Vendi il tuo smartphone? Il reset di fabbrica da solo non protegge i tuoi dati

L'opzione di reset di fabbrica integrata di Google può lasciare i tuoi dati esposti anche dopo un reset. Ecco perché un reset di fabbrica non cancella tutti i tuoi dati, e cosa puoi fare al riguardo prima di vendere il tuo smartphone.

Ci sono vari buoni motivi per eseguire un reset di fabbrica: correggere bug dopo un aggiornamento Android, pulizia generale per mantenere le prestazioni Android, e presumibilmente cancellare tutti i dati dal telefono.

Ad esempio, la società di sicurezza Avast ha comprato 20 cellulari usati su eBay e ha usato software di recupero facilmente reperibile per recuperare quantità incredibili di dati personali dai dispositivi, incluse 40.000 foto, 1.000 ricerche Google, centinaia di email e persino una richiesta di prestito. È spaventoso immaginare cosa altri potrebbero trovare sul tuo telefono dopo che lo vendi.

Reset alle impostazioni di fabbrica: perché non funziona?

Il problema del reset di fabbrica è stato scoperto da alcuni ricercatori dell'Università di Cambridge nel primo grande studio su questa funzione di sicurezza Android data per scontata. I ricercatori hanno testato una gamma di dispositivi Android di seconda mano con diverse versioni Android e hanno scoperto che in tutti i casi erano in grado di recuperare token di account – usati per autenticarti una volta inserita la password la prima volta – da fornitori di servizi come Google, Facebook e WhatsApp. In un sorprendente 80% dei casi, sono riusciti a recuperare il token master.

Il token master è essenzialmente la chiave della porta d'ingresso, l'equivalente di installare un sistema di sicurezza di prima classe e poi nascondere la chiave sotto lo zerbino. Una volta recuperato un token master, il file delle credenziali dell'utente può essere ripristinato e tutti i tuoi dati risincronizzati sul dispositivo: email, foto nel cloud, contatti e calendari.

Perché i dati privati sono recuperabili anche dopo un reset di fabbrica?

Ci sono alcuni motivi. Parte della colpa è dei produttori che semplicemente non forniscono il software necessario per cancellare completamente lo storage flash. Allo stesso modo, lo storage flash è notoriamente difficile da cancellare, e ovviamente Google è colpevole per non aver fornito un'opzione più sicura per gli utenti.

I ricercatori hanno notato che mentre le aziende di sicurezza e antivirus potrebbero usare questi risultati per promuovere i propri strumenti e servizi, l'unica vera soluzione probabilmente doveva arrivare dai produttori stessi.

Sfortunatamente, anche i dispositivi con crittografia integrata non sono al sicuro da queste debolezze. La chiave di decrittazione viene lasciata intatta su un dispositivo dopo il reset di fabbrica. Sebbene quella chiave sia essa stessa crittografata, ottenere l'accesso richiederebbe pochi giorni di lavoro per la maggior parte degli hacker, secondo i ricercatori.

Come fare un reset di fabbrica correttamente, rimuovendo tutti i tuoi dati

La cosa principale che puoi fare per proteggerti è crittografare il telefono. L'opzione per crittografare il telefono si trova in posti diversi nelle impostazioni del dispositivo a seconda del produttore, ma in generale si trova in Impostazioni > Sicurezza > Crittografa telefono. Se il tuo telefono ha Android 6.0 o superiore, potrebbe essere già crittografato di default.

Quando crittografi il dispositivo, usa una password forte, generata casualmente, che contenga una combinazione di lettere maiuscole e minuscole, numeri e simboli e che sia lunga almeno 11 caratteri. Il problema è che è così scomoda da digitare regolarmente che la maggior parte degli utenti semplicemente non lo farà.

In alternativa, una volta che un telefono è stato resettato alle impostazioni di fabbrica, lo storage flash può essere riempito con dati inutili per sovrascrivere i token e le chiavi crittografiche lasciate nello storage flash. Questo può essere fatto in modo rudimentale con qualche file video di grandi dimensioni, o con un'app fatta per questo scopo. Ci sono diverse app ben valutate sul Play Store, come Secure Erase con iShredder 6. (Ovviamente, se vuoi essere extra sicuro usando un'app per riempire il telefono con dati fittizi, dovrebbe essere installata fuori da Google Play per evitare che un token Google venga registrato di nuovo sul dispositivo.)

Questa soluzione, tuttavia, solleva problemi per gli utenti che si trovano con un dispositivo perso o rubato, o per quei dispositivi che sono stati cancellati da remoto con Android Device Manager. Finché non si troverà una soluzione legittima, fai solo attenzione a chi vendi il tuo telefono di seconda mano.

Hai venduto un telefono in passato? Pensavi che un reset di fabbrica avrebbe protetto i tuoi dati? Condividi i tuoi pensieri nei commenti.