Obtainium

Oggi trattiamo un argomento un po’ spinoso e tecnico. Non tanto perché Obtainium sia un’applicazione difficile da utilizzare, quanto perché utilizzarla vi mette nella condizione di avere molta più responsabilità sulle vostre azioni.

Partiamo dunque, come sempre, dalle basi. Questa applicazione vi permette di installare e aggiornare con estrema facilità le applicazioni pubblicate su GitHub, GitLab, Codeberg, F-Droid, IzzyOnDroid e molte altre fonti, compresi i link diretti ai file .APK.

Obtainium

Ora, la maggior parte di voi starà probabilmente pensando: ok, ma perché dovrei utilizzare questa applicazione al posto di F-Droid? La risposta non è per nulla semplice né scontata ed è anche per questo che ci prendiamo qualche minuto prima di presentarvi Obtainium chiarendo alcuni punti cruciali.

Esiste una nicchia di persone che punta il dito sulla sicurezza di F-Droid principalmente per via del fatto, cerchiamo di sintetizzare e semplificare il più possibile, che F-Droid di solito firma con le proprie chiavi le applicazioni che pubblica fonte. Questo è un problema di sicurezza solamente in base al vostro threat model, cioè è un problema principalmente se i vostri standard di sicurezza sono estremamente elevati.

Il ragionamento è questo: se qualcuno mai dovesse riuscire a intrufolarsi nei server di F-Droid potrebbe modificare le applicazioni con codice malevolo senza che voi lo sappiate, perché queste avrebbero la firma di F-Droid e sarebbero dunque, per il vostro sistema operativo, affidabili e sicure.

L’attore malevolo in questo caso potrebbe rilasciare dei finti aggiornamenti di applicazioni con all’interno dei virus pericolosi e il vostro sistema operativo li lascerebbe passare agevolmente perché: “questo aggiornamento ha la stessa firma dell’installazione, dunque ci fidiamo!”.

Va detto che non vale per tutte le app: per quelle con le cosiddette build riproducibili F-Droid ricompila l’app, verifica che il risultato sia identico al file dello sviluppatore e la pubblica con la firma originale dello sviluppatore fonte. È il caso, per esempio, proprio di Obtainium.

Aiuto, devo disinstallare F-Droid quindi?

No di certo e non saremo certo noi a generare FUD né a mettervi ansie inutili. Intanto partiamo dal presupposto che il rischio zero in informatica non esiste e semplicemente si va, appunto, per gradi. Gestire le applicazioni da F-Droid ha diversi punti a favore, per esempio:

• non dovete essere esperti: F-Droid compila ogni applicazione partendo dal codice sorgente e, prima di pubblicarla, controlla (con strumenti automatici e con i suoi volontari) che non contenga librerie proprietarie o file già pronti di cui non si vede il codice;

• grazie alle sue regole fonte, se un’applicazione ha comportamenti poco etici (pubblicità, traccianti, dipendenza da servizi non liberi…) F-Droid ve lo segnala con un’etichetta ben visibile, le cosiddette anti-caratteristiche, mentre le app che contengono codice proprietario non vengono proprio pubblicate;

• F-Droid è uno store veloce, pratico e alla portata di chiunque;

• prima di installare un’applicazione presente su F-Droid potete vedere quali autorizzazioni chiede e le eventuali anti-caratteristiche. Tutte queste cose GitHub, o chi per lui, non ve le dice e dovrete scoprirle in autonomia.

Differenze tra scaricare un’applicazione da GitHub o da F-Droid

Cosa succede dunque quando uno sviluppatore aggiorna un’applicazione? Generalmente viene rilasciato il codice sulla pagina del codice sorgente (ad esempio GitHub, GitLab o altri) e, se lo sviluppatore vuole, può rilasciare anche il file .APK di installazione già pronto all’uso senza che voi dobbiate fare nulla se non installarlo.

F-Droid al posto di prendere quel file .APK e proporvelo, ricompila (è come se mettesse insieme i vari pezzi per farla funzionare) l’applicazione e la firma, come dicevamo prima. In questo processo controlla soprattutto che non siano inserite librerie proprietarie o poco etiche secondo i loro standard. Fatte queste verifiche vi proporrà l’aggiornamento dell’applicazione attraverso i suoi server.

E quindi a cosa serve Obtainium?

Fatte queste lunghe, ma doverose, premesse vi spieghiamo ora cosa permette di fare Obtainium: vi permetterà di scaricare direttamente i file .APK dai siti di rilascio senza che voi dobbiate passare da store alternativi.

Questo processo ha sicuramente alcuni vantaggi ma ha anche alcuni svantaggi, vediamo quali:

• gli aggiornamenti sono sicuramente più rapidi perché arrivano appena gli sviluppatori li pubblicano;

• scaricherete i file generati direttamente dagli sviluppatori senza la necessità di usare altri store. Questo, sotto alcuni punti di vista, è un bene ma sotto altri lo è un po’ meno:

  • GitHub e simili ospitano i file così come lo sviluppatore li carica, senza controllarne il contenuto. E, come abbiamo visto, F-Droid non ci protegge solo dai virus ma anche dalle applicazioni poco etiche. Se dunque lo sviluppatore inserirà della pubblicità o dei traccianti, per esempio, potreste non accorgervene se non andando a spulciare a dovere l’APK prima di installarlo.

In pratica e in breve: se scaricate i file direttamente dalle pagine degli sviluppatori dovete fidarvi dei singoli sviluppatori. Se scaricate da F-Droid dovete fidarvi anche dello staff dietro F-Droid.

Ora, come avrete intuito, ci sono indubbiamente dei pro e dei contro per usare questa applicazione: se vi fidate degli sviluppatori e se volete aggiornamenti rapidi allora Obtainium può fare al caso vostro: è semplicissima da utilizzare e controlla regolarmente se ci sono aggiornamenti sui vari repository (i link del codice sorgente) che gli avete dato.

Quando troverà un aggiornamento vi avviserà e vi permetterà di aggiornare l’applicazione con un click.

Come inserire applicazioni complesse su Obtainium

Può capitare che alcune applicazioni siano disponibili per lo scaricamento su Obtainium ma abbiano la necessità di avere qualche impostazione particolare. Proprio per venire incontro alle persone esiste la pagina Complex Obtainium Apps che riassume alcune interessanti applicazioni che si possono installare su Obtainium con particolari configurazioni. È possibile copiare la configurazione di ogni singola applicazione oppure è possibile aggiungerla direttamente su Obtainium.

Tra queste troviamo Signal, Mullvad VPN, Anytype, Brave, Cryptomator, Grayjay e molte altre!

Scarica

Nella speranza di non aver generato confusione né di aver alimentato ansie, vi lasciamo con i link per scaricare Obtainium.