Schermata di blocco Android 17 con contatore tentativi PIN
Con Android 17 Google stravolge le regole per lo sblocco dello smartphone: il numero massimo di tentativi errati crolla da 1.800 a soli 19, riducendo drasticamente la finestra a disposizione di malintenzionati e ficcanaso. LEGGI TUTTO L'ARTICOLO.
🎧 Ascolta questo articolo
Bonus Video
Il crollo dei tentativi consentiti Fino a poco tempo fa, la schermata di blocco di Android concedeva un numero di tentativi errati che, distribuito su archi temporali molto lunghi, poteva superare quota milleottocento nell'arco di cinque anni. Il meccanismo prevedeva timeout progressivi: dopo i primi cinque errori scattava un'attesa di trenta secondi, che diventava un minuto al decimo tentativo, poi cinque minuti, poi quindici, trenta, un'ora e così via, ma non esisteva un limite massimo assoluto. Una persona paziente, armata di un semplice script automatico o anche solo di buona memoria e molto tempo, poteva continuare a provare combinazioni per mesi, confidando nel fatto che il dispositivo non avrebbe mai raggiunto un punto di blocco definitivo. Questo approccio, ereditato dalle prime versioni del sistema operativo e pensato per evitare che un utente legittimo rimanesse escluso per sempre dal proprio telefono, si è rivelato con il tempo un pericoloso lasciapassare per attacchi di brute force lenti, quelli che non fanno rumore e non attirano l'attenzione perchè procedono a passo di lumaca. Con Android 17, Google ha deciso di voltare pagina in modo radicale. Il nuovo algoritmo conta i tentativi falliti in modo cumulativo e irreversibile: dopo appena diciannove errori complessivi, il sistema operativo rifiuta qualsiasi ulteriore inserimento di PIN, password o sequenza, disabilitando di fatto la possibilità di sbloccare il dispositivo tramite la schermata di blocco. Per recuperare l'accesso, l'utente dovrà necessariamente utilizzare le credenziali dell'account Google associate al telefono oppure ricorrere a un hard reset da recovery, con conseguente perdita dei dati se non è stato effettuato un backup. La differenza rispetto al passato è abissale: da milleottocento a diciannove tentativi, un fattore di riduzione vicino a cento volte. La scelta di Google è stata dettata dall'analisi dei rischi reali. Le forze dell'ordine, ma anche i ladri d'identità, sfruttavano proprio la tolleranza del vecchio sistema per tentare di violare i telefoni sequestrati o rubati. Con il nuovo limite, anche conoscendo alcune informazioni personali della vittima, come la data di nascita o l'anno di matrimonio, le probabilità di indovinare il codice corretto prima di incappare nel blocco diventano statisticamente trascurabili per la maggior parte dei PIN a quattro o sei cifre. La sicurezza fa un balzo in avanti, ma non senza qualche potenziale controindicazione per chi tende a dimenticare le proprie credenziali.
Tutele per l'utente legittimo e la lotta ai codici deboli Per evitare che il nuovo rigore si trasformi in un boomerang per i proprietari degli smartphone, Google ha introdotto una serie di accorgimenti che meritano di essere conosciuti. Se un utente digita più volte lo stesso codice sbagliato, il sistema riconosce la ripetizione e non incrementa il contatore dei tentativi falliti, mostrando invece un messaggio che spiega perchè quell'errore non è stato conteggiato. Questa semplice modifica risolve lo scenario in cui una persona, magari distratta o con le dita umide, continua a inserire in buona fede una vecchia password senza accorgersi che il telefono gliela sta rifiutando. Un'altra novità riguarda i periodi di blocco temporaneo: invece di visualizzare un countdown in secondi che scorre lentamente generando frustrazione, Android 17 mostra direttamente il numero di minuti o di ore di attesa residua, e accanto compare un collegamento alle opzioni di recupero dell'account. Questo collegamento è consultabile anche da un altro dispositivo, permettendo a chi ha dimenticato il PIN di andare sul sito di Google, verificare la propria identità e sbloccare il telefono senza dover resettare tutto. La vera arma di difesa, però, resta la consapevolezza: molte persone continuano a usare combinazioni terribilmente prevedibili, come 1234, 0000, 1111 o la propria data di nascita. Uno studio condotto da ricercatori di sicurezza ha mostrato che le prime venti combinazioni più comuni coprono oltre il dieci per cento di tutti i PIN utilizzati nel mondo. Con il vecchio sistema, un malintenzionato che conoscesse qualche dettaglio anagrafico della vittima poteva provare le prime cinquanta combinazioni più probabili senza troppi ostacoli. Con Android 17, dopo diciannove tentativi complessivi la partita è chiusa, il che significa che anche una persona con informazioni parziali sulla vittima ha pochissime chance di successo. Tuttavia, se il PIN è tra i più comuni, il rischio rimane: basterebbero meno di diciannove tentativi mirati per centrarlo. Ecco perchè la vera sicurezza non può prescindere dalla scelta di un codice robusto, possibilmente a sei cifre e non legato a informazioni facilmente reperibili sui social network. La combinazione di una politica restrittiva lato sistema operativo e di una maggiore educazione degli utenti potrebbe finalmente ridurre il numero di furti di identità e accessi non autorizzati che ogni anno colpiscono milioni di dispositivi Android nel mondo. Google ha dichiarato che Android 17 includerà anche un assistente alla creazione del PIN che suggerirà combinazioni casuali difficili da indovinare, segnando un ulteriore passo verso un ecosistema mobile in cui la protezione dei dati personali non è più affidata soltanto alla buona volontà dell'utente, ma è integrata nel codice stesso del sistema operativo.
La stretta di Android 17 sui tentativi di sblocco è una di quelle novità che si notano solo quando servono, ma che dimostrano come la sicurezza informatica passi anche attraverso scelte apparentemente banali come il numero di errori consentiti. Un cambiamento silenzioso che potrebbe salvare milioni di dati personali.
