Nokia intercetta traffico suoi smartphone, incluso HTTPS
L’allarme è stato lanciato da Gaurang Pandya, esperto di sicurezza e gestore del blog Treasure Hunt, dedicato per l’appunto alla sicurezza in ambito informatico: Nokia intercetterebbe il traffico di perlomeno alcuni dei propri smartphone.
Pandya ha fatto degli esperimenti usando il proprio Asha 302, scoprendo che il traffico Internet viene fatto passare attraverso alcuni proxy anziché dirigersi direttamente verso il server desiderato.
Si tratta di un comportamento che di per sé non rappresenterebbe una grande novità, poiché pare analogo a quello del browser Opera Mini, il quale notoriamente non richiede direttamente le pagine web ma si fa inviare dai server dell’azienda norvegese una versione compressa delle stesse, con l’obiettivo di far risparmiare banda all’utente.
Il problema – spiega Pandya – è che a quanto pare Nokia intercetta anche il traffico HTTPS, che viene rediretto verso i server Nokia/Ovi esattamente come il traffico HTTP, e che non lo dichiara esplicitamente come invece fa Opera.
“Dai test che abbiamo effettuato” – ha spiegato il ricercatore – “è evidente che Nokia sta conducendo un attacco man-in-the-middle che mira al traffico HTTPS che ha origine dai suoi stessi telefoni per avere accesso a informazioni come le credenziali degli utenti ai social network e siti di banche, dati relativi alle carte di credito o tutto ciò che è delicato per natura”.
“In breve” – ha continuato Pandya – “che il sito su cui si naviga sia HTTP o HTTPS, Nokia ha accesso a informazioni complete e non crittografate (in formato testo semplice) e può utilizzarle o abusarne”.
Nokia, dal canto proprio, ha ammesso il passaggio del traffico attraverso i server della società, ma ha spiegato che ciò avviene unicamente per questioni di prestazioni: serve per comprimere le pagine e rendere più veloce la loro visualizzazione. La società afferma inoltre di non “sbirciare” i contenuti crittografati, pur ammettendo che questi vengono decrittati temporaneamente dai proxy.
“Nokia” – ha fatto sapere la società – “ha implementato misure tecniche e organizzative appropriate per evitare l’accesso a informazioni private. Sostenere che abbiamo accesso a informazioni complete e non crittografate è inesatto”.
