Apple e Samsung resistem às últimas exigências do governo indiano

O governo indiano propôs uma grande revisão dos requisitos de segurança de smartphones sob os “Requisitos de Garantia de Segurança de Telecomunicações da Índia”. Isso inclui um pacote de 83 padrões de segurança que deveriam melhorar a proteção de dados dos usuários em meio ao aumento da fraude online e das ameaças cibernéticas no enorme mercado de smartphones do país. 

Gigantes da tecnologia como Apple e Samsung estão opostas à medida, alegando que o pacote não tem precedente global e poderia revelar detalhes proprietários e segredos comerciais, especialmente o código-fonte, algo que a Apple protege ferozmente e que, no passado, resistiu a compartilhar com países como os EUA e a China. 

No entanto, o país afirma que as exigências fazem parte da estratégia mais ampla do Primeiro-Ministro Narendra Modi para fortalecer a cibersegurança na Índia, que é o segundo maior mercado de smartphones do mundo.

Governo indiano faz exigências aos fabricantes de telefones

Abaixo está uma lista de alguns dos requisitos de segurança que a Índia está propondo para fabricantes de smartphones como Apple e Samsung, o que provocou oposição nos bastidores por parte das empresas de tecnologia.

• Divulgação do código-fonte, obrigando os fabricantes não apenas a testar, mas também a fornecer o código-fonte proprietário para revisão por laboratórios designados pelo governo, esperados para identificar vulnerabilidades nos sistemas operacionais dos telefones que poderiam ser exploradas por atacantes.
• Restrições de permissões em segundo plano que impedem que aplicativos acessem câmeras, microfones ou serviços de localização em segundo plano enquanto os telefones estão inativos, e, quando essas permissões estão ativas, é necessária uma notificação contínua na barra de status 
• Alertas de revisão de permissões que exigem que os dispositivos exibam periodicamente avisos solicitando aos usuários que revisem todas as permissões de aplicativos, com notificações contínuas.
• Retenção de logs por um ano, que exige que os dispositivos armazenem logs de auditoria de segurança, incluindo instalações de aplicativos e logs do sistema, por até 12 meses.
• Varreduras periódicas de malware, onde os telefones devem escanear periodicamente em busca de malware e identificar quaisquer aplicativos potencialmente prejudiciais.
• Opção de excluir aplicativos pré-instalados que vêm empacotados com o sistema operacional do telefone, exceto aqueles essenciais para funções básicas do telefone. 
• Informar uma organização governamental antes de lançar quaisquer atualizações principais ou patches de segurança.
• Avisos de detecção de adulteração que detectam quando os telefones foram rootados ou “jailbreakados”, e exibem banners de aviso contínuos para recomendar medidas corretivas.
• Proteção contra rollback que bloqueia permanentemente a instalação de versões mais antigas do software, mesmo que oficialmente assinadas pelo fabricante, para evitar downgrades de segurança.

O que as empresas de tecnologia pensam dos requisitos 

O Governo Indiano defendeu os requisitos de segurança, alegando que é para proteger seus cidadãos, uma medida que se alinha com o impulso de segurança de dados de Narendra Modi. No entanto, grandes players como Samsung, Apple, Xiaomi e Google, representados pela MAIT, o grupo industrial indiano que representa essas empresas, expressaram oposição, especialmente em relação ao compartilhamento do código-fonte. 

“Isso não é possível … devido ao sigilo e à privacidade”, disse a MAIT, o grupo que representa os fabricantes de smartphones, disse num documento confidencial elaborado em resposta à proposta do governo. “Países importantes da UE, América do Norte, Austrália e África não impõem esses requisitos.”

Eles afirmam que também não há maneira confiável de detectar telefones desbloqueados (jailbroken) ou evitar adulterações, dizendo que a anti-rollback não possui padrões, e que muitos aplicativos pré-instalados precisam ser mantidos, pois são componentes críticos do sistema. 

A MAIT teria pedido ao ministério que abandonasse a proposta, segundo uma fonte com conhecimento direto. Os documentos da empresa também afirmam que a varredura regular contra malware drenaria significativamente a bateria do telefone e que é “impraticável” buscar aprovação governamental para atualizações de software, pois elas devem ser correções oportunas. 

Quanto aos logs dos telefones que o governo solicitou que fossem armazenados por pelo menos 12 meses nos dispositivos, a MAIT afirma que a maioria dos dispositivos não possui capacidade para armazenar tais logs, tornando o pedido impossível de ser atendido. 

Em resposta aos pontos levantados pela MAIT, o Secretário de TI S. Krishnan afirmou que quaisquer preocupações legítimas da indústria serão abordadas com mente aberta, acrescentando que era “premature ler mais do que isso.”

Enquanto isso, um porta-voz do ministério recusou-se a comentar mais, alegando que as consultas estavam em andamento com as empresas de tecnologia sobre as propostas.