Ecco come funziona ADA, lo strumento di Google per proteggere gli utenti dalle app

Su queste pagine parliamo spesso dei tentativi di Google per proteggere gli utenti da malware e in generale dalle app dannose, e uno di questi è l'App Defense Alliance (ADA).

Annunciata nel 2019 con l'obiettivo di "bloccare le app dannose prima che raggiungano i dispositivi degli utenti", l'alleanza era il frutto della collaborazione tra Google e altre grandi aziende dedicate alla sicurezza informatica come Eset, Lookout e Zimperium e utilizza una combinazione di machine learning e analisi euristica.

Vediamole nel dettaglio.

Mitigazione del malware

L'obiettivo principale dell'ADA è la mitigazione del malware prima che un'app venga pubblicata su Google Play, processo che avviene scansionando quotidianamente migliaia di app attraverso comunicazioni bidirezionali sicure tra Google e i partner.

Nella sostanza, i sistemi di rilevamento di Google Play Protect comunicano direttamente con i motori di scansione di ciascun partner., generando nuove informazioni sul rischio delle app man mano che le app vengono messe in lista per la pubblicazione. I partner analizzano questo set di dati e agiscono come un ulteriore paio di occhi vitali prima che un'app venga pubblicata sul Play Store.

Mobile App Security Assessment (MASA)

Lanciata in beta quest'anno e ora ampiamente disponibile, Mobile App Security Assessment (MASA) è uno strumento che permette agli sviluppatori di convalidare le loro app in modo indipendente rispetto allo standard di verifica della sicurezza delle applicazioni mobili (standard MASVS) nell'ambito dell'OWASP Mobile Application Security Project.

La missione del progetto è "Definire lo standard del settore per la sicurezza delle applicazioni mobili" ed è stata utilizzata da organizzazioni del settore pubblico e privato come una forma di best practicequando si tratta di sicurezza delle applicazioni mobili.

Nello specifico, gli sviluppatori lavorano con un laboratorio autorizzato ADA per far valutare le loro app rispetto a una serie di requisiti MASVS L1. Una volta completata la procedura, la convalida dell'app viene elencata nella nuova directory di convalida delle app, che offre agli utenti un luogo in cui visualizzare tutte le convalide delle app.

Ma la cosa più importante per gli utenti è che vedranno sulla pagina del Google Play Store dell'app (nella sezione Sicurezza dei dati) un badge che certifica di aver superato il controllo di sicurezza. 

Varie app di Google e di terze parti come Roblox, Uber e PayPal hanno già ricevuto questo badge, che in media richiede un mese per la convalida, compresa la risoluzione di problemi individuati.

Cloud App Security Assessment (CASA)

Il Cloud App Security Assessment (CASA) si concentra sul back-end del server delle applicazioni, sempre più critico per le integrazioni cloud-to-cloud.

Il framework CASA fornisce più livelli di garanzia:

• Le applicazioni cloud a basso rischio possono essere valutate utilizzando un'autovalutazione o una scansione automatica
• Le applicazioni che presentano un rischio maggiore passano invece per un laboratorio autorizzato. Queste sono:
  
  • le app con un'ampia base di utenti
  • le app che hanno avuto una recente violazione della sicurezza
  • le app che elaborano dati altamente sensibili

L'acceleratore CASA fornisce agli sviluppatori uno strumento che riduce al minimo i controlli richiesti ed è stato associato a 10 certificazioni e framework che eliminano i test ridondanti riducendo al contempo il costo della valutazione.