Los fallos seguridad que ponen en riesgo al 66% de los Androides... me tranquilizan

Puedes estar tranquilo, se ha descubierto un fallo

Primero tenemos que tener claro que ningún sistema que ejecute un software está libre de errores. El software es creado por personas como tu y como yo, por lo tanto se equivocan. Puede que los errores no sean garrafales o que ni siquiera sean errores como tal, pero el caso es que hay flaquezas.

Estas flaquezas del sistema pueden ser aprovechadas para colarse dentro. Todos los sistemas operativos tienen estas debilidades. No se libra ninguno. Hay mucha gente buscando estos fallos. Algunos para su beneficio y otros altruistamente. Los segundos son lo buenos, los hackers.

Cada vez que uno o varios hackers publican un fallo de seguridad tengo la tranquilidad de saber que hay gente que se preocupa por nosotros. La publicación de un fallo de seguridad significa la muerte del gigante, el arreglo definitivo de ese agujero.

Los hackers están de nuestro lado

Por lo general este tipo de descubrimientos genera revuelo e inseguridad entre los usuarios. Puede que sea el miedo de saber que éramos vulnerables pero en realidad deberíamos estar tranquilos de saber que por fin se ha descubierto. Es algo parecido a no volar por miedo, aunque muera poca gente, y luego subirte en el coche sin ponerte el cinturón.

El último fallo de seguridad

La empresa de seguridad Perception Point, original de Tel Aviv, publicaba hace tan solo unos días un 0-day con riesgo de subida de privilegios para un atacante. El bug que origina el fallo se encuentra en la utilidad keyring del kernel de millones de ordenadores y servidores que ejecutan Linux y en alrededor del 66% de todos los dispositivos Android.

Explotanto este fallo de seguridad es posible obtener permisos root en el dispositivo. Es decir, tanto el usuario como un software malintencionado puede tener acceso total al sistema a través de este fallo de seguridad.

La versiones del kernel afectadas es a partir de la 3.8 y el bug lleva cuatro años con nosotros, desde 2012.

La parte buena es que el bug no es nada fácil de explotar, sobre todo en Android ya que el ataque tiene que pasar por encima de alguna capa más. Desde luego ya se está trabajando para parchear cuanto antes el problema.

Cada vez que se descubre un fallo de seguridad, es un buen síntoma de seguridad

Los fallos de seguridad más sonados en 2015

A principios del año pasado también se descubría otro fallo de seguridad en el componente Web View que ponía en riesgo todos los dispositivos que ejecutaban Android 4.4.4 Kitkat e inferior. En aquel momento la mayoría de los dispositivos todavía no habían actualizado a Lollipop y pocos nuevos dispositivos ya lo incorporaban de serie.

El bug de Web View se parcheo aunque Google se preocupó demasiado ya que sus dispositivos estaban actualizados. El problema era actualizar versiones desactualizadas y que los fabricantes se pusiesen a ello.

A mediados de año nos volvíamos a encontrar con otro fallo de seguridad que afectaba a Android. Esta vez se trataba de un problema con la librería que gestionaba el contenido multimedia. Era el famoso Stagefright. Los descubridores del agujero, la empresa de seguridad californiana Zimperium, consiguieron explotar el bug gracias a una infección mediante un mensaje multimedia (MMS), aunque nadie use ya estos mensajes antidiluvianos.

El parche corrió rápido y todos volvimos a estar seguros. Bueno más o menos, ya que también depende de que tu fabricante actualice el software de tu dispositivo. Para comprobar si todavía eres vulnerable tienes la aplicación que el propio Zimperium ha desarrollado para tal proposito.

Dónde gastar cuidado

Como usuario de a pie no podemos hacer nada para subsanar estos fallos de seguridad. Somos algo así como espectadores pasivos, pero tienes que preocuparte de tener tu software lo más actualizado posible y evitarás malos mayores.

El principal enemigo de nuestro sistema somo nosotros. Hay aplicaciones que se cuelan en Google Play y que no tienen muy buenas intenciones. Es importante confiar en los desarrolladores de las aplicaciones que usamos y mirar con recelo aplicaciones que prometen cosas raras.

En Eleven Paths, una empresa de seguridad de Telefónica, trabajan varios de los mejores hackers de España y se preocupan por nosotros. El año pasado publicaron una lista de aplicaciones chorras que tenían un tasfonfo muy oscuro, te animo a que leas su artículo.

¿Qué impresión tienes tu de sobre los fallos de seguridad? ¿Dirías que son buenos o malos? ¿Tienes más preguntas? Dispara. No tengas miedo en preguntar. Si no me llega el tiempo a contestar seguro que alguno de los secuaces de AndroidPIT sale en tu ayuda.