Android fallos de seguridad

[Eloy58]

Aplicaciones preinstaladas vulneran a Android

La popularidad del sistema operativo móvil de Google continúa incrementándose, pero al mismo tiempo, comienzan a surgir diferentes vectores que plantean dudas muy serias para los usuarios. El incidente de Trevor Eckhart y Carrier IQ que explotó hace dos semanas no fue más que la punta del iceberg.

Ahora, un grupo de investigadores de la Universidad de Carolina del Norte han descubierto una importante cantidad de vulnerabilidades en las configuraciones “por defecto” de Android disponibles en móviles de marcas como HTC, Motorola y Samsung, pero que bien podrían afectar a cada dispositivo Android con aplicaciones preinstaladas de fábrica.

Hace aproximadamente dos semanas, el investigador Trevor Eckhart descubrió que la empresa Carrier IQ, se dedicada a crear software con el objetivo de recolectar información estadística que le permite tanto a los fabricantes como a los proveedores de datos mejorar sus servicios, fue un poco más allá de las “estadísticas” al registrar prácticamente todo lo que el usuario hace en su móvil, desde marcar números hasta presionar los mismos botones del móvil, cortesía de un rootkit que, además de no reportar su existencia al usuario, no puede ser interrumpido o eliminado por medios convencionales.

Carrier IQ intentó intimidar a Eckhart con una carta de “cese y desista”, pero una breve intervención de la Electronic Frontier Foundation hizo que Carrier IQ se mordiera la lengua y publicara una disculpa oficial. Los efectos del software de Carrier IQ pueden ser explorados en un vídeo que Eckhart publicó en YouTube el pasado 28 de noviembre... y es escalofriante.

Como si eso fuera poco, recientemente un grupo de investigadores de la Universidad de Carolina del Norte descubrió que las configuraciones “base” de varios móviles populares basados en Android poseen vulnerabilidades que en teoría permitirían a aplicaciones no confiables el acceso a privilegios elevados. Las pruebas se realizaron sobre tres móviles HTC (EVO 4G, el Wildfire S y el Legend), dos móviles Motorola (Droid y Droid X) y tanto en el Nexus One como en el Nexus S.

En el caso de los dispositivos de Google, se reconoció que las fallas de seguridad eran “menores”, y tanto Google como Motorola han admitido las vulnerabilidades, pero aún no sucedió lo mismo con HTC y Samsung. Las fallas están divididas en dos categorías: Explícitas, en las que una aplicación no confiable puede aprovechar un servicio o interfaz pública de otra aplicación sin solicitar permiso, e implícitas, que permiten a una aplicación heredar permisos de otra usando el mismo certificado digital (algo usado por los desarrolladores para que dos programas de su creación puedan interactuar directamente).

Las aplicaciones preinstaladas, fuente de un serio problema de seguridad. En la imagen, un HTC EVO 4G.

El estudio se concentró en trece permisos de privilegio “delicados”, que con un uso incorrecto podrían revelar información del usuario como la lista de contactos o su ubicación actual, y descubrieron que once de los trece permisos fueron filtrados por aplicaciones preinstaladas. El HTC EVO 4G resultó ser todo un coladero, con ocho vulnerabilidades detectadas. En otras palabras, todo lo que se necesitaría es una aplicación hecha a medida que aproveche a estos agujeros en aplicaciones preinstaladas para causar estragos en la información (y la privacidad) del usuario.

No es una lectura agradable para ningún usuario de Android, e imaginamos que hay algunos parches en camino, pero si alguien necesitaba de una razón para “rootear” su móvil y sacar toda la basura que vino preinstalada de fábrica, definitivamente es esta.

[baduser]

No cabe duda que donde quiera se cuecen habas, todos los sistemas operativos son altamente vulnerables, incluso el Android, que muchos consideraban perfecto...

gracias Eloy

[carmen10]

[cramercaba]