Il controllo su cosa sia considerato “affidabile” nel mondo degli smartphone sta diventando un tema sempre più caldo, e GrapheneOS ha deciso di alzare la voce. Il sistema operativo Android pensato per chi vuole il massimo in termini di privacy e sicurezza ha lanciato accuse piuttosto dirette a Google e Apple, sostenendo che alcune tecnologie di verifica dei dispositivi stiano rendendo la vita complicata a chi sceglie sistemi operativi alternativi. Non si parla di un problema teorico: secondo il progetto, il rischio concreto è che telefoni perfettamente funzionanti ma non certificati dai due colossi vengano progressivamente tagliati fuori da app bancarie, servizi pubblici, pagamenti digitali e persino procedure di verifica online.
Al centro della questione ci sono strumenti come Play Integrity API di Google, Apple App Attest e le nuove forme di verifica legate a reCAPTCHA. GrapheneOS sostiene che queste tecnologie, presentate come soluzioni per proteggere utenti e sviluppatori da frodi e manomissioni, possano trasformarsi anche in un meccanismo di selezione. In pratica, non si controlla solo se l’utente è chi dice di essere, ma anche se il dispositivo e il software installato siano “approvati” dalle grandi piattaforme. E qui il discorso si fa spinoso: un’app potrebbe rifiutare l’accesso non perché lo smartphone sia compromesso, ma semplicemente perché non rientra nella lista delle configurazioni riconosciute da Google.
Play Integrity API, per capire meglio, è il sistema che permette agli sviluppatori di verificare se una richiesta arrivi da un’app non modificata, installata tramite Google Play e in esecuzione su un dispositivo Android ritenuto genuino. Google lo descrive come uno strumento per proteggere app, giochi e ricavi da abusi. Il problema, secondo GrapheneOS, è che questo tipo di controllo finisce per penalizzare anche sistemi operativi legittimi e orientati alla sicurezza, ma non certificati secondo i criteri del colosso di Mountain View. Chi usa ROM personalizzate, dispositivi con bootloader sbloccato o versioni Android senza servizi Google conosce bene la questione: le app bancarie e di pagamento sono tra le prime a sfruttare questi controlli, spesso per ragioni di conformità. Ma la linea tra protezione e chiusura dell’ecosistema si fa davvero sottile.
Anche Apple e reCAPTCHA finiscono sotto accusa
GrapheneOS non si ferma a Google. Anche Apple App Attest è nel mirino: si tratta della tecnologia che consente agli sviluppatori di verificare che le richieste al server provengano da un’istanza autentica della loro app. Apple la presenta come un modo per aumentare la fiducia nell’integrità dell’applicazione e proteggere risorse sensibili lato server. Con iOS, però, la situazione è diversa: l’ecosistema è già più chiuso di suo, con distribuzione delle app e controllo del sistema operativo fortemente centralizzati. La critica di GrapheneOS è più ampia e riguarda un principio: se app e servizi essenziali iniziano a dipendere da attestazioni legate a piattaforme proprietarie, l’utente potrebbe ritrovarsi con sempre meno margine di scelta su quale dispositivo e quale sistema operativo usare.
C’è poi il capitolo reCAPTCHA. Google definisce questo servizio come una soluzione gratuita per proteggere i siti da spam e bot. Ma secondo GrapheneOS, i nuovi meccanismi di verifica potrebbero condizionare l’accesso a una parte significativa del web. La documentazione di supporto di Google indica che, per completare alcune verifiche mobili, può essere necessario usare un dispositivo compatibile, e su Android viene citato anche l’aggiornamento dei Google Play Services nel caso di versione non adeguata. Questo è esattamente il passaggio che preoccupa chi usa Android senza i servizi proprietari di Google, i cosiddetti dispositivi “de-googled”.