Detectar fallos de seguridad en Android antes de que los hackers maliciosos los detecten

Los investigadores de informática y comunicación de la EPFL están hackeando y reparando teléfonos Android antes de que lo hagan los hackers maliciosos. Descubrieron 31 errores críticos de seguridad en el sistema Android, exploraron sus riesgos y desarrollaron métodos para mitigar algunos de los principales mediante mejores pruebas y mitigaciones más amplias.

«Las vulnerabilidades de los dispositivos inteligentes son el talón de Aquiles que puede poner en peligro los aspectos más críticos de un dispositivo móvil», afirma Mathias Payer, que dirige el laboratorio HexHive de la EPFL, que realiza investigaciones sobre ciberseguridad. «El principal riesgo es que los piratas informáticos puedan introducirse en su sistema y obtener acceso a sus datos de por vida mientras tenga el mismo teléfono. Su teléfono ya no es seguro».

Las diversas fallas críticas de seguridad reveladas por los investigadores podrían haber sido explotadas para robar información personal como huellas dactilares, datos faciales y otros datos confidenciales almacenados en el teléfono, como información de tarjetas de crédito o seguridad social.

«Estudiamos el sistema Android debido a la naturaleza abierta de su plataforma, pero es probable que también existan fallas de seguridad similares en el ecosistema del iPhone. Vemos mucha menos investigación de seguridad pública en iPhones debido al enfoque cerrado de Apple, que obliga a los investigadores a aplicar primero ingeniería inversa a la información esencial que está disponible públicamente en Android», explica Payer.

Marcel Busch, un posdoctorado en el Laboratorio HexHive con Payer, encabezó los esfuerzos en capas privilegiadas de Android junto con los estudiantes de doctorado Philipp Mao y Christian Lindenmeier que dieron como resultado tres publicaciones presentadas en el congreso de este año. Simposio sobre seguridad de UsenixEn su trabajo muestran exactamente cómo se manifiestan estos fallos de seguridad y qué capas de la arquitectura del sistema Android se ven afectadas.

Los detalles de las fallas de seguridad de Android en tres capas

El sistema Android procesa esencialmente la información a través de tres capas de código (el iOS del iPhone sigue una arquitectura similar).

La primera capa es el monitor seguro, es el código que procesa los cambios hacia y desde el mundo de los datos cifrados, conocido como el mundo seguro. La segunda capa se divide en dos partes: el mundo seguro, donde se cifran los datos confidenciales, y el mundo normal, construido sobre un núcleo Linux. La tercera capa se basa en la segunda capa y contiene todas las aplicaciones.

Las aplicaciones cotidianas, como la aplicación de fotos o la aplicación de mensajería, en el mundo normal se comunican con aplicaciones seguras llamadas Aplicaciones Confiables (TA), como la aplicación maestra de claves que administra claves criptográficas o la aplicación de gestión de información biométrica que contiene datos confidenciales sobre el usuario que se ejecuta en el mundo seguro.

Se descubrieron numerosos defectos y vulnerabilidades

El equipo de la EPFL descubrió fallos de seguridad en las tres capas del sistema Android. Los investigadores desarrollaron un programa (llamado EL3XIR) que básicamente arroja entradas inesperadas al código de destino para revelar defectos y vulnerabilidades del software, una técnica llamada fuzzing. EL3XIR reveló 34 errores en la capa más fundamental y privilegiada de seguridad de Android, el nivel de monitor seguro, de los cuales 17 fueron clasificados como críticos para la seguridad (el nivel de riesgo más severo).

Los investigadores también revelaron una confusión en la forma en que el sistema Android se comunica con las aplicaciones de confianza. La confusión surge cuando la información de las aplicaciones de confianza se etiqueta incorrectamente al procesarse entre capas. En particular, la interacción compleja y crítica entre las aplicaciones accesibles del día a día y las aplicaciones de confianza, que primero deben pasar por el monitor seguro y luego volver a pasar por el mundo seguro y llegar a las aplicaciones de confianza, se ve afectada por este problema.

En 15.000 aplicaciones confiables que el equipo analizó, los investigadores descubrieron 14 nuevas fallas críticas de seguridad, descubrieron 10 errores corregidos silenciosamente que los proveedores solucionaron sin notificar a los usuarios y confirmaron nueve errores conocidos.

También descubrieron que, si los proveedores no actualizaban el sistema Android correctamente con parches seguros, los piratas informáticos podían forzar una actualización a versiones anteriores vulnerables de aplicaciones confiables y recuperar información confidencial, comprometiendo así todo el ecosistema Android a lo largo de la arquitectura de tres capas. Los investigadores analizaron más de 35.000 aplicaciones confiables implementadas en numerosos fabricantes de teléfonos.

«Android es un ecosistema complejo con muchos proveedores y dispositivos diferentes. Reparar las vulnerabilidades de seguridad es complejo», afirma Mao, candidata a doctorado en HexHive. «Seguimos los estándares de la industria al revelar de manera responsable todos nuestros hallazgos a los proveedores afectados y les dimos 90 días para desarrollar parches para sus sistemas (lo cual hicieron) antes de publicar cualquier detalle. Los conocimientos obtenidos a partir de nuestros hallazgos y nuestras herramientas automatizadas respaldarán la seguridad de los sistemas futuros».

¿Cuál es el resultado final para los consumidores? Mantener actualizados sus sistemas y aplicaciones instalando actualizaciones en cuanto estén disponibles, descargar aplicaciones sólo a través de tiendas de aplicaciones de confianza y comprar un dispositivo de un fabricante que garantice largos ciclos de actualización. Busch observa que «para algunos de los fabricantes que estudiamos, el tiempo de comercialización es la métrica clave, lo que no deja mucho margen para la diligencia necesaria para construir sistemas seguros».