Apple e Samsung resistono alle ultime richieste del governo indiano

Il governo indiano ha proposto una grande revisione dei requisiti di sicurezza degli smartphone sotto le "Indian Telecom Security Assurance Requirements". Questo include un pacchetto di 83 standard di sicurezza che dovrebbero migliorare la protezione dei dati degli utenti di fronte alla crescente frode online e alle minacce informatiche nel vasto mercato degli smartphone del paese. 

I giganti della tecnologia come Apple e Samsung sono contrari alla mossa, sostenendo che il pacchetto non ha alcun precedente globale e potrebbe rivelare dettagli proprietari e segreti commerciali, in particolare il codice sorgente, qualcosa che Apple protegge ferocemente e che in passato ha resistito a condividere con paesi come gli Stati Uniti e la Cina. 

Tuttavia, il paese sostiene che le richieste fanno parte della strategia più ampia del Primo Ministro Narendra Modi per rafforzare la cybersecurity in India, che è il secondo mercato di smartphone più grande al mondo.

Il governo indiano fa richieste ai produttori di telefoni

Di seguito è riportata una lista di alcuni dei requisiti di sicurezza che l'India sta proponendo per i produttori di smartphone come Apple e Samsung, che ha provocato un'opposizione dietro le quinte da parte delle aziende tecnologiche.

• Divulgazione del codice sorgente che obbliga i produttori non solo a testare ma anche a fornire il codice sorgente proprietario per la revisione da parte di laboratori designati dal governo, previsti per identificare le vulnerabilità nei sistemi operativi dei telefoni che potrebbero essere sfruttate dagli attaccanti.
• Restrizioni ai permessi in background che limitano l'accesso delle app a fotocamere, microfoni o servizi di localizzazione in background mentre i telefoni sono inattivi, e quando quei permessi sono attivi, è richiesta una notifica continua nella barra di stato 
• Avvisi di revisione dei permessi che richiedono ai dispositivi di visualizzare periodicamente avvisi che invitano gli utenti a rivedere tutti i permessi delle app, con notifiche continue.
• Conservazione dei log per un anno, che richiede ai dispositivi di archiviare i log di audit di sicurezza, incluse le installazioni di app e i log di sistema, per fino a 12 mesi.
• Scansione periodica del malware, in cui i telefoni devono scansionare periodicamente la presenza di malware e identificare eventuali applicazioni potenzialmente dannose.
• Opzione di eliminare le app preinstallate che vengono fornite con il sistema operativo del telefono, tranne quelle essenziali per le funzioni di base del telefono. 
• Informare un'organizzazione governativa prima di rilasciare qualsiasi aggiornamento importante o patch di sicurezza.
• Avvisi di rilevamento di manomissioni che rilevano quando i telefoni sono stati rootati o "sbloccati" (jailbroken) e visualizzano banner di avvertimento continui per raccomandare misure correttive.
• Protezione anti-rollback che blocca permanentemente l'installazione di versioni software più vecchie, anche se firmate ufficialmente dal produttore, per prevenire il downgrade della sicurezza.

Cosa pensano le aziende tecnologiche dei requisiti 

Il Governo indiano ha difeso i requisiti di sicurezza sostenendo che servono a proteggere i cittadini, una mossa che si allinea con l'iniziativa di sicurezza dei dati di Narendra Modi. Tuttavia, grandi attori come Samsung, Apple, Xiaomi e Google, rappresentati da MAIT, il gruppo industriale indiano che rappresenta queste aziende, hanno espresso opposizione, in particolare riguardo alla condivisione del codice sorgente. 

“Questo non è possibile … a causa di segretezza e privacy,” MAIT, il gruppo che rappresenta i produttori di smartphone, ha in un documento confidenziale redatto in risposta alla proposta del governo. “I principali paesi dell'UE, del Nord America, dell'Australia e dell'Africa non impongono questi requisiti.”

Sostengono che non esiste nemmeno un modo affidabile per rilevare i telefoni jailbroken o prevenire le manomissioni, affermando che l'anti-rollback manca di standard e che molte app preinstallate devono essere mantenute poiché sono componenti critici del sistema. 

MAIT avrebbe chiesto al ministero di ritirare la proposta, secondo una fonte con conoscenza diretta. I documenti dell'azienda affermano anche che la scansione periodica del malware drenerebbe significativamente la batteria del telefono e che è "impraticabile" cercare l'approvazione governativa per gli aggiornamenti software, poiché dovrebbero essere correzioni tempestive. 

Per quanto riguarda i log dei telefoni che il governo ha richiesto di conservare per almeno 12 mesi sui dispositivi. MAIT afferma che la maggior parte dei dispositivi non ha la capacità di archiviare tali log, rendendo questa richiesta impossibile da soddisfare. 

In risposta ai punti sollevati da MAIT, il Segretario IT S. Krishnan ha affermato che qualsiasi legittima preoccupazione dell'industria sarà affrontata con mente aperta, aggiungendo che era "prematuro leggere di più in questo."

Nel frattempo, un portavoce del ministero ha rifiutato di commentare ulteriormente, sostenendo che le consultazioni erano in corso con le aziende tecnologiche sulle proposte.