Vulnerabilidades en apps móviles y el mal uso de HTTP

Paulatinamente, las empresas de software comprenden la importancia de incluir mecanismos de seguridad en sus creaciones. No obstante, dada la falta de personal especializado o debido al desconocimiento de los riesgos a los que pueden estar exponiendo a sus sistemas y usuarios, muchas veces esos controles quedan excluidos del proceso de diseño.
Este escenario hace trastabillar la seguridad no solo de usuarios hogareños, sino también de compañías, indicando que el malware no es la única problemática en lo que a protección digital refiere.
A lo largo de este artículo repasaremos los escenarios problemáticos y te daremos 6 consejos prácticos para evitarlos.

Un universo de vulnerabilidades

APPS SEGURAS PODRÍAN VOLVERSE VULNERABLES SI NO SE REALIZAN CONTROLES DE SEGURIDAD PERIÓDICOS
Cuando hablamos de programación en Android, existen muchas vulnerabilidades que frecuentemente terminan afectando a las aplicaciones publicadas. De hecho, Gartner nos advierte que el 75% de las apps móviles no pasaría pruebas básicas de seguridad. Además, predice que, para este año, el foco en las brechas rotará hacia las tabletas y teléfonos móviles.
Aún más, investigaciones probaron cómo aplicaciones vulnerables podían permitir fácilmente la explotación de los dispositivos IoT que controlaban, y cómo a medida que dejan de ser mantenidas podrían convertirse en una puerta abierta para cibercriminales gracias a librerías de publicidad obsoletas. Esto refuerza la idea de que incluso apps seguras podrían volverse vulnerables con el pasar del tiempo si no se realizan controles de seguridad de manera periódica.
En su manual de pentesting para apps móviles, OWASP presenta una serie de categorías de vulnerabilidades usuales que los programadores debiesen tener en cuenta al momento de asegurar los datos de sus usuarios. El top 10 de vulnerabilidades móviles en 2016 nos dibuja el panorama de la inseguridad móvil a la que usuarios y programadores se enfrentan.
Dentro del top 3 en el ranking de vulnerabilidades móviles podemos ver el uso de comunicaciones inseguras para transmitir archivos críticos, es decir, la manera en que desarrolladores utilizan protocolos no seguros como HTTP.

Transmisiones inseguras con HTTP

Los procesos de verificación de actualizaciones y descarga de componentes nunca debiesen realizarse mediante tráfico no seguro, ya que podrían tener consecuencias catastróficas para la seguridad del usuario.
DEBIESE UTILIZARSE UN MECANISMO PARA ASEGURAR QUE EL ARCHIVO DESCARGADO NO FUE ALTERADO
De hacerlo, como mínimo debiese utilizarse un mecanismo que permita chequear la integridad del archivo que se ha descargado para asegurar que el contenido no ha sido alterado y que proviene de una entidad confiable. Por desgracia, pocos programadores tienen esto en mente al momento de publicar software.
En los últimos años, hemos podido observar este peligroso comportamiento reiteradas veces a través de diferentes sistemas operativos y aplicaciones. En lo que a entornos móviles refiere, podemos recordar la vulnerabilidad de iOS expuesta por Raul Siles (@raulsiles) de DinoSec en 2014, durante su charla iOS: Back to the Future. Allí demostró cómo se interfería el proceso de descarga de las actualizaciones debido a que se realizaba vía HTTP.
Al año siguiente, este mismo investigador presentó una vulnerabilidad similar pero para Android. En Android: Back to the Future (Too? Or Two?), Siles nos cuenta cómo es posible congelar las actualizaciones de un equipo también en este sistema operativo.
Ese mismo año en Black Hat Londres, Ryan Welton (@fuzion24) demostró cómo era posible vulnerar Vungle, una librería de anuncios que –entre otras aplicaciones– era utilizada por My Talking Tom, con más de 100.000.000 de usuarios. Combinando la mala utilización de HTTP, la falta de controles de integridad, la vulnerabilidad de directory traversal en archivos ZIP y la utilización de APK con múltiples DEX, Welton mostró cómo era posible ejecutar código de manera remota.
Durante la misma conferencia, también demostró cómo otra aplicación con permisos elevados hacía un mal uso de archivos ZIP descargados mediante HTTP: la vulnerabilidad de SwiftKey presente en dispositivos Samsung Galaxy, que permitía abrir una shell con privilegios y ganar control remoto del sistema, exponiendo a más de 600 millones de usuarios de Samsung.
Finalmente, cabe mencionar el caso de AirDroid: una aplicación capaz que controlar de manera remota equipos móviles que utilizaba HTTP para chequear la existencia de actualizaciones y descargar sus plugins. Aunque los desarrolladores intentaron cifrar las comunicaciones, olvidaron el pequeño detalle de nunca hardcodear las claves de cifrado en la aplicación. Así, cualquiera que lograse hacer un ataque MITM podría forzar a la aplicación a instalar malware.

¿Qué es importante que recuerdes?

Antes de terminar este artículo, vale resumir rápidamente lo que debiese haberte quedado claro:
  1. Las vulnerabilidades causan grandes estragos a los usuarios, pudiendo exponer datos verdaderamente sensibles. Invertir en servicios de pentesting móvil es algo que todas las compañías de software debiesen realizar antes de publicar aplicaciones con huecos de seguridad.
  2. Nunca utilices HTTP para descargar archivos críticos ni negociar procesos de actualizaciones.
  3. Utiliza HTTPS y certificate pinning siempre que sea posible.
  4. Valida la integridad de los archivos que descarga tu aplicación.
  5. Ten mucho cuidado con cómo negocias y guardas las claves de cifrado.
  6. Si descargas archivos ZIP, chequea que los nombres de los archivos que estás extrayendo no incluyan cadenas como “../” –claro que con el chequeo de integridad debiese ser suficiente, pero como dice el refrán, “más vale prevenir que curar”–. 
Fuente: WeLiveSecurity

Comentarios

Publicar un comentario

Entradas populares de este blog

Presuntos narcotraficantes liberados por un ransomware

Imagen
Los fiscales estadounidenses se vieron obligados a dejar caer 11 casos de narcotráfico contra seis presuntos delincuentes, después de que se perdieron archivos de casos cruciales en una infección de ransomware en un departamento de policía de Florida. Es al menos séptimo incidente conocido de este tipo: investigaciones policiales se ven afectadas por una infección de ransomware que elimina la evidencia de las fuerzas del orden. La evidencia en los 11 casos no se pudo recuperar después de un ataque de ransomware que golpeó al departamento de policía de Stuart en abril de 2019. Si bien la policía de Stuart recuperó algunos datos de las copias de seguridad, algunos archivos no se pudieron recuperar. Los archivos perdidos incluyeron evidencia en fotos y videos , dijo el sargento detective Mike Gerwan del Departamento de Policía de Stuart a WPTV en una entrevista la semana pasada. Gerwan dijo que los casos retirados incluyen cargos por posesión de metanfetamina, posesión de
Leer más

Metasploit y Windows 10: Creando un payload indetectable (Evadiendo software antivirus)

Imagen
Anteriormente escribimos un artículo donde mostramos la manera de acceder a un sistema operativo Windows 10 usando metasploit de manera local o remotamente, puedes leer el artículo aquí:  Accediendo remotamente a Windows 10 con Metasploit . Hoy les vamos a mostrar cómo ofuscar el código malicioso para que sea indetectable a los antivirus. Los entusiastas de seguridad siempre buscan exploits de día cero que pueden eludir con éxito las características de seguridad de sistemas cómo Windows 10. Se han llevado a cabo numerosas investigaciones para crear malware indetectable y proyectos completos de GitHub dedicados a automatizar la creación de payloads indetectables como WinPayloads , Veil v3 y TheFatRat . Todo lo que se explicará en esta guía se hace con fines explícitamente educativos y bajo un laboratorio propiedad de Security Hack Labs , los usos que se le puedan dar a este tutorial depende del usuario y es absolutamente responsabilidad del él los daños que
Leer más

Diferencias entre mapa de calor, mapa de riesgos y matriz de riesgos

Imagen
4.5 / 5 ( 6 votos ) El mapa de riesgos, el mapa de calor y la matriz de riesgos son herramientas útiles en Risk Management. Si bien, en ocasiones los profesionales en Risk Management confunden estos conceptos y lo tratan como si fueran una única herramienta. En este artículo vamos a aclarar las principales diferencias y similitudes entre mapa de calor y matriz de riesgos, así como con mapa de riesgos. ¿Qué son los mapas de riesgos? Un mapa de riesgos es una tabla de 2×2, normalmente una tabla cruzada, que se organiza en columnas. En la primera se colocan los posibles eventos que pueden aportar incertidumbre al objetivo de la empresa u organización. Y, en las siguientes columnas, se colocarán las probabilidades, consecuencias o variables que puedan explicar dichos eventos. Por lo tanto, esta tabla viene a considerarse un mapa de riesgos.
Leer más