GrapheneOS contro Google: Play Integrity può penalizzare sistemi Android alternativi

GrapheneOS torna ad attaccare Google e Apple sull’attestazione hardware, cioè i sistemi usati da app e servizi online per verificare che una richiesta arrivi da un dispositivo e da un ambiente software considerati affidabili. Il progetto, noto per il proprio sistema operativo Android orientato alla sicurezza e alla privacy, sostiene che strumenti come Google Play Integrity e Apple App Attest vengano presentati come funzioni di protezione, ma possano diventare un requisito capace di escludere hardware, sistemi operativi e configurazioni non approvati dai due grandi ecosistemi mobile.

Il problema, secondo GrapheneOS, diventa più evidente quando questi controlli vengono adottati in ambiti sensibili: banche, servizi pubblici, pagamenti digitali, identità online, verifica dell’età e applicazioni commerciali. Il rischio non sarebbe solo tecnico, ma anche competitivo: sistemi Android alternativi, pur basati su modelli di sicurezza robusti, potrebbero essere penalizzati da requisiti costruiti intorno agli ecosistemi Apple e Google.

Play Integrity viene descritto da Google come un’API pensata per aiutare gli sviluppatori a verificare che una richiesta provenga da un’app autentica, riconosciuta da Google Play e in esecuzione su un dispositivo Android certificato. L’obiettivo dichiarato è contrastare abusi, frodi, versioni alterate delle app, emulatori, ambienti non affidabili e interazioni potenzialmente rischiose, anche attraverso segnali di sicurezza hardware.

GrapheneOS non contesta l’attestazione hardware in sé, ma il modo in cui viene usata quando passa da servizi centralizzati che decidono quali dispositivi e quali sistemi operativi possano essere considerati accettabili. Secondo il progetto, il livello di integrità più forte di Play Integrity richiede l’attestazione hardware, ma finisce per privilegiare i dispositivi Android certificati da Google. Nella sua guida tecnica, GrapheneOS sostiene che le app potrebbero usare direttamente l’hardware attestation standard di Android, consentendo anche sistemi operativi alternativi attraverso la verifica delle rispettive chiavi di firma.

La stessa critica viene estesa al web. GrapheneOS collega questa tendenza a strumenti come Privacy Pass di Apple e alla nuova reCAPTCHA Mobile Verification di Google. La documentazione di supporto di Google indica che, per completare la verifica mobile, serve un dispositivo compatibile e cita tra gli ambienti supportati Android con Google Play Services 25.41.30 o superiore, oltre a dispositivi iOS e iPadOS per la scansione tramite QR code.

Secondo GrapheneOS, un sistema di questo tipo potrebbe portare l’attestazione hardware anche su piattaforme che non la integrano direttamente nello stesso modo, come Windows, Linux desktop o OpenBSD, chiedendo all’utente di completare una verifica tramite smartphone. La conseguenza potenziale, secondo GrapheneOS, sarebbe un web in cui l’accesso ad alcuni servizi dipende dal possesso di un iPhone o di un dispositivo Android certificato da Google. La documentazione di Google conferma i requisiti dei dispositivi compatibili, ma non afferma che l’obiettivo sia escludere sistemi desktop o sistemi operativi alternativi: questa resta l’interpretazione critica di GrapheneOS.

Nel contesto dei servizi essenziali, il tema diventa ancora più delicato. Secondo GrapheneOS, l’adozione di applicazioni mobili basate su sistemi di attestazione starebbe rendendo sempre più difficile l’uso di dispositivi e sistemi operativi non approvati da Apple o Google. Nella sua guida ufficiale, il progetto cita anche app legate ai servizi pubblici e all’identità digitale in Italia, tra cui l’app IO per alcune funzioni del portafoglio digitale e PosteID per l’accesso allo SPID. Il riferimento resta però attribuito a GrapheneOS: si tratta della sua ricostruzione tecnica, non di una dichiarazione dei singoli gestori dei servizi.

La critica più dura riguarda il modo in cui questi strumenti vengono giustificati: "Non si tratta di sicurezza o di una funzionalità mancante. GrapheneOS può essere verificato tramite attestazione hardware", sostiene il progetto nel post pubblicato su X. Poi aggiunge: "Richiedere alle persone di avere un dispositivo Apple o un dispositivo Android certificato da Google è anticoncorrenziale, non sicurezza".

La soluzione, però, non dovrebbe essere sostituire il controllo di Google con un altro sistema chiuso, come Unified Attestation, citato da GrapheneOS come ulteriore rischio competitivo. La strada indicata è un modello di verifica più aperto, capace di riconoscere anche sistemi operativi alternativi, purché sicuri e verificabili tramite attestazione hardware, senza legare l’accesso ai servizi alla certificazione di un singolo ecosistema.

CLICCA QUI PER CONTINUARE A LEGGERE