Nueva vulnerabilidad en Android expone los datos de los usuarios
Utilizar un dispositivo Android en una red WiFi no segura puede exponer la información del Calendario, Contactos y otros datos.
Los usuarios de Android que ejecutan aplicaciones sobre redes WiFi no seguras corren el riesgo de ser espiados y la información de los Contactos, Calendario,correo electrónico y otras aplicaciones, puedan ser manipuladas. Así lo asegura una investigación llevada a cabo por la University of Ulm.La vulnerabilidad afecta a todos los que ejecuten Android 2.3.3 a anteriores, es decir al 99,7% de los dispositivos que utilizan el sistema operativo de Google.
En general la vulnerabilidad puede afectar a las aplicaciones que acceden a los servicios de Google, como Calendario o Contactos, a través del protocolo de autenticación ClientLogin, explican los investigadores. Al utilizar ClientLogin una aplicación solicita un token de autenticación al servicio asociado de Google que puede utilizarse durante dos semanas. El problema se produce porque si dicho token se utiliza en una con una conexión no segura, puede grabarse y utilizarse durante todo ese periodo para conseguir los datos de los usuarios disponibles a través del servicio.
Pero además de ser capaz de ver los datos de los usuarios, un hacker podría utilizar el token para alterarlos, cambiando direcciones de correo, el calendario, etc.
Los investigadores han realizado pruebas con los servicios de Calendario, Contactos o Galería, y han descubierto que son vulnerables en dispositivos que ejecuten Android 2.3.3 o anteriores. La diferencia es que en Adroid 2.3.4 y posteriores Calendario y Contactos utilizan conexiones HTTP seguras, aunque Galería, que se sincroniza con Picasa o álbumes online no lo hace.
Los investigadores han ofrecido algunas sugerencias para solucionar la vulnerabilidad como que los desarrolladores de aplicaciones y servicios que utilicen ClientLogin cambien a HTTPS, o que opten por servicios de autenticación más seguros, como oAuth. Además, los usuarios de Android deberían actualizar su sistema operativo a la versión 2.3.4, aunque no estará disponible de forma inmediata para todos los terminales. En todo caso la mejor protección por el momento es evitar las redes WiFi abiertas.