Artículo BIT
Seguridad de la información almacenada en un smartphone
Smartphones, siempre conectados a Internet Las distintas plataformas tecnológicas de los smartphones constan de un hardware específico que incluye procesador, memoria, almacenamiento masivo y un sistema operativo cuyas funciones son muy similares a las de un PC. De hecho, los sistemas operativos de algunos smartphones son adaptaciones de los usados en los PC. Estos sistemas operativos obligan a que las aplicaciones se ejecuten en su propio espacio de código y datos y que no interfieran con otras aplicaciones ni accedan a otros datos que no sean los suyos. Cada aplicación se ejecuta en su “cajón de arena” (Sandbox) asignado, e independiente del de las demás. Sin embargo, cada vez más aplicaciones quieren hacer uso de la información generada por otra aplicación para, a partir de ella, crear valor añadido. Hay aplicaciones que están diseñadas para hacer uso de nuestra ubicación y así, por ejemplo, mostrarnos servicios que nos puedan ser útiles y que, de otra forma, nos sería tedioso encontrar (restaurantes, cajeros, gasolineras, teatros, etc.). Las redes sociales nos permiten subir fotos, videos, comentarios, etc. que acabamos de hacer en nuestro lugar de vacaciones y compartirlas inmediatamente con nuestros amigos. La mayoría de las utilidades necesitan de Internet. Por ello, los smartphones suelen ir asociados a una conexión de datos móviles que les permita una conexión rápida a Internet. Esta conexión permanente a Internet nos puede plantear alguna pregunta sobre privacidad: ¿están seguros nuestros datos privados en un Smartphone? La respuesta rápida es sí. Tan seguros como nosotros queramos. Tan seguros como seamos capaces de protegernos de los “malos”, aquellas personas u organizaciones que se aprovecharán de Enrique Funke Vocal de la junta de gobierno del COIT Seguridad de la información almacenada en un smartphone En el último trimestre de 2010 se han vendido más teléfonos inteligentes que ordenadores personales: cien millones de smartphones frente a 92 millones de PCs. Llevamos encima estos dispositivos prácticamente a todas horas para mucho más que hablar por teléfono. Nos atraen las múltiples posibilidades que nos ofrecen: pantalla de buen tamaño y calidad, configuración sencilla, simplicidad en el uso de cuentas de email, acceso cómodo y rápido a Internet, cámara de fotos y de video de calidad aceptable, reproductor de música y de videoclips, capacidad de almacenamiento elevada, geo-posicionador y mapas de ayuda a la navegación, multitud de juegos,… La lista es casi interminable y se obsoleta al instante con nuevas funcionalidades que los fabricantes ofrecen continuamente. Todas estas posibilidades que nos gusta tener al alcance de la mano y que, además, usamos intensivamente generan una gran cantidad de información privada y personal del usuario. Los smartphones guardan en su memoria, todas las fotos que hemos hecho o nos han hecho con él, registran los lugares donde hemos estado, con precisión de GPS, y dónde hemos hecho las fotos o los vídeos que hemos grabado, los documentos que hemos creado o que nos han enviado, etc. Toda esa información está en la memoria del teléfono. Pocas personas la borran o la extraen para guardarla en otro dispositivo externo. Nos resulta más cómodo tenerla ahí por si queremos enseñársela a alguien en algún momento, lo que ha llevado en los últimos meses a cuestionar la seguridad de estos dispositivos llegados para quedarse. TECNOLOGÍA Y SOCIEDAD. Seguridad de la información almacenada en un smartphone nuestros errores o hábitos no recomendables para intentar robar nuestra información sensible. Es verdad que los smartphones son casi como PCs, con ventajas e inconvenientes. Acceder desde cualquier aplicación a través de Internet a los datos almacenados en el smartphone es casi imposible. Es mucho más difícil que acceder a la información almacenada en un PC conectado a Internet. Hay varias razones por las cuales los smartphones están más protegidos frente al robo malintencionado de información privada: las direcciones IP asignadas a las transmisiones de datos móviles son dinámicas y las aplicaciones que se están ejecutando en el móvil sólo tienen acceso a sus datos propios y a aquellos otros a los que hayamos dado permiso explícito cuando la aplicación se instaló. Acceder remotamente a un smartphone no sólo requiere conocer la IP asignada en ese momento, sino que se requiere saber la identificación IMSI (no basta con saber el número de teléfono del usuario o dirección MAC del dispositivo), dato que los operadores no comparten con los usuarios. Las conexiones (GSM, GPRS y UMTS) entre un smartphone y la red móvil son seguras y muy difíciles de interceptar, a no ser que se tenga un equipo muy sofisticado y costoso. Además, algunos smartphones protegen su información local cifrándola, es decir, no se almacena en claro y aunque alguien pudiera acceder directa y físicamente al almacenamiento interno del smartphone (apropiándose de él), no sería capaz de interpretar los datos tal como están almacenados. Incluso, la mayoría de los smartphones de última generación permiten añadir un nivel adicional de secreto mediante un cifrado que usa una clave alfanumérica elegida por el usuario. También pueden, si lo elige el usuario, borrar todos los datos almacenados tras detectar un determinado número de accesos infructuosos. Pero hay que tener en cuenta que los datos se transmiten en claro una vez que han salido de la red móvil del operador y se encaminan por Internet. Por eso, hay aplicaciones específicas que protegen los datos intercambiados entre un smartphone y un servidor de aplicaciones cifrando mediante claves públicas simétricas de 256 bit. Este cifrado es extremadamente seguro, aunque tiene el inconveniente de necesitar una elevada potencia de cálculo en el procesador del smartphone. Afortunadamente, los de última generación están incorporando procesadores más rápidos, con mayor capacidad de cálculo; incluso, ya hay disponibles smartphones con procesadores de doble núcleo, que son idóneos para acelerar el cifrado de alta seguridad de los datos locales y de las comunicaciones a través de Internet. Esta protección es obligada en aplicaciones que utilicen datos sensibles, como el historial médico de un paciente. Las aplicaciones instaladas por el fabricante están diseñadas para proteger esa privacidad y, si tienen que acceder a alguna información adicional, nos interrogan con objeto de que demos nuestro permiso explícito. Las aplicaciones instaladas por el usuario y compradas desde un marketplace o appstore han pasado una serie de comprobaciones y firmas para asegurar que se comportan adecuadamente, que se ejecutan en su sandbox particular y no salen de él. Si alguna de estas aplicaciones pretende usar datos de otras, en el mismo momento de la instalación nos dirá a qué datos quiere acceder y pedirá un permiso explícito. Por tanto, es muy importante que estemos atentos a estos mensajes de aviso y de petición de permiso ya que, una vez aceptemos, la aplicación no nos volverá a preguntar y accederá a esa información de acuerdo con los fines para los que se creó. Si se deniega la aprobación, la aplicación ni siquiera se instalará. Estas aplicaciones se comprueban antes de llegar al marketplace para que su comportamiento sea acorde con las normas estipuladas en él. “Es muy recomendable tener actualizado el smartphone con la última versión de firmware publicada y es absolutamente imprescindible no visitar mediante nuestra navegación por Internet sitios web que no sean de absoluta confianza” TECNOLOGÍA Y SOCIEDAD. Seguridad de la información almacenada en un smartphone Aplicaciones maliciosas El problema potencial aparece cuando usamos el smarphone para navegar por sitios de internet de dudosa confianza. Puede ocurrir que descarguemos algo desde uno de esos sitios que contenga código malicioso. Si es una aplicación que se tiene que instalar, tendremos que dar permiso, por lo que, si leemos detenidamente todos los avisos sobre acceso a datos, sabremos si debemos impedir la instalación. Sin embargo, desde algunos sitios de Internet nada recomendables podríamos estar tentados de descargarnos una imagen sugerente o un documento en formato “PDF” con información atrayente. Hay imágenes (formatos JPEG o TIFF, principalmente) que están creadas con objeto de que, al visualizarse, produzcan un error grave de la aplicación de visionado de imágenes (normalmente, un desbordamiento anómalo de la pila o stack del programa) que hace que se ejecute y tome el control de forma inmediata el usuario “raíz” del sistema operativo, que tiene todos los privilegios de acceso y ninguna de las limitaciones del usuario con restricciones que estaba ejecutando la aplicación que produjo el error al visualizar la imagen con contenido malicioso. De hecho, la imagen maliciosa lleva embebido un código ejecutable que, al producirse esta situación de “error fatal”, ya puede ejecutarse en el sandbox del usuario raíz con todos los privilegios asociados. De forma similar ocurre al tratar de ejecutar documentos en formato pdf con contenido malicioso. Son estos códigos ocultos, descargados por los propios usuarios en archivos aparentemente inofensivos, los que toman control del smartphone y no sólo pueden acceder a cualquier información del usuario y del propio dispositivo (número de IMEI, identificación MAC, número de serie, nombre del usuario, historial de navegación, localizaciones visitadas, fotos, videos, direcciones de email, etc.), sino que también pueden enviar esa información a las aplicaciones y sitios de Internet para los que están diseñadas. Y esas acciones ya sí pueden realizarse sin que el usuario tenga conocimiento de ello. Cuando los fabricantes se aperciben, por sus propias pruebas o por denuncias de usuarios, de que estos comportamientos no deseables pueden producirse e identifican el origen del problema corrigen el código de la aplicación, o de las rutinas de ejecución involucradas del propio sistema operativo, para impedirlo. Así, los fabricantes van publicando nuevas versiones del firmware del dispositivo que tienen por objeto no sólo introducir nuevas funcionalidades, sino también incluir parches que corrigen los problemas o agujeros de seguridad identificados, igual que ocurre con las diversas actualizaciones que se publican para los sistemas operativos de los PCs. Conclusiones Para evitar sorpresas desagradables, es muy recomendable tener actualizado el smartphone con la última versión de firmware publicada y es absolutamente imprescindible no visitar mediante nuestra navegación por Internet sitios web que no sean de absoluta confianza. Por supuesto, no se debe descargar ningún archivo, por inocente que parezca, de este tipo de sitios. Hay también una práctica, podríamos llamar suicida, de algunos usuarios que sustituyen el firmware original del smartphone por otro que no proviene del fabricante y que permite instalar aplicaciones que han sido modificadas para que no tengan que pasar por los correspondientes marketplaces. En este escenario, puede haber multitud de agujeros de seguridad (back door) incontrolados que permitan acceder a funciones o datos del dispositivo sin la autorización correspondiente que faciliten la instalación y ejecución de procesos con niveles de privilegio que les permitan usar datos privados a su antojo. También, las aplicaciones que se han modificado para que se puedan instalar sin pasar por el correspondiente marketplace sobre estos firmwares alternativos pueden contener código malicioso en su propio diseño y ya no tendremos ninguna medida de seguridad que nos proteja de un posible uso fraudulento de nuestra información privada. Debemos ser conscientes de que está en manos de los propios usuarios y en su forma de proceder la primera y más importante defensa contra aquellos individuos y organizaciones que, aprovechándose de malas prácticas y de la falta de conocimiento básico de seguridad informática a nivel de usuario, intentarán que éste se descargue e instale en su smartphone cualquier tipo de troyano o malware.3
30 oct 2015