Telefonos inteligentes: no tan inteligentes…
Smartphones: not that smart…
Por/By Sean Nealon[email protected]
Una debilidad que, se cree, existe en los sistemas operativos Android, Windows e iOS podría usarse para obtener información personal de los usuarios inadvertidos, según ha mostrado una investigación de la Universidad de Michigan (UM).
El equipo demostró la intrusión en un teléfono Android.
El método fue eficaz entre el 82 por ciento y el 92 por ciento de las veces en seis de las siete aplicaciones (apps) que los investigadores probaron. Entre quienes fue fácil realizar la intrusión se cuentan Gmail, Chase Bank y H&R Block.
La “piratería” es particularmente peligrosa porque permite que los atacantes elijan cuando presentan al usuario con una pantalla falsa en el momento en que el usuario espera ingresar datos delicados.
“Sabemos que el usuario está en la aplicación del banco, y cuando él o ella está a punto de ingresar inyectamos una pantalla de ingreso idéntica”, dijo Qi Alfred Chen, un estudiante de doctorado en ingeniería eléctrica y ciencias de computación en la UM. “No hay una brecha porque aprovechamos ese momento, esa oportunidad”.
Chen, quien trabaja bajo la mentoría de Zhouqing Morley Mao, profesor asociado de ingeniería eléctrica y ciencias de computación en la UM, presentó la investigación la semana pasada en el “XXIII Simposicio — — USENIX de Seguridad” realizado en San Diego, California.
Chen, Mao y el coautor Zhiyun Qian, profesor asistente en la Universidad de California, en Riverside, creen que su método funcionará con los otros sistemas operativos en los cuales las aplicaciones pueden acceder libremente a la memoria compartida del teléfono. Esta característica permite que los procesos compartan eficientemente los datos, pero también permite que los programas maliciosos (malware) rastreen el comportamiento del usuario. Aún si se bloquea ese canal, Chen cree que se pueden aprovechar otras conexiones para lograr el mismo fin.
“La presunción siempre ha sido que estas aplicaciones no pueden interferir fácilmente unas con otras”, dijo Qian, graduado recientemente con un doctorado en el grupo de Mao.
“Nosotros mostramos que la presunción está equivocada, y una aplicación puede impactar significativamente otra y el resultado son consecuencias dañinas para el usuario”.
El ataque comienza cuando un usuario descarga una aplicación aparentemente benigna que controla, por ejemplo, la portada (wallpaper) del teléfono. Cuando esa aplicación opera en el trasfondo los atacantes pueden acceder a la memoria compartida sin que tengan privilegios de acceso especiales.
Los investigadores observaron los cambios en la memoria compartida y los cambios correlacionados a lo que ellos llaman “eventos de transición de actividad”.
Estos incluyen el ingreso en un servicio o la toma de fotografía de un cheque para depositarlo por vía de internet. Con el agregado de otros pocos canales laterales el equipo pudo rastrear con precisión bastante buena la actividad del usuario en tiempo real.
Chen indicó que las imágenes de cheques presentan un riesgo particular. “Un ataque de espionaje por cámara puede robarle el número de cuenta, la dirección de su casa y aún su firma”, añadió.
Los investigadores crearon tres videos cortos que muestran cómo los ataques pueden robar la información de acceso y el número de Seguro Social de H&R Block, imágenes de cheques del banco Chase, y detalles de tarjetas de crédito de Newegg, pueden verse en la dirección virtual http://bit.ly/1ByiCd3.
De las siete aplicaciones probadas, la de Amazon fue la que dio más problemas al equipo, con una tasa de éxito del 48 por ciento de los ataques.
Éste es un accidente de la flexibilidad de la aplicación, ya que permite que una actividad transite a casi cualquier otra actividad lo cual incrementa la dificulta de adivinar qué hará el usuario a continuación.
Cuando se le preguntó qué puede hacer el usuario de un teléfono inteligente ante esta situación Quian dijo:
“No instale aplicaciones en las cuales no pueda confiar”.
Chen agregó que los usuarios también deberían ser cautelosos acerca de la información de acceso que piden las aplicaciones cuando se las instala.
Es peligroso permitir el acceso al estado de interface del usuario, que es el canal que el equipo usó para determinar el momento de sus ataques.
En cuanto al diseño del sistema operativo, es necesario que se haga en el futuro un balance más cuidadoso entre la seguridad y la funcionalidad, dijo Qian.
Por ejemplo, es necesario eliminar, o regular de manera más explícita,los canales secundarios.
ENGLISH
A weakness believed to exist in Android, Windows and iOS operating systems could be used to obtain personal information from unsuspecting users, research at the University of Michigan has shown.
The team demonstrated the hack in an Android phone.
The method was successful between 82 percent and 92 percent of the time on six of the seven popular apps they tested. Gmail, CHASE Bank and H&R Block were among those easily compromised.
The hack is particularly dangerous because it allows attackers to time the moment that they present the user with a fake screen to when the user is expecting to enter sensitive data.
«We know the user is in the banking app, and when he or she is about to log in, we inject an identical login screen,» said Qi Alfred Chen, a doctoral student in electrical engineering and computer sciences at UM. «It’s seamless because we have this timing.»
Chen, who works under Zhouqing Morley Mao, an associate professor electrical engineering and computer sciences at UM, presented the research last week at Security Symposium in San Diego.
Chen, Mao, and co-author Zhiyun Qian, an assistant professor at the University of California, Riverside, believe their method will work on other operating systems in which apps can access the phone’s shared memory freely.
This feature allows processes to share data efficiently, but it also allows malware to track user behavior.
Even if that channel was blocked, Chen believes that other connections may be exploited to achieve the same end.
«The assumption has always been that these apps can’t interfere with each other easily,» said Qian, a recent doctoral graduate from Mao’s group. «We show that assumption is not correct, and one app can in fact significantly impact another and result in harmful consequences for the user.»
The attack starts when a user downloads a seemingly benign app, controlling the phone’s wallpaper for instance.
When that app is running in the background, attackers can access the shared memory without needing any special privileges.
The researchers monitored changes in the shared memory and correlated the changes to what they call an «activity transition events.»
These included logging into a service or photographing a check so that it could be deposited online. Augmented with a few other side channels, the team could fairly accurately track user activity in real time.
Chen suggests that check images are a particular risk. «A camera-peeking attack can steal your account number, home address and even your signature,» he said.
The researchers created three short videos that show how the attacks can steal login and social security information from H&R Block, check images from CHASE Bank and credit card details from Newegg. They can be viewed here: http://bit.ly/1ByiCd3.
Of the seven apps, Amazon gave the team the most trouble, with a 48 percent attack success rate. This is an accident of the app’s flexibility – it allows one activity to transition to almost any other activity, increasing the difficulty of guessing what the user will do next.
Asked what a smart phone user can do about this situation, Qian said, «Don’t install untrusted apps.»
Chen added that users should also be wary of the information access requested by apps on installation. It is dangerous to allow access to the user interface state, which is the channel that the team used to time their attacks.
On the operating system design, a more careful tradeoff between security and functionality needs to be made in the future, Qian said.
For example, side channels need to be eliminated or more explicitly regulated.
