The Signal
NowSecure rileva che nel 97% di 136.711 app mobili non è rilevabile la crittografia post-quantistica
L’analisi di NowSecure su 136.711 app per iOS e Android ha rilevato che nel 96,9% non erano individuabili codice o librerie di crittografia post-quantistica. L’azienda ha inoltre segnalato più di 3.100 app che usano algoritmi di cifratura d
Quantum.world Team · Scritto con l’IA · verificato ·
Solo 4.241 delle 136.711 app per iOS e Android esaminate da NowSecure contenevano codice o librerie di crittografia post-quantistica rilevabili. L’analisi dell’azienda, pubblicata il 20 ottobre, ha rilevato che nel 96,9% dei file binari delle app non compariva codice di questo tipo: una lacuna che potrebbe complicare gli sforzi per proteggere i dati mobili dai futuri attacchi quantistici.
Che cosa misura il dato del 97%
NowSecure ha valutato le app nell’arco dei 90 giorni terminati il 5 ottobre 2026, attraverso un’analisi statica dei file binari. Ha contato una volta per ciascuna piattaforma le app disponibili sia su iOS sia su Android e ha riferito che nel 96,9% non era rilevabile codice relativo alla crittografia post-quantistica, arrotondando il dato al 97%. Il risultato riguarda ciò che la scansione ha rilevato nel file binario dell’app, non misura direttamente tutte le protezioni di cui un’app può beneficiare.
L’azienda precisa che trovare codice di crittografia post-quantistica non dimostra che venga usato durante l’esecuzione. È possibile anche il contrario: un’app nel cui file binario non sia rilevabile tale codice può comunque beneficiare della protezione fornita dal sistema operativo, dallo stack di rete o dal server. Questa distinzione fa del risultato una misura del codice visibile nelle app esaminate, non un giudizio definitivo sulla sicurezza end-to-end di ciascuna app.
Algoritmi di cifratura obsoleti rilevati in più di 3.100 app
L’analisi ha impiegato anche test durante l’esecuzione per segnalare algoritmi di cifratura deboli in più di 3.100 app per Android e iOS. NowSecure ha indicato DES e RC4 come esempi di algoritmi obsoleti rilevati in questi controlli. L’azienda presenta i risultati come un problema crittografico distinto e attuale, accanto al lavoro di più lungo periodo necessario per preparare i sistemi a chiave pubblica all’adozione di algoritmi resistenti agli attacchi quantistici.
Per i team di sicurezza la distinzione è importante: sostituire la crittografia a chiave pubblica vulnerabile agli attacchi quantistici non è lo stesso compito che intervenire sugli algoritmi di cifratura obsoleti già in uso. NowSecure sostiene che i team debbano anzitutto censire sia le app sviluppate internamente sia i componenti software di terze parti, comprese le librerie e i kit di sviluppo software integrati nelle applicazioni finite. Raccomanda di dare priorità alle app che trattano informazioni personali, proprietà intellettuale e transazioni finanziarie.
«La parte più esposta e meno censita»
«Le app mobili sono la parte più esposta e meno censita della crittografia di un’organizzazione», ha dichiarato Alan Snyder, amministratore delegato di NowSecure. Secondo Snyder, le organizzazioni possono avere un quadro più chiaro della crittografia dei server rispetto a quello delle app che trattano dati sensibili; ha inoltre avvertito che coordinare gli interventi correttivi tra sviluppatori e fornitori richiede tempo.
NowSecure raccomanda per le app mobili un piano di migrazione di almeno due anni, che parta da un censimento e una valutazione per poi passare agli interventi correttivi e a nuovi test. Le sue indicazioni distinguono le app che un’organizzazione può modificare direttamente da quelle di terze parti, per le quali occorre coordinarsi con i fornitori o procedere alla sostituzione. Secondo l’azienda, le dimensioni e il carico aggiuntivo degli algoritmi di crittografia post-quantistica possono incidere sulle prestazioni e sull’architettura delle app sviluppate internamente, mentre i componenti di terze parti comportano ulteriore lavoro di test e coordinamento.
Gli standard sono pronti, i censimenti no
Il NIST afferma che tre standard definitivi di crittografia post-quantistica sono pronti per essere implementati ed esorta le organizzazioni ad avviare la migrazione. Per passare da queste indicazioni a protezioni mobili funzionanti occorre individuare dove la crittografia vulnerabile compare nel software, nei servizi e nei dispositivi: un compito reso più difficile quando il codice arriva all’interno di componenti compilati di terze parti.
I risultati di NowSecure indicano un problema di visibilità tanto quanto una lacuna nell’adozione: una scansione dei file binari può rivelare codice sfuggito a un censimento, ma da sola non può dimostrare come quel codice si comporti durante l’uso. Le prossime domande per le organizzazioni sono quali app proteggano dati sensibili da conservare a lungo, quali fornitori possano aggiornare i propri componenti e come i team verificheranno che le modifiche funzionino sui dispositivi reali.