Recentemente, una serie di post pubblicati da Andrew Morris, esperto di sicurezza e fondatore di GreyNoise, ha scosso la community della privacy online. Al centro della bufera c'è AdGuard per iOS, uno dei content blocker più popolari al mondo, accusato di un comportamento tecnicamente invasivo che solleva seri dubbi sulla sicurezza della "filiera" (supply chain).
Il cuore della questione: L'iniezione di codice
Secondo l'analisi di Morris, AdGuard inietta circa 20.000 righe di codice JavaScript in ogni singola pagina web visitata tramite Safari su iOS.
Perché lo fa?
Non è necessariamente un atto malevolo. Apple impone forti restrizioni alle estensioni di Safari tramite le sue Content Blocking API. Per eliminare gli annunci più complessi (quelli che queste API non riescono a vedere) e "riparare" il layout della pagina eliminando gli spazi vuoti, AdGuard utilizza la cosiddetta Advanced Protection. Questa funzione richiede l'iniezione di script per manipolare direttamente il DOM (la struttura) della pagina web.
I tre segnali d'allarme per la sicurezza
Sebbene la funzionalità possa giustificare il codice, Morris evidenzia tre criticità che non possono essere ignorate:
• Aggiornamenti remoti non controllati: Lo script JavaScript iniettato non è statico. Viene scaricato dai server di AdGuard circa ogni 6 ore. Questo significa che l'azienda può modificare radicalmente il comportamento dell'estensione sui dispositivi degli utenti senza passare per la revisione dell'App Store di Apple.
• Privilegi eccessivi: Essendo eseguito nel contesto della pagina web, lo script ha teoricamente accesso a tutto ciò che l'utente vede o digita (password, dati bancari, messaggi), agendo come un "Man-in-the-Middle" autorizzato.
• Il fattore geopolitico: Nonostante la sede legale a Cipro, Morris ha rilevato che la stragrande maggioranza dello sviluppo (commit su GitHub e orari di attività) avviene in Russia. In un contesto di cybersicurezza globale, l'origine del codice da giurisdizioni con forti pressioni governative rappresenta un rischio di "Supply Chain Attack" non trascurabile.
Trasparenza o necessità tecnica?
AdGuard ha risposto alle critiche sottolineando che il loro motore di filtraggio è open source e che l'iniezione di script è l'unico modo tecnico per offrire un blocco pubblicitario di alto livello su iOS. Tuttavia, l'analisi di Morris suggerisce che molte componenti critiche del codice siano "vecchie" o difficili da verificare completamente nella loro interazione in tempo reale.
Cosa dovrebbero fare gli utenti?
Non c'è bisogno di farsi prendere dal panico: ad oggi non esistono prove che AdGuard stia rubando dati. Tuttavia, la prudenza è d'obbligo.
• Per gli utenti "Casual": Se la pulizia estetica delle pagine è prioritaria, AdGuard resta imbattibile, ma è bene essere consapevoli del "permesso in bianco" che gli si concede.
• Per gli utenti attenti alla sicurezza: Il consiglio è di disattivare la Protezione Avanzata nelle impostazioni di AdGuard. In questo modo, l'app userà solo le API native di Apple, che sono molto più limitate ma intrinsecamente più sicure, poiché non permettono l'iniezione di codice arbitrario.
