Mythos Sentinel
Un caso vero, raccontato con i dati
Il referto di un cliente conteneva due nomi tecnici che non dicevano niente a nessuno: com.ssd.android.vipre e com.phenome.privacy_sentinel. Prima di cercarli, ci sono state ore di analisi e due email chieste al cliente per farglieli identificare lui stesso. Bastava una ricerca di trenta secondi: erano VIPRE Android Security e Privacy Sentinel: Security, due app di sicurezza vere, entrambe sul Play Store.
La reazione più naturale
Due nomi di pacchetto comparivano nel referto senza che nessuno li avesse mai sentiti nominare. Non richiamavano nessuna app conosciuta, non contenevano parole familiari, e comparivano accanto a un punteggio di rischio. La conclusione più immediata — e la più comoda — è stata trattarli come ignoti da far identificare al cliente stesso, con due email che gli chiedevano: "riconosci questi nomi?".
Era la domanda sbagliata da fare, ed era una domanda a cui si poteva già rispondere da soli.
Quello che c'era davvero
Cercando i due nomi per intero, la risposta è arrivata al primo risultato in entrambi i casi. Nessuna ambiguità, nessuna analisi tecnica necessaria:
VIPRE Android Security, l'app dell'omonimo produttore di antivirus, presente sul Play Store da anni. Il nome di pacchetto non contiene "antivirus" né "VIPRE" per esteso: riflette una vecchia struttura interna del progetto, non il nome commerciale che il cliente vede nel menu del telefono.
Privacy Sentinel: Security, un'altra app di sicurezza regolarmente distribuita. "Phenome" è il nome dello sviluppatore, non una parola che chi cerca "il mio telefono è sotto controllo" si aspetterebbe di incontrare.
Il referto era un falso positivo al cento per cento. Il cliente aveva soltanto installato due programmi di sicurezza in più, in momenti che non ricordava con precisione — cosa che capita a chiunque abbia più di un'app dello stesso tipo sul telefono.
Dove questo tocca noi
Chiedere al cliente di identificare da solo un nome che potevamo cercare noi in trenta secondi non è un errore piccolo: è chiedere a chi si è rivolto a un servizio di sicurezza di fare il lavoro del servizio di sicurezza. Ci sono volute una terza email di correzione e ore di analisi che una ricerca avrebbe reso inutili fin dall'inizio.
La regola che ne resta, e che vale ben oltre questo caso: un nome sconosciuto si cerca prima, si interpreta dopo. Vale per un pacchetto Android in un referto, per un dominio in un log, per qualunque cosa che non si riconosce a prima vista — la ricerca è il passo più economico e va fatto per primo, non per ultimo.
No. Nella maggior parte dei casi è un programma legittimo installato da te o da chi ha configurato il telefono, spesso un antivirus, un'app dell'operatore o un servizio di sistema. Il nome tecnico raramente coincide con quello che vedi nel menu.
Si copia il nome tecnico per intero, quello con i punti (per esempio com.ssd.android.vipre), e lo si incolla in un motore di ricerca. Nella maggior parte dei casi il primo risultato dice già di che app si tratta.
Perché il nome di pacchetto lo sceglie chi sviluppa l'app e spesso resta legato al nome interno di un progetto passato. com.ssd.android.vipre non contiene la parola "antivirus", eppure è l'app vera, firmata dallo sviluppatore vero.
Perché è la stessa disciplina che chiediamo al referto che l'app scrive per te: dire cosa è stato verificato e cosa no, e correggere quando i dati smentiscono un'ipotesi, invece di far sembrare certo quello che era solo comodo da scrivere.