El 2016 no ha sido un buen año para la seguridad móvil, los problemas dentro de los sistemas operativos se han extendido y no se les ha dado la atención necesaria. Cuando Apple tiene que apurarse para desarrollar un parche que necesitan todos los usuarios de iOS debido a una vulnerabilidad que no solo fue descubierta, sino explotada masivamente, significa que hemos alcanzado un momento potencialmente crítico para el actual ambiente de la seguridad móvil.

Alguna vez considerados como invencibles por muchos consumidores, en la actualidad los iPhones parecen ser mucho más vulnerables. Pero independientemente del sistema operativo (Android o iOS), la próxima vulnerabilidad masiva con nombre aterrador (StageFright, Trident, Quadrooter, por solo nombrar algunos) está muy cerca. Las preguntas sin respuesta son ¿hemos alcanzado el punto sin retorno con los sistemas operativos móviles? ¿Seguiremos viendo vulnerabilidades similares acercarse sigilosamente en iOS y Android continuamente?

Seguros, pero no garantizados

Aunque los titulares de los diarios podrían sonar pesimistas, la realidad es que los sistemas operativos móviles son todavía más seguros que los de escritorio. Cuando ambos se analizan de forma objetiva, es claro que los dispositivos móviles siguen representando un camino mucho más difícil para un atacante y es menos posible que estos sean vulnerados, en comparación con una PC o laptop.

La realidad de que los sistemas operativos móviles son más seguros que los sistemas operativos de escritorio no ocurrió por accidente, las empresas han implementado estrategias para garantizar que sus sistemas sean menos vulnerables a los ataques. Una estrategia de ese tipo es el aislamiento de procesos (sandboxing), que tiene como objetivo eliminar el impacto de las vulnerabilidades en las aplicaciones, asegurándose de que estén funcionando en un entorno contenido y no puedan tener acceso a las áreas críticas del dispositivo. Lo anterior significa que incluso si una aplicación tiene una vulnerabilidad, no se podrá utilizar para atacar a todo el dispositivo.

Asimismo, también se implementaron la firma de código de las aplicaciones y el hardening de superficie para ofrecer una mayor protección. Por un lado, la firma de código ayudará a verificar que la fuente y el autor de la aplicación sean legítimos, esto actúa como una firma digital que permite a los usuarios saber exactamente quién desarrolló la aplicación y si se puede confiar en ella. Por el otro, el hardening de superficie es una medida de defensa que proporcionan las herramientas del desarrollador y los sistemas operativos para proteger en contra de los ataques con corrupción de memoria.

Incluso poniendo un mayor énfasis en asegurar que los sistemas operativos móviles son más seguros que los de escritorio, estos no son infalibles y siguen siendo un objetivo atractivo para atacantes sofisticados y bien financiados, ya que ofrecen el mejor ambiente posible para ocultar una carga maliciosa o puerta trasera.

Las capas de invisibilidad (y no estamos hablando cosas mágicas)

Por cuestiones de diseño, empresas como Apple han mantenido sus sistemas bastante bien protegidos y no han permitido el acceso a las empresas de seguridad ni a los investigadores para analizar los lenguajes de nivel bajo de sus sistemas operativos móviles. Aunque esta decisión diseño puede ser algo comprensible, significa que los investigadores no pueden observar más profundamente los sistemas o cualquier problema que podría estar acechando en ese punto. Por lo anterior, una vez que se haya penetrado en Android e iOS, existe la perfecta capa de invisibilidad para que las cargas maliciosas puedan operar a niveles privilegiados, algo que quedó demostrado con las vulnerabilidades de iOS que se hicieron públicas en agosto pasado y permitieron que se instalara spyware y malware en los iPhones con un solo clic. La vulnerabilidad, que fue atacada por el NSO Group, abriría el teléfono de la víctima a una vigilancia total.

¿Si se permite mayor acceso se garantizaría que las vulnerabilidades salieran a la luz? Probablemente no, pero una investigación más profunda traería beneficios a la infraestructura de los sistemas operativos y a la capa del núcleo. Específicamente, ayudaría a los investigadores a detectar anomalías en los procesos ocultos para implementar un encubrimiento de los canales en contra de los ataques maliciosos en un dispositivo.

De vuelta a la realidad

Debido a que los sistemas de seguridad a nivel núcleo como Snapdragon Smart Protect todavía se encuentran en fase de desarrollo, la cooperación entre las empresas telefónicas y las empresas de seguridad sigue siendo esporádica a nivel mundial y a los investigadores no se les permite el acceso a los sistemas operativos móviles, los ataques exitosos seguirán sin ser detectados, posiblemente durante muchos años. Al final, los sistemas homogéneos, como OS de Apple, siempre serán frágiles en este sentido. Sin la capacidad de integrar a la diversidad en el sistema de los móviles, las empresas no pueden garantizar la seguridad a largo plazo.

Los atacantes patrocinados o cuasi patrocinados por el estado están muy conscientes de esta debilidad y podemos estar seguros de que están trabajando para derrotar a iOS and Android. El cerrado ecosistema móvil asegura que el poder de permanencia de cualquier ataque exitoso ofrecerá el mejor rendimiento de la inversión.

Por Avast