo.

Neu

Tutto sto polverone non si sarebbe alzato se, come accade su iOS, per installare le app si passasse dallo store ufficiale. Moltissime persone giocano a fortnite, ergo moltissime persone disabiliteranno tale opzione per usarlo...
E anche oggi hai perso l'occasione di capire quanto uno scrive e contestualizzarlo

BoORD_L

Che l'app non sia sullo storie ufficiale e affinché l'exploit devi aver modificato la configuratore di default ti sembrano 'c agate'?
Prego di accomodi che anche quella di oggi l'hai fatta

Mako

Ecco appunto, scaricare fuori dallo store lo fai se sei consapevole o se vuoi fare il furbo per scaricare app pirata. Poi ci sono i casi come questo di fortnite

Max
Max

Il problema è che l'utenza Android non è affatto consapevole.
La grande diffusione di Android è dovuta alla sua economicità (prezzo basso di dispositivi che lo fanno girare), non a scelte consapevoli.
Quindi si, senza dubbio un utente preparato come te può trarre il meglio da Android senza rischiare significativamente più di un utente iOS, come faccio io del resto.
Ma l'utonto generico medio, che costituisce la stragrande maggioranza della clientela Android, è messo di fronte a rischi di cui non è consapevole, con un link sul web o con il consiglio dell'amico che ne sa meno di lui ma che "me l'ha detto mio cuggggino".
Nella gabbia dorata, come amate definirla, l'utonto ha meno possibilità di rischiare.

Max
Jon Snow

La competizione non comprende solo il vincere una partita. C'è anche competizione nel possedere componenti estetiche. Altrimenti come spiegheresti i grandi guadagni del gioco?

Max

Google comunque ha cambiato molte cose nel suo approccio ad Android, che oggi è molto più sicuro e meno spero di un tempo (fortunatamente aggiungo).
Potrebbe migliorare anche questi aspetti, rendendo le installazioni fuori dal PlayStore più complesse e quindi disincentivare queste mosse.

Max

Considerando i milioni di persone che installeranno questo gioco di successo, molti significa una buona fetta.
E non far finta di ignorare il fenomeno pirateria su Android.

GiuEliNo

ma in tutto questo, perchè ti chiami DeathTheKid e non hai DeathTheKid come Avatar :P :P?

Max

Sarebbe stata rilevata? Questo non lo sappiamo e non sappiamo in quanto tempo.
Comunque sostanzialmente hai ragione, la colpa è della malsana decisione di Epic.
Per contro Google permette al suo ecosistema queste sciocchezze con troppa facilità.

GiuEliNo

Beh, mi fa schifo fortnite(IMHO) però c'è una netta differenza tra comprarsi i potenziamenti o solo delle skin... :\

I primi ti danno un vantaggio (P2W) i secondi aiutano solo il tuo pene virtuale....

Max

Benissimo no, viste le lamentele...

Max

Già non è sicuro al 100% di suo, ma restare fuori dal PlayStore è pura follia

MagoDiOz

In fatti ho detto; é quello che é. Ma su quello ha ragione da vendere.

Fiore97

Zeb è quello che ha truffato i suoi fan con un gioco proggamato da cane e ancora in vendita su steam anche se i server sono chiusi

Neu

- Diciamo invece le cose come stanno: iOS è una gabbia dorata dove l'utente è protetto e coccolato, Android è un OS da utenti consapevoli che, se usato male, può causare non pochi garattacapi.

Si hai perfettamente ragione, ma se nella gabbia dorata ho tutto ciò che mi serve perchè dovrei privarmene? Capisco il tuo ragionamento, però alla fine un giorno potrebbero creare un virus che si diffonde in un modo completamente nuovo sfruttando vulnerabilità sconosciute...
Se io nella mia gabbia dorata sto bene e sono al sicuro perchè dovrei uscirne?
Io sono stato utente iOS fino ad iOS 4 (veramente troppo troppo limitato) e sono passato per due anni ad android... ora le cose sono ben diverse in iOS e puoi praticamente fare tutto (nei limite del legale ovviamente). L'app store è ricco e hai veramente ogni genere di app, dunque non ti fanno mancare niente

Windows per esempio ha il suo store, ma è pietoso. In tal caso sei "obbligato" a scaricare da fonti terze

LowRangeMan

Ma cosa stai dicendo scusa? Ma quando mai?

Lo shop è shop? Se io voglio comprare una skin da 20 euro la compro, ma questo non mi da alcun vantaggio nei confronti di chi gioca senza comprarla.

Pay to Win significa che tu, comprando qualcosa nel negozio, acquisisci un VANTAGGIO sui giocatori che, invece, non spendono una lira. Fine.

Nessuno mi obbliga a comprare niente e, anche se incontro un giocatore che compra, saranno solo le sue abilità a fargli avere la meglio su di me, non quanto ha comprato.

Neu

Su Windows lo store è pietoso, ecco perchè la stragrande maggioranza delle persone (se non la totalità) scarica da fonti terze. Qualsiasi utente Windows con un minimo di sale in zucca usa un antivirus però.

Su Android obiettivamente che necessità hai di scaricare da fonti terze ed esporti inutilmente a pericoli che spesso vengono presi sottogamba? Quando mai hai scaricato un qualcosa che non fosse disponibile sullo store? (salvo operazioni illecite che per un attimo tralasciamo)

LowRangeMan

Ma no, assolutamente. Il sistema sicuro è quello con meno falle.

Limitare le possibilità di utilizzo da parte dell'utente non è limitare le falle, ma dire "se non puoi fare nulla non può succedere niente di male".

Prendi una Mustang, limitala a 30 KM/h e riduci i cavalli del 70%.

Ecco, hai ottenuto una Mustang sicura. Facile, no?

Diciamo invece le cose come stanno: iOS è una gabbia dorata dove l'utente è protetto e coccolato, Android è un OS da utenti consapevoli che, se usato male, può causare non pochi garattacapi.

Jon Snow

Lo shop è shop. Nessuno ti costringe a shoppare né che si tratti di skin né che si tratti di potenziamenti.

Neu

Eh guarda che qui i fanboy siete voi mi sa in base a come rispondete...
Io non ho assolutamente detto che iOS è il miglior sistema del mondo e che la Apple è da venerare. Ha molti difetti iOS, tipo il non poter scegliere un client email di terze parti, ma di tutti i difetti che hai elencato tu nessuno lo è realmente

LowRangeMan

Su Fortnite puoi comprare skin. Non c'è alcun meccanismo pay to win per il quale chi spende vince.

Neu

Ohhhhhh finalmente qualcuno che ragiona e usa la testa a differenza del branco di fanboy che mi ha preso d'assalto.

Chiaramente il problema è di Epic... semplicemente il tutto si ingigantisce a causa delle politiche di Google relative alla distribuzione del software(nel senso, è una combinazione di fattori che potrebbe mettere a rischio la situazione dell'utente. Non è certo esclusivamente colpa di Android)

Poi che ios in generale sia più sicuro di Android non lo scopriamo oggi
Eh purtroppo se leggi i commenti sotto il mio post molti non l'hanno ancora scoperto

LowRangeMan

No tranquillo, non ci riprovo. Con in fanboy è una causa persa.

Vado ad INFORMARMI su come posso gestire i miei file semplicemente.

Mamma mia, che disagio.

Jon Snow

Il punto b lo rispecchia appieno.
Praticamente mi hai dato ragione

Neu

Alè... altro giro, altra marea di inesattezze:
-Il codice malevolo lo installa l'utente VOLONTARIAMENTE, andando ad un'installare un APK PRIMA di scaricare e lanciare l'installer di Fortnite.
Questo non è quello che hai detto prima

- Se poi per te un sistema non è sicuro perchè è l'utente a sceglierlo come utilizzarlo allora beh, questo un altro discorso. Se preferisci un sistema che ti fa fare quattro cose in croce pur di non dare problemi al povero utente incapace, scusa, ma son problemi tuoi.
Ma davvero hai scritto una cosa del genere? Io con i miei dispositivi ci faccio di tutto e di più, altrimenti utilizzerei altro. Ti ergi in qualità di paladino del "devono permettermi di fare ciò che voglio" quando sicuramente non avrai mai neppure usato la funzione "installa da sorgenti sconosciute" ed avrai sempre usato il play store come tutti praticamente.
iOS mi permette di installare quello che dico io, installare quello che voglio io e quando voglio io, stessa cosa MacOS, Windows, Linux,Android ecc... ogni sistema permette all'utente di fare ciò che vuole (qualcuno con qualche paletto in più, ma nulla di estremo). Non siamo in Korea del Nord e nessuno utilizza RedStarOS. Ti faccio un esempio molto pratico: su iOS e MacOS ho un'app chiamata Bear che mi consente di prendere appunti sfruttando il linguaggio di Markup... per Android non esiste nulla di simile

- Deve avere un file manager, deve permettermi di scaricare un file e archiviarlo sulla memoria, scaricandolo poi sul PC.
Tutte cose che puoi fare, basta informarsi un attimo sul come

- Deve permettermi di caricare e scaricare foto, musica e video senza passare per un software proprietario
Sniff...sniff...sento puzza di musica scaricata illegalmente
Io non uso iTunes da tipo quattro anni

- deve permettermi di installare quello che voglio senza avere un abbonamento da sviluppatore.
Da quando serve? Io è quattro anni che ho un iPhone e non lo ho un abbonamento da sviluppatore e ci ho sempre fatto di tutto e di più

Riprova al prossimo giro, sarai più fortunato

LowRangeMan

Non scherziamo dai.

Già il fatto di criticare un gioco è ridicolo a prescindere. Un gioco è criticabile in due casi:

a) quando è tecnicamente fatto male
b) quando adotta approcci pay to win che, oltre ad essere fastidioso, è anche dannatamente diseducativo per i più piccoli e scem1.

Tutto il resto è noia, sono semplicemente gusti su un dannato GIOCO.

Poi oh, una recensione ci sta anche (non mi fido neanche di quelle, le cose vanno provate, perchè anche il recensore ha dei gusti), ma criticare non significa sparare insulti e banalità per 5 o 6 minuti di video giusto per intrattenere chi ancora si esalta sentendo una parolaccia.

LowRangeMan

Non hai capito niente. Il codice malevolo lo installa l'utente VOLONTARIAMENTE, andando ad un'installare un APK PRIMA di scaricare e lanciare l'installer di Fortnite.

Se poi per te un sistema non è sicuro perchè è l'utente a sceglierlo come utilizzarlo allora beh, questo un altro discorso. Se preferisci un sistema che ti fa fare quattro cose in croce pur di non dare problemi al povero utente incapace, scusa, ma son problemi tuoi.

Un sistema operativo deve fare quello che dico io, installare quello che voglio io e quando voglio io. Deve avere un file manager, deve permettermi di scaricare un file e archiviarlo sulla memoria, scaricandolo poi sul PC. Deve permettermi di caricare e scaricare foto, musica e video senza passare per un software proprietario, deve permettermi di installare quello che voglio senza avere un abbonamento da sviluppatore.

Se poi per te un sistema è sicuro solo installando app dallo store... Mi spiace petté.

Beard

Con tweakbox hai il limite del "quando vengono revocate le licenze leaked che usa devi reinstallare", senza periodicità. Personalmente preferisco l'approccio di Android (ma per il semplice fatto che mi permette di usare F-Droid).
La differenza con Cydia però è che TB non richiede alcun jailbreak.

Poi si, certamente Apple prova a limitare l'extra app store con i certificati rimossi periodicamente, ma nel caso specifico lo vedo più come un problema di Epic. Poi che ios in generale sia più sicuro di Android non lo scopriamo oggi, ma non per queste piccolezze indipendenti da responsabilità di Google

Neu

Certo è vero, infatti non ho detto che la pirateria su iOS sia del tutto assente.
Concorederai con me però che Apple la combatte maggiormente e rende le operazioni più difficoltose (anche perchè tweakbox ha un grosso difetto, ossia il certificato di cui parli, che Apple può bloccare e/o invalidare).
Da sempre chi vuole usa Cydia Impactor con il vincolo della scadenza settimanale delle App (non so se anche con Tweakbox hai questo limite)

Beard

Aldilà del fatto che secondo i numeri pubblicati da spotify gli utenti con app crackata erano una piccolissima fetta e che personalmente acquisto tutto ciò che secondo me merita supporto, su iOS non credere che sia tanto meglio il discorso sorgenti sconosciute. Prendi tweakbox: ti permette di scaricare app esterne all'Appstore scaricandone in contemporanea il certificato (validato da chi?) senza necessità di jailbreak

Neu

Non ho i numeri precisi... ma sono tanti
Su Android una piccolissima percentuale compra app o servizi...
Direi che il caso spotify lo ha dimostrato (tutti a mettere una stella sul playstore a Spotify perchè bannó gli utenti che scroccavano il servizio)

Neu

Gli AdBlocker dovrebbero essere aboliti visto che danneggiano il modello di business di internet. È grazie alle pubblicitá che i siti sono gratuiti

Neu

Esattamente dove sarebbe questa figura? Visto che chi mi ha risposto ha vomitato una valanga di luoghi comuni e dinformazione?

Francy Ssr Ssr

Maannzzzz

BoORD_L

anche oggi hai fatto la tua figura di m e rda condita di saccenza e puoi tornare tranquillamente all'oblio

Recensione Starfield, parte 1: prime impressioni ottime!

Giocare su TV senza console: la nostra prova del Samsung Gaming Hub | Video

ROG Ally: abbiamo provato l’interessante ibrido tra console portatile e PC | VIDEO

Recensione Metroid Prime Remastered: mai stato così bello