Una herramienta, desarrollada por investigadores de la Universidad de Columbia, es capaz de analizar cuán seguras son las aplicaciones disponibles en la Play Store, la tienda de Google para los dispositivos Android.
Se trata de Crylogger, que es capaz de determinar si las apps utilizan adecuadamente el cifrado, como se conoce la capa de seguridad con la que se resguardan los datos de los usuarios.
Las aplicaciones de Android utilizan algoritmos de encriptación para proteger los datos de los usuarios, como números de tarjetas de crédito, contraseñas, números de seguridad social, etc. Si se usan correctamente, los datos permanecen ininteligibles para terceros.
Según los investigadores, Crylogger detecta las violaciones a las reglas que se deben seguir para que el encriptado sea seguro.
Lo hace a partir de una lista desarrollada por criptógrafos expertos y organizaciones como el Instituto Nacional de Estándares y Tecnología de Estados Unidos (NIST) y la Internet Engineering Task Force (IETF), que definen estándares de seguridad para proteger datos confidenciales.
Escalofriantes hallazgos
Crylogger es la primera herramienta que detecta malas prácticas criptográficas, ejecutando la aplicación en lugar de analizar su código.
Los investigadores ejecutaron 1,780 aplicaciones populares de Android y descubrieron que casi todas contenían o utilizaban bibliotecas que no cumplían con los estándares de seguridad.
Muchas utilizaron algoritmos rotos y otras tenían prácticas inseguras para proteger los datos de los usuarios.
Cada violación no significa necesariamente que sea posible un ataque, sino que más bien deben tratarse como advertencias que deben ser investigadas.
Algunas pueden ser falsas alarmas, porque es muy difícil discriminar con precisión en todas las situaciones.
Los investigadores se pusieron en contacto con más de 300 desarrolladores para obtener confirmación, pero solo 10 proporcionaron comentarios útiles.
«Muchos desarrolladores no consideran que los ataques como la escalada de privilegios y los ataques de canal lateral sean posibles en los teléfonos, por lo que almacenan datos localmente sin las suficientes garantías», afirmó el experto en seguridad Simha Sethumadhavan, uno de los responsables de la investigación.
El equipo analizó manualmente el código de 28 aplicaciones de Android, y descubrió que algunas de las violaciones informadas por Crylogger podrían potencialmente ser explotadas.
«Elegir el algoritmo correcto y configurar sus parámetros es fundamental para mantener seguros los datos de los usuarios, pero requiere una comprensión de la criptografía», precisó el autor principal del estudio, Luca Piccolboni.
