Bugbane entra in open beta

A un anno dal nostro primo annuncio, Bugbane, la nostra app open-source per l’analisi forense consensuale su Android, è ora disponibile in open beta, con un sito dedicato: bugbane.org. Chiunque può installarla e provarla sul proprio dispositivo Android. La documentazione è ancora in lavorazione, ma è già disponibile con alcune informazioni aggiuntive.

Attenzione! È ancora una beta, pensata per essere testata da chi opera nel settore o nei casi in cui non esistano alternative. Consultare la documentazione sui rischi.

Available on

Le build della beta sono disponibili su F-Droid e Google Play, oppure direttamente dalle release su GitHub. Aspettiamo il riscontro di un pubblico molto più ampio.

Aiutaci a migliorarla #

È una beta: qualcosa si romperà, ed è esattamente ciò di cui vogliamo sentir parlare. Per segnalare bug, problemi di usabilità o proposte di nuove funzionalità, apri una issue su GitHub. Se parli una lingua che non conosciamo, puoi aiutare a tradurre Bugbane su Weblate.

Abbiamo in mente molte funzionalità per i prossimi mesi, ma abbiamo volutamente preso il tempo necessario per arrivare fin qui: prima di pubblicarla, volevamo che l’app fosse più sicura e ben compatibile con l’ecosistema di MVT.

I dettagli nerd #

Al passo con MVT e AndroidQF #

Bugbane produce acquisizioni compatibili con AndroidQF, quindi tutto ciò che Bugbane raccoglie può essere analizzato con MVT. Ultimamente sia MVT che AndroidQF si stanno evolvendo rapidamente — un’ottima notizia per l’ecosistema — e accogliamo con favore qualsiasi sforzo per standardizzare il formato delle acquisizioni. In pratica, questo significa che Bugbane resterà leggermente indietro rispetto allo sviluppo di MVT/AndroidQF: quando lì vengono aggiunti nuovi moduli, ci sarà un po’ di ritardo prima che arrivino in Bugbane.

Crittografia sofisticata #

Ogni acquisizione è un normale archivio ZIP racchiuso in un involucro cifrato con age, cifrato durante la scrittura, così che i dati in chiaro non vengano mai salvati sulla memoria del dispositivo, nemmeno temporaneamente. L’identità age è una coppia di chiavi X25519 la cui chiave privata è protetta da una chiave custodita nell’hardware di sicurezza del dispositivo (un secure element StrongBox dove disponibile, altrimenti il TEE), e per sbloccarla è necessario confermare il blocco schermo.

In aggiunta, l’utente può impostare una password opzionale, che aggiunge un secondo livello all’interno di quello protetto dall’hardware: la chiave è sigillata con Argon2id e ChaCha20-Poly1305. Questa doppia cifratura è pensata specificamente contro l’estrazione forense non consensuale: strumenti come Cellebrite in genere funzionano estraendo il materiale crittografico e forzando PIN brevi; anche se questo riuscisse su un dispositivo, resterebbe comunque da superare una password lunga dietro Argon2id, che non è praticabile da forzare. Il compromesso però è reale: Bugbane non memorizza mai la password, quindi dimenticarla significa che le acquisizioni già presenti sul dispositivo resteranno sigillate per sempre.

La CVE del Wireless Debugging #

Bugbane si basa sul Wireless Debugging di Android, quindi la CVE-2026-0073 ci riguarda da vicino: un bypass dell’autenticazione nella verifica dei certificati dell’ADB wireless che permetteva a un attaccante sulla stessa rete di ottenere l’esecuzione di codice come utente shell su Android 14–16. Google l’ha corretta nel bollettino di sicurezza di maggio 2026. Bugbane cerca di rilevare i dispositivi privi della patch e avvisa l’utente di conseguenza; se il tuo dispositivo non può ricevere l’aggiornamento, usa Bugbane solo su una rete isolata, come un hotspot personale. Questo e altri compromessi sono discussi nella pagina sui rischi e le avvertenze della documentazione — leggila prima di fare affidamento sull’app.