Los académicos encuentran errores de cifrado en 306 aplicaciones populares de Android, ninguna se corrige

Un equipo de académicos de la Universidad de Columbia ha desarrollado una herramienta personalizada para analizar dinámicamente las aplicaciones de Android y ver si están usando código criptográfico de manera insegura. Nombrada CRYLOGGER, la herramienta se utilizó para probar 1.780 aplicaciones de Android, que representan las aplicaciones más populares en 33 categorías diferentes de Play Store, en septiembre y octubre de 2019. Los investigadores dicen que la herramienta, que verificó 26 reglas básicas de criptografía (ver tabla a continuación), encontró errores en 306 aplicaciones de Android.
Algunas aplicaciones rompieron una regla, mientras que otras rompieron varias. Las tres reglas más infringidas fueron: Estas son reglas básicas que cualquier criptógrafo conoce muy bien, pero reglas que algunos desarrolladores de aplicaciones podrían no conocer sin haber estudiado seguridad de aplicaciones (AppSec) o criptografía avanzada antes de ingresar al espacio de desarrollo de aplicaciones. Imagen: Piccolboni et al.
Los académicos de la Universidad de Columbia dijeron que después de probar las aplicaciones, también se pusieron en contacto con todos los desarrolladores de las 306 aplicaciones de Android que se encontraron vulnerables. "Todas las aplicaciones son populares: tienen desde cientos de miles de descargas hasta más de 100 millones", dijo el equipo de investigación. "Desafortunadamente, solo 18 desarrolladores respondieron nuestro primer correo electrónico de solicitud y solo 8 de ellos nos siguieron varias veces proporcionando comentarios útiles sobre nuestros hallazgos.
" Si bien algunos errores criptográficos estaban en el código de una aplicación, algunos errores comunes también se estaban introduciendo como parte de las bibliotecas de Java utilizadas como parte de las aplicaciones. Los investigadores dicen que también se contactaron con los desarrolladores de 6 bibliotecas populares de Android, pero al igual que antes, solo recibieron respuestas de 2 de ellos. Dado que ninguno de los desarrolladores arregló sus aplicaciones y bibliotecas, los investigadores se abstuvieron de publicar los nombres de las aplicaciones y bibliotecas vulnerables, citando posibles intentos de explotación contra los usuarios de las aplicaciones.
Con todo, el equipo de investigación cree que ha creado una herramienta poderosa que los desarrolladores de Android pueden utilizar de forma fiable como una utilidad complementaria de CryptoGuard. Las dos herramientas son complementarias porque CryptoGuard es un analizador estático (analiza el código fuente antes de ejecutarse), mientras que CRYLOGGER es una herramienta de análisis dinámico (analiza el código mientras se ejecuta). Dado que los dos funcionan en diferentes niveles, los académicos creen que ambos podrían usarse para detectar el bus relacionado con la criptografía en las aplicaciones de Android antes de que el código de la aplicación llegue a los dispositivos del usuario.
Al igual que CryptoGuard, el código de CRYLOGGER también está disponible en GitHub. Los detalles adicionales sobre la investigación del equipo están disponibles en una preimpresión llamada "CRYLOGGER: Detectando el uso indebido de criptomonedas dinámicamente", que se presentará en el Simposio IEEE sobre Seguridad y Privacidad, el próximo año, en mayo de 2021. pags VER GALERÍA COMPLETA.