Mobile App Development: la customer experience passa anche dalla sicurezza delle applicazioni
Questo articolo è disponibile in inglese sul nostro canale Medium.
Il 2018 è l’anno che ha fatto segnare i 10 anni di vita sia dell’App Store di Apple che del Play Store di Google. Sono solo 10 anni eppure l’impatto che le applicazioni mobili hanno avuto sulle nostre vite è stato così forte da farci dimenticare “come si viveva prima”.
Ce ne sono milioni in circolazione e disponibili negli App Store, da quelle consumer a quelle di business e, in linea generale, il loro successo è quasi sempre dovuto al mix tra semplicità d’uso, efficacia delle funzionalità e ottima customer experience. Guardando al mondo consumer, più è ampio il pubblico che un’app riesce a raggiungere più consistente è il suo successo inteso non tanto come popolarità quanto come ritorno in termini di profitto. Guardando invece al mondo professional/business, tanto più un’app è affidabile ed efficace rispetto alle specifiche esigenze di chi dovrebbe utilizzarla nel mondo del lavoro, tanto più diffuso sarà il suo successo rispetto alla concorrenza.
C’è però un importante aspetto che tocca nel profondo sia le app consumer sia quelle business ed è la sicurezza. La cosiddetta “mobile security” (nell’accezione di security by design delle applicazioni sviluppate per i dispositivi mobili) è un elemento critico per il successo di un’app, tanto da incidere sulla customer experience che non solo deve essere sempre più immersiva ma anche garantire sicurezza su più fronti.
Un mercato che non mostra segni di cedimento (ma che è oggetto di attacchi)
Secondo quanto riportato da AppAnnie, alla fine del 2017, App Store e Google Play avevano rispettivamente oltre 2 milioni e oltre 3,5 milioni di app disponibili con una media di lanci di nuove app che oscillava tra le 50mila e le 100mila app ogni mese. Numeri così alti giustificati dal fatto che, sempre secondo i report, in tutti i mercati maturi, gli utenti impiegano in media due ore al giorno – pari a un mese all’anno – utilizzando app per smartphone.
Nel 2015, il volume di affari globale proveniente dal mercato delle app ammontava a 69,7 miliardi di dollari. Statista prevede che entro il 2020 il giro di affari salirà a 188,9 miliardi di dollari con profitti derivanti dagli store e dall’in-app advertising. Un mercato, quindi, che promette di crescere ancora e in maniera decisa.
Accanto a questi numeri molto confortanti per chi sviluppa app, c’è però un punto di vista da non sottovalutare ovvero quello della crescita delle minacce informatiche che hanno come target proprio le applicazioni mobili.
Secondo quanto riportato dall’ultimo McAfee Mobile Threat Report le violazioni sono in crescita costante proporzionalmente agli elevati volumi di download ed utilizzo delle app, che diventano un buon “bacino di attacco” per diffondere nuove minacce informatiche.
I McAfee Labs hanno identificato ed analizzato, solo nell’ultimo trimestre del 2017, oltre 16 milioni di mobile malware, quasi il doppio rispetto all’anno prima. Ad inizio 2018 la società aveva classificato oltre 4mila famiglie di minacce specifiche per mobile app (con migliaia di possibili varianti) che andavano dai Trojans rilevati nelle applicazioni di Mobile Banking agli ad clicker malware (pubblicità fraudolente, manipolate per consentire agli sviluppatori delle app stesse di avere maggiori profitti).
Le app per i pagamenti digitali, quelle relative al monitoraggio dello stato di salute ma anche quelle di instant messaging e degli assistenti vocali – solo per citare alcuni esempi – sono i principali veicoli di queste potenziali minacce, essendo “contenitori” di dati di enorme valore.
Cosa direbbero gli utenti se un’app molto utile e ben progettata anche dal punto di vista dell’esperienza d’uso fosse vulnerabile rispetto all’accesso ed utilizzo dei dati? La customer experience, nel complesso, sarebbe ritenuta soddisfacente? E che ne sarebbe della reputazione del brand e della fiducia che in esso ripongono i clienti?
Security by design: perché diventa un pilastro per lo sviluppo di app
La sicurezza di un’app dovrebbe rappresentare una priorità fin dalle primissime fasi di sviluppo, dal primo momento in cui si iniziano a studiare i requisiti e scrivere le prime righe di codice. Ecco perché si parla sempre più spesso di security by design.
La maggior parte dei cosiddetti “difetti di sicurezza” (le vulnerabilità attraverso le quali i malware riescono ad innescarsi all’interno delle app) può essere prevenuta proprio pensando ai rischi e agli effetti che possono avere su codice, dati e utenti in fase di sviluppo, prima ancora quindi di iniziare i test.
La tipologia di sistema operativo, la struttura dell’applicazione, le singole funzionalità, le librerie, le API (interfacce di programmazione) sono tutti fattori da tenere in considerazione. La sfida per gli sviluppatori è riuscire a trovare il perfetto bilanciamento tra sicurezza e user experience perché se è vero che un’app sicura trasmette fiducia agli utenti è al contempo innegabile che procedure di protezione rigide o che limitano le funzionalità ed i servizi di un’applicazione diventano facilmente sinonimo di “bad experience”.
Credits: Unsplash
Tips: come garantire la sicurezza delle App
La sicurezza delle app non è una caratteristica o un vantaggio di una applicazione sulle altre, se solo pensiamo alla dimestichezza con la quale oggi usiamo smartphone e servizi digitali portando nelle app e facendo veicolare attraverso di esse una quantità enorme di informazioni personali (a volte addirittura vitali) o di business, si comprende bene che la sicurezza è una necessità assoluta per qualsiasi tipologia di app. Ed è agli sviluppatori che spetta la prima grande sfida, quella di progettare applicazioni e servizi intrinsecamente sicuri. Ma quali sono gli aspetti sui quali devono riporre la massima attenzione?
Ecco 5 punti da tenere a mente per garantire la sicurezza nelle app:
- scrivere un codice sorgente sicuro: bug e vulnerabilità in un codice sono il punto di partenza che la maggior parte degli hacker utilizza per entrare in un’applicazione provando a cambiare e manomettere il codice sorgente. Diventa quindi di fondamentale importanza partire da qui scrivendo un codice difficile da interpretare e superare (per esempio “offuscandolo” in modo che non possa essere decodificato);
- criptare tutti i dati: ogni singola unità di dati che viene scambiata su un’app deve essere crittografata in modo che, anche nel caso in cui vengano rubati i dati in essa contenuti, non vi sia possibilità di lettura e comprensione di tali informazioni;
- essere prudenti con le librerie: la necessità di rilasciare a ritmi sempre più rapidi le app ha portato gli sviluppatori ad utilizzare librerie di sviluppo prodotte da varie aziende e altri sviluppatori; una pratica molto comune che però richiede ai developer un’attenzione maggiore nel verificare e testare tali librerie prima di implementarle nella propria app onde evitare di trasferire tramite esse vulnerabilità o addirittura malware. A titolo di esempio, la libreria GNU C presentava un difetto di sicurezza che poteva consentire agli aggressori di eseguire in remoto codice dannoso e bloccare un sistema; una vulnerabilità rimasta sconosciuta per oltre sette anni;
- utilizzare solo API garantite: la stessa accortezza che va riservata per le librerie deve essere trasferita nell’utilizzo delle interfacce di programmazione. Pensiamo alle API per lo sviluppo di servizi di geolocalizzazione, queste aiutano gli sviluppatori a costruire il servizio in modo molto più rapido ma se non sicure diventano lo strumento attraverso il quale è possibile accedere a informazioni sensibili degli utenti;
- inserire nell’app l’autenticazione di alto livello: alcune delle più grandi violazioni della sicurezza si verificano a causa della debole autenticazione, basata magari su semplice ID e password (facilmente hackerabili dai cyber-criminali); per rendere maggiormente sicura un’app gli sviluppatori dovrebbero introdurre funzionalità di autenticazione “forte”, per esempio quella basata su due fattori (oltre ad ID e Password è richiesto un codice temporaneo che viene inviato in tempo reale sul numero di cellulare dell’utente).
Questi sono alcuni dei suggerimenti generali derivanti sia dalla nostra esperienza che dalle community globali di sviluppatori, che tuttavia lasciano trapelare quello che dovrebbe essere l’atteggiamento generale quando si parla di security by design, ossia il processo di miglioramento continuo dettato non solo dal fatto che le minacce evolvono ma che anche le aspettative degli utenti mutano e di conseguenza anche le loro esigenze in termini di esperienza.
***
IQUII S.r.l.
