El 2016 no ha sido un buen año para la seguridad móvil, los problemas dentro de los sistemas operativos se han extendido y no se les ha dado la atención necesaria.
Cuando Apple tiene que apurarse para desarrollar un parche que necesitan todos los usuarios de iOS debido a una vulnerabilidad que no solo fue descubierta, sino explotada masivamente, significa que hemos alcanzado un momento potencialmente crítico para el actual ambiente de la seguridad móvil.
Alguna vez considerados como invencibles por muchos consumidores, en la actualidad los iPhones parecen ser mucho más vulnerables. Pero independientemente del sistema operativo (Android o iOS), la próxima vulnerabilidad masiva con nombre aterrador (StageFright, Trident, Quadrooter, por solo nombrar algunos) está muy cerca. Las preguntas sin respuesta son ¿hemos alcanzado el punto sin retorno con los sistemas operativos móviles? ¿Seguiremos viendo vulnerabilidades similares acercarse sigilosamente en iOS y Android continuamente?
Seguros, pero no garantizados
Aunque los titulares de los diarios podrían sonar pesimistas, la realidad es que los sistemas operativos móviles son todavía más seguros que los de escritorio. Cuando ambos se analizan de forma objetiva, es claro que los dispositivos móviles siguen representando un camino mucho más difícil para un atacante y es menos posible que estos sean vulnerados, en comparación con una PC o laptop.
La realidad de que los sistemas operativos móviles son más seguros que los sistemas operativos de escritorio no ocurrió por accidente, las empresas han implementado estrategias para garantizar que sus sistemas sean menos vulnerables a los ataques. Una estrategia de ese tipo es el aislamiento de procesos (sandboxing), que tiene como objetivo eliminar el impacto de las vulnerabilidades en las aplicaciones, asegurándose de que estén funcionando en un entorno contenido y no puedan tener acceso a las áreas críticas del dispositivo. Lo anterior significa que incluso si una aplicación tiene una vulnerabilidad, no se podrá utilizar para atacar a todo el dispositivo.
Asimismo, también se implementaron la firma de código de las aplicaciones y el hardening de superficie para ofrecer una mayor protección. Por un lado, la firma de código ayudará a verificar que la fuente y el autor de la aplicación sean legítimos, esto actúa como una firma digital que permite a los usuarios saber exactamente quién desarrolló la aplicación y si se puede confiar en ella. Por el otro, el hardening de superficie es una medida de defensa que proporcionan las herramientas del desarrollador y los sistemas operativos para proteger en contra de los ataques con corrupción de memoria.
Incluso poniendo un mayor énfasis en asegurar que los sistemas operativos móviles son más seguros que los de escritorio, estos no son infalibles y siguen siendo un objetivo atractivo para atacantes sofisticados y bien financiados, ya que ofrecen el mejor ambiente posible para ocultar una carga maliciosa o puerta trasera.
Las capas de invisibilidad (y no estamos hablando cosas mágicas)
Por cuestiones de diseño, empresas como Apple han mantenido sus sistemas bastante bien protegidos y no han permitido el acceso a las empresas de seguridad ni a los investigadores para analizar los lenguajes de nivel bajo de sus sistemas operativos móviles. Aunque esta decisión diseño puede ser algo comprensible, significa que los investigadores no pueden observar más profundamente los sistemas o cualquier problema que podría estar acechando en ese punto. Por lo anterior, una vez que se haya penetrado en Android e iOS, existe la perfecta capa de invisibilidad para que las cargas maliciosas puedan operar a niveles privilegiados, algo que quedó demostrado con las vulnerabilidades de iOS que se hicieron públicas en agosto pasado y permitieron que se instalara spyware y malware en los iPhones con un solo clic. La vulnerabilidad, que fue atacada por el NSO Group, abriría el teléfono de la víctima a una vigilancia total.
¿Si se permite mayor acceso se garantizaría que las vulnerabilidades salieran a la luz? Probablemente no, pero una investigación más profunda traería beneficios a la infraestructura de los sistemas operativos y a la capa del núcleo. Específicamente, ayudaría a los investigadores a detectar anomalías en los procesos ocultos para implementar un encubrimiento de los canales en contra de los ataques maliciosos en un dispositivo.
Un paso en la dirección correcta
Aunque es posible que el acceso no cambie en un futuro próximo, hay esperanzas debido a que cada vez hay más cooperación entre los fabricantes de hardware, las empresas telefónicas móviles y las empresas de seguridad. Esto permite una mejor detección de intrusiones en los sistemas operativos móviles. Una de las soluciones futuras, Qualcomm Snapdragon Smart Protect, lleva la detección un paso más adelante que las aplicaciones anti-malware porque realiza la detección basada en comportamiento. Instalado a nivel de procesador el Qualcomm Snapdragon Smart Protect, en teoría, sería capaz de detectar distintos comportamientos o irregularidades dentro de un dispositivo, con lo que se encendería la alarma de que se descubrió una nueva vulnerabilidad (ataque de día cero).
Si se implementa de una manera más amplia, Qualcomm Snapdragon Smart Protect podría operar de forma parecida a un sistema de detección de intrusos basado en host de grado empresarial para identificar de una mejor manera los ataques a móviles, entre los que se encuentran las nuevas variantes de ransomware móvil. Identificaría conductas sospechosas, como una aplicación desconocida que accede a la memoria del dispositivo y reescribe datos, y lo consideraría como una amenaza, detectándola y protegiendo al dispositivo en contra dicha amenaza.
De la misma manera, una mayor cooperación entre las empresas de seguridad y las empresas telefónicas tendría un mayor impacto en la forma en que se detectan amenazas móviles. Cuando se instala una aplicación de seguridad móvil a nivel de aplicación, esta no puede proteger mucho y se puede eliminar con facilidad. Por el contrario, la seguridad móvil instalada a nivel de la empresa telefónica es mucho más sólida y puede proporcionar al consumidor una protección mucho más integral.
De vuelta a la realidad
Debido a que los sistemas de seguridad a nivel núcleo como Snapdragon Smart Protect todavía se encuentran en fase de desarrollo, la cooperación entre las empresas telefónicas y las empresas de seguridad sigue siendo esporádica a nivel mundial y a los investigadores no se les permite el acceso a los sistemas operativos móviles, los ataques exitosos seguirán sin ser detectados, posiblemente durante muchos años. Al final, los sistemas homogéneos, como OS de Apple, siempre serán frágiles en este sentido. Sin la capacidad de integrar a la diversidad en el sistema de los móviles, las empresas no pueden garantizar la seguridad a largo plazo.
Los atacantes patrocinados o cuasi patrocinados por el estado están muy conscientes de esta debilidad y podemos estar seguros de que están trabajando para derrotar a iOS and Android. El cerrado ecosistema móvil asegura que el poder de permanencia de cualquier ataque exitoso ofrecerá el mejor rendimiento de la inversión.
Por Sinan Eren, Vicepresidente de Gestión de Producto, Avast Mobile Enterprise
