Buenas noticias: El enorme problema de seguridad de Android está disminuyendo

Fuente: Wired

PRIMERO, LA BUENA NOTICIA: La mitad de todos los dispositivos Android han recibido actualizaciones de seguridad recientes, corrigiendo huecos explotables que dejan a los usuarios vulnerables al cibercrimen y el espionaje. ¿Las malas noticias? La otra mitad no lo ha hecho.

En un informe anual lanzado por Google sobre la seguridad de los 1,400 millones de dispositivos Android, la compañía promociona el estado cada vez mejor de la seguridad de Android. Menos malware en su tienda Google Play, los dispositivos están mejor encriptados y más hackers que nunca reportan huecos de Android a Google a cambio de los llamados “bug bounties” (premios por huecos). Pero Google también ha publicado por primera vez datos sólidos sobre el problema de seguridad más grave que afecta a Android: el desafío de lograr que decenas de fabricantes y cientos de compañías de telecomunicaciones de todo el mundo cooperen en parchar de forma regular los teléfonos y tabletas Android. En ese punto, la compañía sostiene que una tasa anual de parchado de 50 por ciento supera lo que ha sido en el pasado, pero aún no es ni remotamente suficiente.

“Estamos orgullosos del hecho de que la mitad de los dispositivos recibió una actualización en 2016, pero eso no es suficiente”, dice Adrian Ludwig, director de seguridad de Android de Google. “Estamos revelando el número, y creemos que es indicio de un buen avance. No significa que hayamos terminado.”

Ecosistema Inseguro

A pesar de que la mitad de los dispositivos Android sin parchar en 2016 representa un serio problema de seguridad, Ludwig dice que es sin embargo un hito; Él estima que en 2016 el doble de personas instaló un parche de Android en comparación con 2015, y sugirió que el número podría llegar al 75 por ciento en 2017, aunque no se refirió a ese incremento como una meta oficial.

Josh Drake, investigador de la firma de seguridad Zimperium, quien en el año 2015 encontró la vulnerabilidad llamada Stagefright que permitió tomar control de teléfonos Android con sólo un mensaje de texto, opina que estas estadísticas son una mezcla variada. “Si realmente se ha logrado una duplicación, eso es genial”, dice Drake. “Pero el cincuenta por ciento es un número terrible.”

Cuando se trata de actualizaciones de software para nuevas funciones y parches de seguridad, Google ha luchado durante mucho tiempo para acercarse a la alta tasa de actualización de software que registra iOS de Apple. Menos del tres por ciento de los teléfonos Android funcionan con la última versión del sistema operativo, Nougat, mientras que casi el 80 por ciento de los dispositivos iOS ejecutan la última versión de Apple, iOS 10, a pesar de que Nougat fue oficialmente lanzado tres semanas antes que iOS 10.

Si la tasa de parches de Google se ha duplicado, eso representa una mejora “increíblemente positiva”, dice Rich Smith, jefe de Investigación y Desarrollo de la empresa de autenticación móvil Duo. Pero dice que los nuevos datos de Google también ilustran cómo los dispositivos Android se han quedado rezagados en las actualizaciones de seguridad. El hecho de que la mitad de los dispositivos recibió una actualización en algún momento en 2016 no significa que han recibido una actualización recientemente, señala. “El momento exacto en que se obtiene el parche puede ser la diferencia entre estar protegido de cosas triviales o cosas realmente críticas”, dice Smith.

Smith señala el ataque a los teléfonos Android conocido como Quadrooter, revelado en el verano de 2016. Según los propios datos de Duo, las fallas de seguridad que atacan a los dispositivos explotados sólo se han reparado en alrededor del 40 por ciento de los teléfonos en los que se encuentra instalada la aplicación de autenticación de Duo, y corresponde a un grupo de usuarios de Norteamérica más orientados a negocio que la base de usuarios de Android a la que se refiere el informe de Google. “Este es un tema al que se dio mucha publicidad, y esas actualizaciones aún no se han aplicado”, dice Smith.

Nación Fragmentada

El mayor obstáculo de Android para mejorar el parchado sigue siendo la fragmentación bizantina de su sistema operativo. Sólo Samsung ofrece 13 modelos, vendidos por 200 carriers diferentes, cada uno de los cuales personaliza su sistema operativo en diferentes grados. Eso resulta en cerca de 1,500 variaciones de cada versión del software, dice el director de seguridad móvil de Samsung, Henry Lee. “Se podría pensar que basta con recibir un parche de Google para proceder a aplicarlo, pero en realidad no es tan sencillo”, dice. Alrededor del 60 por ciento de los usuarios de Samsung recibió una actualización en 2016, dice Lee, pero alrededor del 15 por ciento usan versiones antiguas y no soportadas de Android, y otro 15 por ciento simplemente ignora las actualizaciones.

Sin embargo, gracias al dominio que mantiene Samsung en el mercado, esos porcentajes resultan en grandes números. Las actualizaciones de seguridad de Samsung ahora alcanzan los 400 millones de dispositivos, repartidos entre cientos de compañías globales. Eso es un trozo considerable de los poco más de 1.4 mil millones de usuarios de Android.

La mejora en comparación con 2015 muestra que algunos de los esfuerzos de Google están funcionando. Google y varios de sus socios de fabricación, incluyendo Samsung y LG, han comenzado a emitir mensualmente actualizaciones específicas de seguridad para dispositivos Android que ejecutan versiones tan antiguas como KitKat de 2013. Ludwig de Android dice que Google ha trabajado para hacer sus actualizaciones más transparentes y de menor tamaño. Ha presionado a los carriers a tomar más en serio las correcciones, y convenció a muchos de ellos para no contar las actualizaciones de software dentro de los planes de datos del usuario. Google también desarrolló las llamadas “actualizaciones A / B” que permiten a las empresas probar un nuevo software, y revertirlo fácilmente si causa problemas de compatibilidad con cualquier software empresarial crítico.

Ludwig de Google también enfatiza que la seguridad de Android ha mejorado de otras maneras importantes. Los filtros de Play Store capturan más malware que nunca, señala, evitando que las aplicaciones maliciosas infecten los dispositivos de los usuarios. Sólo el 0.71 por ciento de los usuarios tenían algún tipo de malware en su teléfono en el cuarto trimestre de 2016, según el informe de Google. Y a pesar de que eso supera el medio por ciento de los usuarios infectados un año antes, los números eran mucho mejores cuando los usuarios sólo descargaron aplicaciones de la tienda de Play: Sólo el 0.05 por ciento de esos teléfonos fueron infectados con malware en el cuarto trimestre de 2016, una reducción en comparación con el 0.15 por ciento del año anterior (un buen recordatorio de que nunca descargue software fuera de Google Play).

A pesar de que estos números lucen optimistas, los mismos no abarcan los ataques de menor volumen dirigidos a víctimas sensibles. La reciente publicación de WikiLeaks de archivos secretos de la CIA, por ejemplo, reveló docenas de técnicas de hacking para Android con años de antigüedad sin duda usadas para espiar a un pequeño número de personas no contabilizadas en las estadísticas de Google. Google se negó a comentar si los huecos de seguridad explotados por las técnicas de hacking de la CIA han sido corregidos.

Independientemente de que Google corrija las fallas de Vault 7, o las muchas otras que se esconden en su código para teléfonos inteligentes, casi la mitad de los usuarios de Android seguirán siendo tan vulnerables como siempre.

Deja un comentario

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *