In questo articolo Indice dei contenuti 2 sezioni
Le notifiche push su Google Chrome sono da tempo una delle porte d’ingresso preferite da chi vuole infastidire o truffare chi naviga, e proprio su questo fronte il browser di Mountain View ha deciso di raccontare pubblicamente il lavoro fatto negli ultimi mesi. Un post sul blog ufficiale ha messo nero su bianco le contromisure adottate, con un numero che colpisce parecchio: solo nel primo trimestre, su Android, le notifiche indesiderate sono calate di oltre 7 miliardi al giorno.
Il meccanismo in sé, va detto, non nasce come qualcosa di malevolo. Le notifiche servono agli sviluppatori per parlare in tempo reale con chi visita un sito, avvisare di un messaggio, di un aggiornamento, di una consegna in arrivo. Il problema è l’abuso. Chi ha cattive intenzioni sfrutta quel canale per bombardare le persone con avvisi ingannevoli, spesso mascherati da allarmi di sistema o da premi da riscuotere. Da qui il percorso pluriennale avviato da Chrome Security insieme a Firebase Cloud Messaging e Safe Browsing.
Come funziona la difesa a più livelli di Google Chrome
L’approccio scelto è quello che in gergo viene chiamato modello di difesa multilivello. In pratica, protezioni sovrapposte che coprono l’intero ciclo di vita della notifica, dal momento in cui un sito chiede il permesso fino a quando l’avviso compare sullo schermo. Se un tentativo di abuso riesce a passare indenne attraverso una barriera, ce n’è un’altra pronta a bloccarlo. Niente muro unico, insomma, ma una serie di filtri messi in fila.
Il primo strumento riguarda la revoca automatica delle autorizzazioni. Google Chrome toglie il permesso di inviare notifiche ai siti con cui non c’è stata interazione di recente e a quelli che hanno accumulato ripetute segnalazioni sospette. Una pulizia silenziosa, che non richiede alcun intervento manuale.
Poi c’è il capitolo più interessante dal punto di vista tecnico, ovvero il sistema di rilevamento comportamentale sviluppato dal team. L’obiettivo qui è smascherare le reti di siti che agiscono in modo coordinato, quelle che si passano il testimone per continuare a inviare avvisi abusivi anche dopo che uno dei domini è stato bloccato. Il sistema individua chi diffonde contenuti dannosi, dal malware alle truffe vere e proprie, e rimuove le autorizzazioni con tempi più rapidi rispetto al passato.
Limiti di frequenza e una richiesta di permesso ripensata
Sul lato server, Google ha introdotto in Firebase Cloud Messaging dei limiti di frequenza specifici per l’API Push. Una misura pensata contro chi punta sul volume, spedendo migliaia di notifiche in poco tempo nella speranza che almeno qualcuna vada a segno.
Cambia anche il modo in cui un sito chiede il permesso. Il modello di autorizzazione è stato rivisto per dare più peso alla scelta consapevole di chi naviga, rendendo la vita più difficile a chi cerca di strappare un consenso distratto e poi mantenerlo nel tempo. La nuova interfaccia mantiene tutte le funzioni di prima ma riduce quello che gli sviluppatori chiamano affaticamento da notifiche, quella sensazione di essere continuamente interrotti che porta ad accettare qualsiasi cosa pur di chiudere il pop up.
C’è anche un beneficio collaterale che non riguarda direttamente la sicurezza. Meno notifiche inutili significano meno attività in background, quindi un consumo di batteria più contenuto sui dispositivi Android. E, banalmente, arrivano soltanto i contenuti che hanno davvero un senso per chi li riceve.
Per chi volesse mettere mano alle impostazioni in prima persona, la strada su Android è breve. Basta aprire il browser, toccare il menu a tre punti in alto a destra, entrare in Impostazioni e cercare la scheda dedicata alle notifiche, dove è possibile controllare sito per sito chi ha il permesso di farsi vivo e chi no.
