LUK
01-10-2010, 12:21
Uno de los mayores problemas de seguridad que tiene Android es la falta de control sobre las aplicaciones del Market.
Muchos de los programas o juegos que se disponen, incluso gratuitamente, para todos los usuarios cuando son instalados solicitan acceder a permisos especiales que a más de uno le hace levantar las cejas y preguntarse por qué un juego similar al "Snake" necesita saber nuestra posición geográfica.
Los permisos (http://developer.android.com/guide/topics/manifest/manifest-intro.html#perms) que una aplicación de Android puede utilizar se definen en en el archivo AndroidManifest.xml (http://developer.android.com/guide/topics/manifest/manifest-intro.html), con la etiqueta dentro de la raíz del archivo apk, los grupos a los que pertenecen se componen de:
Cuentas: permiso para acceder a las cuentas gestionadas por el Account Manager.
Gastar dinero: sin que el usuario tenga que interactuar (!!).
Herramientas de desarrollo: r elativos a herramientas para desarrolladores.
Acceso al hardware: facilita acceso directo al hardware del dispositivo.
Localización: con el que se conocerá la localización del usuario.
Mensajes: para enviar o interceptar mensajes del usuario.
Red: facilita conectividad con la red.
Información personal: acceso a contactos, calendario, e-mail, etcétera.
Llamadas: permiso para interceptar o modificar el estado del teléfono, llamadas salientes...
Almacenamiento: acceso a la tarjeta SD.
Herramientas del sistema: relativo al API del sistema.
Durante la instalación se le muestra al usuario que permisos necesita para su funcionamiento y si deseamos concedérselos. Si no estamos conformes, simplemente no se instalará. No pudiendo deseleccionar o cambiarlos antes de su ejecución.
Debido a este modelo de seguridad ha sido posible que ya se haya desarrollado malware como Tapsnake, un supuesto juego con la función real de enviar el geoposicionamiento de la víctima a un servidor web en Internet. En este caso en concreto presentaba el siguiente archivo de Manifiesto:
http://2.bp.blogspot.com/_LztS6-97iyY/TKUKL52zBbI/AAAAAAAAF7w/LefeYKylL2o/s400/manifesttapsnake.jpg (http://2.bp.blogspot.com/_LztS6-97iyY/TKUKL52zBbI/AAAAAAAAF7w/LefeYKylL2o/s1600/manifesttapsnake.jpg)
[/URL]
Podéis ver un análisis detallado de Tapsnake realizado por Víctor Antonio Torre para el laboratorio de Hispasec. (http://4.bp.blogspot.com/_LztS6-97iyY/TKUHxa7Lb2I/AAAAAAAAF7o/XiHP48-y48s/s1600/manifesttapsnake.png)
Para solucionar el problema hay herramientas como DroidWall (http://code.google.com/p/droidwall/) que realmente son un front-end de iptables y con las que se puede denegar o conceder acceso a la red a las aplicaciones que queramos.
http://2.bp.blogspot.com/_LztS6-97iyY/TKUKNLNuJZI/AAAAAAAAF70/0vnxibwNr74/s1600/ss-1.png (http://2.bp.blogspot.com/_LztS6-97iyY/TKUKNLNuJZI/AAAAAAAAF70/0vnxibwNr74/s1600/ss-1.png)
Otra (futura) opción, es el uso TaintDroid (http://appanalysis.org/), un firmware que actualmente se está desarrollando y que pronto se publicará opensource, convirtiendo el terminal en una sandbox y con la que rápidamente se podrá detectar que aplicaciones tratan de acceder a datos sospechosos.
¿Instalaríais un juego que pide acceso a la SD (esa donde guardas las fotos) e Internet? Pues como yo, seguro que sí: siguiente, siguiente, aceptar, sí. Jugar.
Publicado por Alejandro Ramos en [URL]http://www.securitybydefault.com/2010/10/fuga-de-datos-personales-en-android.html
Muchos de los programas o juegos que se disponen, incluso gratuitamente, para todos los usuarios cuando son instalados solicitan acceder a permisos especiales que a más de uno le hace levantar las cejas y preguntarse por qué un juego similar al "Snake" necesita saber nuestra posición geográfica.
Los permisos (http://developer.android.com/guide/topics/manifest/manifest-intro.html#perms) que una aplicación de Android puede utilizar se definen en en el archivo AndroidManifest.xml (http://developer.android.com/guide/topics/manifest/manifest-intro.html), con la etiqueta dentro de la raíz del archivo apk, los grupos a los que pertenecen se componen de:
Cuentas: permiso para acceder a las cuentas gestionadas por el Account Manager.
Gastar dinero: sin que el usuario tenga que interactuar (!!).
Herramientas de desarrollo: r elativos a herramientas para desarrolladores.
Acceso al hardware: facilita acceso directo al hardware del dispositivo.
Localización: con el que se conocerá la localización del usuario.
Mensajes: para enviar o interceptar mensajes del usuario.
Red: facilita conectividad con la red.
Información personal: acceso a contactos, calendario, e-mail, etcétera.
Llamadas: permiso para interceptar o modificar el estado del teléfono, llamadas salientes...
Almacenamiento: acceso a la tarjeta SD.
Herramientas del sistema: relativo al API del sistema.
Durante la instalación se le muestra al usuario que permisos necesita para su funcionamiento y si deseamos concedérselos. Si no estamos conformes, simplemente no se instalará. No pudiendo deseleccionar o cambiarlos antes de su ejecución.
Debido a este modelo de seguridad ha sido posible que ya se haya desarrollado malware como Tapsnake, un supuesto juego con la función real de enviar el geoposicionamiento de la víctima a un servidor web en Internet. En este caso en concreto presentaba el siguiente archivo de Manifiesto:
http://2.bp.blogspot.com/_LztS6-97iyY/TKUKL52zBbI/AAAAAAAAF7w/LefeYKylL2o/s400/manifesttapsnake.jpg (http://2.bp.blogspot.com/_LztS6-97iyY/TKUKL52zBbI/AAAAAAAAF7w/LefeYKylL2o/s1600/manifesttapsnake.jpg)
[/URL]
Podéis ver un análisis detallado de Tapsnake realizado por Víctor Antonio Torre para el laboratorio de Hispasec. (http://4.bp.blogspot.com/_LztS6-97iyY/TKUHxa7Lb2I/AAAAAAAAF7o/XiHP48-y48s/s1600/manifesttapsnake.png)
Para solucionar el problema hay herramientas como DroidWall (http://code.google.com/p/droidwall/) que realmente son un front-end de iptables y con las que se puede denegar o conceder acceso a la red a las aplicaciones que queramos.
http://2.bp.blogspot.com/_LztS6-97iyY/TKUKNLNuJZI/AAAAAAAAF70/0vnxibwNr74/s1600/ss-1.png (http://2.bp.blogspot.com/_LztS6-97iyY/TKUKNLNuJZI/AAAAAAAAF70/0vnxibwNr74/s1600/ss-1.png)
Otra (futura) opción, es el uso TaintDroid (http://appanalysis.org/), un firmware que actualmente se está desarrollando y que pronto se publicará opensource, convirtiendo el terminal en una sandbox y con la que rápidamente se podrá detectar que aplicaciones tratan de acceder a datos sospechosos.
¿Instalaríais un juego que pide acceso a la SD (esa donde guardas las fotos) e Internet? Pues como yo, seguro que sí: siguiente, siguiente, aceptar, sí. Jugar.
Publicado por Alejandro Ramos en [URL]http://www.securitybydefault.com/2010/10/fuga-de-datos-personales-en-android.html