// valide si su Android esta vulnerable a la explotación de los “Master Keys”

No es la primera vez que Android recibe una terrible noticia sobre alguna debilidad en su seguridad. Entre códigos maliciosos (malware) o puertas abiertas que permiten acceso a data sensitiva, Android ha sido escrudiñado por los expertos en seguridad desde sus inicios. Sin embargo, la última noticia sobre como este maneja los “Master Keys” ha generado mucho ruido. ¿Qué es esta debilidad y como identificarlo? Les explicaremos a continuación.

Este agujero en la seguridad de Android es bastante dramático ya que afecta a equipos desde la versión de Android 1.6, ¡equivalente al 99% de los equipos hoy día en el mercado! En resumen, esta debilidad permite aprovecharse de como Android valida la autenticidad de las aplicaciones. Android valida la aplicación (utilizando algo llamado el “Master Key”) para investigar si el app no fue modificado por un tercero y garantizar que la versión que usted instala proviene del desarrollador original. Vean el “Master Key” como un certificado de autenticidad. Sin embargo la compañía de seguridad Bluebox descubrió una forma de como evadir esta validación, permitiendo a hackers modificar una aplicación e inyectarle código malicioso.

Por suerte compañías como Samsung, HTC y Sony ya habían tomado acción al respecto, evitando que dicha acción pueda ser hecha por un hacker en sus modelos. ¿Pero qué pasa si usted tiene otro equipo Android? ¿O quizás instaóo un ROM modificado? La misma compañía que hizo el descubrimiento, Bluebox, ha publicado una herramienta el cual verifica su Android ante la posibilidad de tener esta debilidad en la seguridad.

Bluebox Security Scanner es una pequeña aplicación gratuita para Android la cual verifica posibles vulnerabilidades de seguridad basado en el estudio hecho por Bluebox. Primero estudia si el equipo fue atendido (con un “patch”) para atender el tema de los “Master Keys”. Luego hace dos consultas adicionales: verifica si usted habilito la opción de instalar aplicaciones fuera del Play Store y más interesante aun, verifica si ya usted tiene código malicioso. Cualquier debilidad se lo marca claramente en rojo. Solo hay una limitación, la aplicación no puede validar aplicaciones dentro del directorio  /mnt/asec/ ya que el acceso está restringido por Android.

image

Pueden conseguir Bluebox Security Scanner en el Play Store o desde este enlace.

¡Comparte tu opinion!