Androidizados

La noticia que anda rondando por todo el internet es que hay un fallo de seguridad muy grave detectado en todas las versiones de Android. Un equipo llamado BlueBox, nos ha revelado que han conseguido la llave maestra para firmar las aplicaciones de Android.

Usando este error de seguridad, cualquiera puede acceder a todo el sistema Android de nuestro dispositivo. Le explicaré de otra manera.

Primero les digo que con el dato de que todas las apps están firmadas con una llave criptográfica única. Cada desarrollador otorga a su app una llave diferente, que nunca, bajo ningún concepto, puede ser cambiada, ni siquiera cuando la app en cuestión es actualizada. Por tanto, es un identificador único, que nos garantiza que lo que te estamos instalando es, en efecto, lo que dice ser. Esto es valido tanto con las apps que podemos instalar desde Google Play como con las que vienen instaladas en nuestro dispositivo, tales como las de configuración del sistema.

Este bug de seguridad permite obtener esa llave criptográfica de cualquier app. Así, un atacante puede modificar la app con código propio, y así enviarla al usuario como una actualización normal y corriente porque el sistema Android verá que tiene la misma clave y por tanto, es válida. A partir de ahí, la app maliciosa tendrá los mismos permisos que la verdadera, y si estamos hablando de una aplicación del sistema, tendrá acceso a absolutamente todo lo que puede hacer nuestro dispositivo. Como vemos, no es un error pequeño, pero tiene sus condiciones aunque haría un daño letal.

Si solo instalamos aplicaciones desde Google Play, estamos relativamente seguros. Porque? En este caso el atacante tendría que tomar el control de la cuenta del desarrollador de esa app, algo posible pero fácilmente detectable y evitable. Por lo tanto, si queremos evitar este tipo de ataques en la medida de lo posible, solo debemos instalar aplicaciones y actualizaciones que provengan de Google Play. Además, podemos configurar nuestro dispositivo para que solo acepte apps y actualizaciones de la tienda oficial. Para ello, nos vamos a Ajustes, Seguridad, y desmarcamos la opción “Orígenes desconocidos”.

Evidentemente no es la solución definitiva, pero esta solo llegará cuando Google solucione el problema, algo que debería estar haciendo en estos mismos momentos ahora que el bug se ha hecho público. Una vez que aparezca la actualización del sistema, estaremos seguros hasta que aparezca otro error, tal es la naturaleza de la relación entre los hackers y los fabricantes.

Finalmente, este es un tipo de error de seguridad que se puede evitar siendo sensato y haciendo las cosas después de pensarlas más de dos veces. Como siempre se ha comentado, no es seguro instalar aplicaciones de fuera de Google Play, y ahora eso sigue siendo cierto, nada ha cambiado. Hasta ahora debíamos tener cuidado de paquetes de sitios sospechosos que nos prometiesen grandes mejoras, y eso sigue siendo cierto. En definitiva, sigue exactamente las mismas medidas de seguridad que ya deberías seguir, y no te pasará nada.