Android

 

Bitcoin

 

Hodlhodl

 

Joinmarket

 

Donazioni

 

Guida al De-Google e privacy su android


Questa vuole essere una guida completa per ottenere un telefono android completamente de-googled con la massima privacy e sicurezza possibile, pur mantenendo l'usabilità e comodità del dispositivo.

La guida è aperta a miglioramenti e consigli,descriverò la configurazione che trovo con il miglior rapporto usabilità/privacy, nel tempo ampierò le varie sezioni introducendo anche varie alternative per chi magari non si trova bene con una determinata applicazione o servizio, Se volete darmi consigli, contribuire alla guida o effettuare traduzioni, potete trovare i miei contatti nella pagina Donazioni o effettuare una pull request su GitHub.

Tabella dei contenuti


Sistema operativo

Esistono vari sistemi operativi android privacy oriented (GrapheneOS, CalixOS, etc) in questa guida però tratteremo l’approccio usando come base la LineageOS 12, ma è comunque compatibile con ogni altro sistema operativo AOSP.

!WARNING!

Questa guida è stata pensata e studiata per offrire la massima sicurezza e privacy nell'utilizzo del proprio telefono, procedure come il root e lo sblocco del bootloader vanno a ridurre notevolmente la sicurezza del dispositivo e sono per questo fortemente sconsigliate.


Per semplificare i passi per l’installazione della Lineage faccio un brevissimo riassunto:

  1. Sbloccare il bootloader
  2. Flashare una recovery
  3. Flashare Lineage OS versione microG
Attenzione, la versione base senza app di google è di gran lunga preferibile (e fortemente consigliata) ma utilizzando microG senza aggiungere nessun account google potremo almeno utilizzare i servizi base di android senza andare in contro a crash e malfunzioni di app dipendenti da essi.

A questo punto ci troveremo con un dispositivo con un sistema operativo fresco e appena installato.

Modifica e setup del sistema

Per avere un dispositivo privacy oriented cominceremo con il modificare i vari settings del sistema operativo, qui elenco le principali impostazioni e accorgimenti anche se possono cambiare da dispositivo a dispositivo:

  • Disabilitare bluetooth e localizzazione ogni volta che non li utilizzate
  • Attivare la privacy nel blocco schermo e un metodo di protezione del dispotivo (pin e notifiche nascoste con telefono bloccato)
  • Disabilitate tutti i dati telemetrici
  • Abilitate se disattivata la criptazione del dispositivo
  • Disabilitate i backup
  • Rifiutate ogni volta, se possibile, la condivisione di dati di telemetria e crash in tutte le app che installate
  • Ricordatevi, se lo usate, di disattivare il debug usb (disabilitato di default) in quanto se perdete il telefono espone a grossi rischi in fatto di sicurezza

Gestiremo invece dopo i permessi delle applicazioni.



Store per il download delle app

Essendo ora separati dal mondo google dovremo trovare altri store da cui scaricare le applicazioni, le alternative principali sono:

  • F-Droid (store alternativo di app FOSS/Open Source) possibilmente installeremo da qua le applicazioni ma non aspettatevi di trovare instagram o facebook, continente solo app opensource quindi al massimo troverete delle loro alternative FOSS.
  • Droid-ify (alternativa opensource/fork di fdroid com una grafica meglio curata e qualche funzione in più, a mio parere la migliore alternativa se cercate una UI un po più elegante).
  • Aurora Store (vi permette di usare il vecchio store google ma sempre attraverso account fittizi e diversi ogni volta automaticamente generati da lui, mi raccomando usate la modalità ospite/anonima o sarà inutile).

Shelter

Ora che abbiamo gli store configurati possiamo procedere al download di Shelter, se avevate già aperto l'app di Fdroid/Droidify in precedenza dovrebbe aprirvi il link direttamente in app.
Shelter è un applicazione OpenSource che ci permette di creare un work profile, ovvero un secondo profilo nel telefono che funziona contemporaneamente al primo ma in modo totalmente isolato e indipendente:

immaginate un tavolo (il nosto sistema operativo) su cui poggiano due scatole completamente chiuse e sigillate (i nostri due profili), queste due sono completamente indipendenti e separate ma usano una base comune, se l'OS del nostro telefono è il primo ad essere sporco e pieno di app traccianti come i Google Play Services, l'utilizzo di shelter diventa in buona parte inutile, in caso proprio non vogliate cambiare rom usate almeno questo Android Debloater che vi permette di disabilitare in pochi e semplici click le principali app tossiche per la privacy incluse nei maggiori sistemi operativi di default (ATTENZIONE disabilitate le app, non disinstallatele, o rischiate di corrompere il sistema se avete il telefono criptato).

Una volta aperto shelter si aprirà un menu di configurazione del profilo di lavoro, una volta attivato accederemo all'interfaccia dell'app che è divisa in 2 sezioni:

  • Main ovvero il profilo principale in cui installeremo solo app open source o senza accesso ad internet.
  • Shelter ovvero la sezione in cui isoleremo tutte le applicazioni malevole e traccianti come i social, le app bancarie o non open source.

i 2 profili sono perfettamente separati e vedremo le app installate in quello principale come normali icone, quelle installate nel profilo di lavoro invece presenteranno un piccolo badge che le distingue dalle altre, esse coesisteranno all'interno dello stesso launcher. Per installare le app nel profilo desiderato ci basterà usare uno di questi 3 metodi:
  • Dall'app shelter clonare un app da un profilo ad un altro (o dai settings usare la funzione installa apk).
  • Scaricare le app da uno store installato in quel profilo (installate Droidify sul profilo principale e pulito mentre aurora in quello sporco e con le app traccianti).
  • Installare apk scaricati da internet (se possibile scaricate tutto da Droidify in quanto è MOLTO piu sicuro).
I due sistemi saranno perfettamente isolati, cosa abbastanza scomoda per la gestione dei contatti, galleria, file, ecc.. in quanto ognuno avra' i suoi. Nelle impostazioni di shelter è possibile attivare una funzione che permette solo all'utente di far parzialmente parlare i due sistemi per la condivisione dei file, nonostante questo la gestione del tutto rimarrà un po' scomoda fino a quando non ci farete l'abitudine.


Gestione del threat model tra i profili

Ora che abbiamo due sistemi completamente diversi e isolati andremo ad applicare un threat model differente in entrambi, nel primo (pulito ed opensource) punteremo alla massima privacy facendo passare tutto il traffico dati attraverso TOR e DNScrypt, nel secondo (sporco e con elementi traccianti) invece punteremo a ridurre il più possibile il leak di nostri dati, coscienti di utilizzare comunque applicazioni che probabilmente hanno già i nostri dati personali (andremo quindi a limitare il più possibile pubblicità e trackers).

Come prima cosa ci concentriamo sul main profile ed andiamo a scaricare InviziblePro, un applicazione che reindirizzerà tutto il traffico sotto tor e con anche ulteriori protezioni.
una volta aperta l'applicazione dal menù in alto a destra con i 3 puntini attiviamo la modalità VPN, rechiamoci quindi nelle impostazioni del telefono nella sezione rete -> avanzate/VPN -> InvisiblePro, qui attiviamo la modalità 'VPN sempre attiva' e 'blocca connessioni senza VPN', in questo modo tutto il traffico passerà attraverso Invisible ed eviteremo qualsiasi leak di dati.

Ora che abbiamo impostato correttamente la rete andiamo a modificare alcune impostazioni all'interno di Invisible:

  • in DNSCrypt settings nella terza sezione abilitiamo require_dnssec, nolog and nofilter, questo ci permetterà di usare sempre i migliori server DNS possibili.
  • Nella sezione Fast Settings abilitiamo 'avvia DNSCrypt all'avvio' e 'avvia TOR all'avvio', in questo modo saremo sempre protetti al 100%.
  • Sempre in Fast Settings, in fondo, abilitiamo l'update automatico attraverso TOR (facoltativo).
  • Nelle impostazioni rechiamoci in Common Settings e abilitiamo tutte e 3 le protezioni della sezione MITM attack detection, queste proteggeranno il nostro dispositivo quando connessi a wifi pubblici.
  • Infine rechiamoci nella categoria Firewall e disabilitiamo l'accesso ad internet a tutte le applicazioni che non ne hanno bisogno (come per esempio la galleria, la tastiera, i giochi offline, ecc)
a questo punto il main profile è pronto per essere usato, ci possiamo ora dedicare al profilo di lavoro, quello con le applicazioni non open source.
Qui possiamo adottare due diverse tecniche per la protezione dei dati:

  • Usare una VPN in caso cerchiamo protezione verso il nostro ISP (tramite essa possiamo anche filtrare pubblicita' e tracker).
  • Usare NetGuard per bloccare l'acceso ad internet alle applicazioni che non lo necessitano ed aggiungere il blocco delle pubblicita' e tracker tramite l'implementazione di un Host filter.
entrambe le opzioni sono valide, la decisione dipende principalmente dalla vostra volonta' o meno di usare un servizio VPN, in caso vogliate approfondire l'argomento potete dare un occhio anticipatamente alla sezione apposita.
Se invece preferite usare NetGuard consiglio di implementare gli Host file di Energized Protection.

Applicazioni

Ora che abbiamo gli store e le reti ben configurate passiamo a scaricare alcune app fortemente consigliate:

  • OpenBoard (faccio un piccolo discorso su questa app, è una tastiera android opensource esattamente uguale alla Gboard, so che molti sono abituati a google board o swiftkey ma per l’amor del cielo evitatele, ho provato a bloccare vari processi e l’accesso ad internet alla Tastiera ma analizzando i dati scambiati con la mia rete ho notato che riusciva comunque a comunicare con i server google, per favore usate openboard o altre tastiere opensource offline).
  • Bromite (A mio parere il miglior broswer android, purtroppo firefox e tutti i suoi fork non supportano su android l'isolazione delle pagine, questo crea un enorme problema di sicurezza, bromite invece e' basato su chromium e anche se non supporta le estensioni, ha gia internamente abilitabile un adblock che supporta liste personalizzate e possiede anche vari tweak anti fingerprinting).
  • Omega launcher (Ottimo launcher open source, fork di quello AOSP ma con piu' personalizzazioni, si integra perfettamente anche con shelter creando 2 menu' delle applicazioni).

    • A questo punto possiamo procedere al download delle applicazioni facendo attenzione al profilo nel quale le installiamo, personalmente uso fdroid sul sistema pulito e aurora in quello con le app traccianti, vi lascio una piccola lista di app OpenSource e privacy oriented che potrebbero tornarvi utili:


  • Aegis(alternativa opensource ed offline a authy/google authenticator)
  • Antenna pod(lettore di podcast totalmente opensource, Usa come fonte i principali lettori podcast esistenti)
  • Bitwarden(miglior password manager, estremamente sicuro ed open source, consentente anche il self-hosting)
  • Crypto prices(alternativa opensource a Coin Market Cap)
  • Frost(per quanto disprezzi e sconsigli l’utilizzo di facebook se proprio non riuscite a farne a meno consiglio di utilizzare frost, un client opensource per facebook)
  • Guerrilla mail(client open source per guerrilla mail ovvero una temp mail per gli spam)
  • Infinity(client di ottima qualità open source di reddit, a mio parere meglio della app originale!!)
  • Libre torrent(semplice,comodo e veloce open source client torrent per android)
  • Less Pass (Applicazione che ci permette di generare password derivate dalla combinazione di sito + nome utente + Una password fissa, l'eccellenza per avere password sicure)
  • Molly(una versione hardened e ripulita dal codice google di signal, portebbe essere una buona idea registrarsi con un numero di una sim comprata senza documenti se legale nel vostro stato)
  • Nekogram(client open source per telegram che non si appoggia ai servizi google ed implementa PGP)
  • Newpipe(client open source di peertube, tutti i video di YouTube ma senza google!)
  • Nextcloud(Client per usare e syncare nextcloud, a mio parere il migliore softwere per farsi un server multimediale in casa)
  • Open keychain(app per gestire le nostre chiavi PGP o per integrarle nelle applicazioni di messaggistica / e-mail)
  • Simple Bitcoin Wallet(Wallet open source leggero, veloce e dalla ottima UI per gestire i vostri bitcoin)
  • Simplelogin(una sorta di proxy e-mail anti spam, crea delle e-mail esca con cui registrarvi ai siti che automaticamente girano Le e-mail ad altri indirizzi da voi scelti, in questo modo non dovete dare la vostra e-mail a siti esterni, inoltre potete eliminare o sospendere le e-mail esca quando volete in modo da interrompere la ricezione delle e-mail sul vostro account principale)
  • Simple crypto widget(Per avere i prezzi aggiornati della vosta criptoval...COFF COFF di bitcoin sulla vostra home page)
  • Simple file manager(File manager open source dall’ottima grafica e con permessi root opzionali)
  • Tor Browser(broswer tor ufficiale con libreria tor integrata, utile per navigare online senza rivelare l’indirizzo IP, non garantisce un anonimato al 100% come ogni cosa ma è un ottimo scudo per la privacy, utile per navigare nei siti .onion)
  • Treecord(versione open source e con tracker bloccati del client discord per android)
  • Voice(lettore offline e opensource di audiolibri)

Per ulteriori applicazioni, browser e servizi privacy friendly consiglio di dare un occhio a privacytools, privacyguides o cercare nelle varie categorie su Droidify.

Client e provider email

Il discorso su quale sia il miglior client e provider email e' lungo e complesso, la migliore opzione sarebbe hostarsi da soli un email ma non e' sicuramente facile.

In caso vogliamo un servizio rapido e comodo ma in cui dobbiamo riporre fiducia in un ente terzo consiglio Proton mail, da usare solo tramite Tor, oppure tutanota, che sembra essere un azienda piu' trasparente, ma dichiara di loggare gli indirizi IP degli utenti; personalmente eviterei l'uso di entrambi questi provider in quanto promettono anonimato ma gia' in passato non hanno rispettato questa clausola e potrebbero essere degli honeypot(?), entrambe però auto-criptano i messaggi verso le email dello stesso provider (tutanota con tutanota e proton con proton).

Un opzione a mio parere molto valida e'quella di usare come client (quindi come app su cui riceviamo le mail) K-9 Email e come provider (quindi come servizio email da collegare a k9) o un servizio a pagamento come fairemail o provare a contattare/farci invitare da qualche gruppo / collettivo privacy friendly o anarchico come Riseup, Esiliati o autistici, quest'ultimo pero'in passato ha subito vari hack, quindi consiglio magari altre alternative.

Molto interessante all'interno delle impostazioni di K9 e' l'opzione di auto-criptazione delle email: importando una chiave PGP da openkeychain (app sopra trattata) e'possibile criptare automaticamente le email verso le persone che a loro volta hanno importato una chiave PGP. dopo una prima email non criptata k9 auto importa la public key dell'altra persona permettendoci cosi di scambiare email criptate senza doversi passare le chiavi (da abilitare nei settings di k9).

A questo punto della guida dovreste aver già installato tutte le vostre applicazioni personali e quelle da me indicate e/o consigliate, possiamo agire ora sui vari permessi, in caso installiate in futuro altre app eseguite questa procedura anche per esse.

Gestione dei permessi delle app

Come primo passo ci rechiamo nelle impostazioni del nostro telefono e andiamo nella sezione applicazioni → avanzate → gestione permessi e qui rimuoviamo ogni permesso superfluo delle applicazioni (con superfluo intendo che per esempio, un app come whatsapp, ha bisogno dei nostri contatti se vogliamo trovarli, quindi per il corretto funzionamento dell’applicazione conviene lasciarglielo, ma possiamo tranquillamente disabilitare l’accesso ai messaggi in quanto verrà usato solo la prima volta quando faremo il login per velocizzare il primo accesso, dopo di che se lasciato attivo concede a whatsapp la possibilità di spiare tutti i nostri SMS).

Prestiamo particolare attenzione ai permessi di geolocalizzazione, fotocamera e microfono.

Quando un app ci chiede un permesso che non è utile o siete consapevoli di usare saltuariamente questo servizio concedete il permesso ‘solo per questa volta' in modo che non abbia continuo accesso per esempio alla localizzazione.

Dopo aver modificato tutti i permessi andiamo anche a disabilitare l’accesso ad internet a tutte le applicazioni che non necessitano della rete (per esempio i vari file manager, calcolatrici, agende, note, tastiere, ecc), possiamo farlo comodamente andando nelle informazioni su un applicazioni → dati e rete → disabilitiamo ‘accesso alla rete’.

In caso vogliate essere ulteriormente certi del blocco di internet a queste app potete usare servizi come i precedentemente trattati netguard e invisible per bloccarle dietro un firewall, non sottovalutate l’accesso ad internet delle app, molte, nonostante non abbia bisogno di quest’ultimo per il funzionamento, lo usano di continuo per condividere nostri dati.

Cloud e Vpn

Faccio una piccola sezione a parte per questi due sotto-argomenti: La migliore soluzione cloud sarebbe il self hosting con nextcloud (a mio parere la miglior scelta), in caso ciò non sia possibile la soluzione a mio parere piu semplice e veloce è Mega.nz (20gb gratis e 5gb di bandwith ed accetta pagamento in bitcoin per i pro plans) se vogliamo invece una sicurezza aggiuntive possiamo usare un cloud con il supporto a WebDav come icedrive in combinazione con Cryptomator (programma che cripta i file prima dell’upload in cloud).

Il discorso VPN invece è particolare, una vpn teoricamente cripta il nostro traffico e lo fa passare attraverso un suo nodo mettendosi tra noi e il nostro ISP andando cosi a darci privacy verso di esso ma obbligandoci a fidarci del servizio vpn stesso.
Tutte le aziende in questo settore promettono privacy e politiche di no logging ma praticamente il 99% delle VPN più che darci privacy ce la fanno perdere, l’unica che mi sento davvero di consigliarvi è Mullvad (onion link),è ovviamente obbligatorio pagarla in bitcoin per avere un privacy maggiore.

Conclusioni Finali

Seguendo questa guida avremo ridotto drasticamente la condivisione di dati personali, cio’ non garantisce in nessun modo l’anonimato ma solamente aumenta decisamente la privacy e la sicurezza nell’utilizzo del dispositivo.

L’utilizzo di MicroG lascia che comunque una piccola quantita’ di dati venga inviata a dei server google ma se seguite correttamente cio’ che ho scritto sopra i dati inviati saranno davverno pochi e non piu’ riconducibili direttamente ad un vostro account.
se volete verificare quali app comunicano con internet e/o condividono vostri dati potete utilizzare applicazioni come PCAPdroid per analizzare il traffico dati creando una VPN fittizia con cui filtrate il flusso di dati proveniente dal vostro cellulare, un altra opzione e’ usare wireshark sul vostro pc mentre siete connessi con il cellulare al wifi.

altri ottimi posti per rimanere aggiornati in ambito privacy e degoogle sono vari subreddit:


"Dire che la privacy e' inutile perche' non si ha nulla da nascondere e' come dire che la liberta' di parola e' inutile perche' non si ha nulla da dire".

Se avete apprezzato la guida date un occhiata alla sezione Donazioni.