Los científicos informáticos de Columbia Engineering han demostrado por primera vez que es posible analizar cómo miles de aplicaciones de Android utilizan la criptografía. ¿Cómo? Sin necesidad de tener los códigos reales de las aplicaciones. La nueva herramienta del equipo, Crylogger, puede saber cuándo una aplicación de Android utiliza la criptografía de forma incorrecta. Esta detecta los llamados «usos incorrectos de criptografía» en las aplicaciones de Android.
Cuando se le proporciona una lista de reglas que se deben seguir para la criptografía segura (pautas desarrolladas por criptógrafos expertos y organizaciones como NIST e IETF que definen estándares de seguridad para proteger datos confidenciales), Crylogger detecta violaciones de estas reglas.
Las aplicaciones de Android utilizan algoritmos criptográficos para proteger los datos de los usuarios. ¿Cómo cuáles? Como números de tarjetas de crédito, contraseñas, números de seguridad social, etc. Si se usa correctamente, la criptografía protege los datos confidenciales haciéndolos ininteligibles. Cada algoritmo criptográfico es apropiado para un escenario específico y requiere la configuración de parámetros específicos.
Los desarrolladores de aplicaciones y bibliotecas, sin embargo, pueden hacer un mal uso de las interfaces de programación de aplicaciones (API) de dichos algoritmos utilizando claves constantes, contraseñas débiles o configurando incorrectamente otros parámetros específicos.
«Elegir el algoritmo correcto y configurar sus parámetros es fundamental para mantener seguros los datos de los usuarios. Sin embargo, requiere una comprensión de la criptografía», dice el autor principal del estudio, Luca Piccolboni, estudiante de doctorado asesorado por Luca Carloni, profesor de informática. «Las elecciones incorrectas de los algoritmos y/o las configuraciones incorrectas de sus parámetros pueden resultar en violaciones de datos».
Cómo funciona Crylogger
Crylogger es la primera herramienta que detecta abusos criptográficos ejecutando la aplicación en lugar de analizar su código. Este nuevo enfoque se describe en un artículo que se presentará del 23 al 27 de mayo en el Simposio de Seguridad y Privacidad de IEEE 2021. Además de Piccolboni y Carloni, el artículo es de Giuseppe Di Guglielmo, científico investigador asociado en el departamento de informática y Simha Sethumadhavan, profesora asociada de informática y experta en ciberseguridad.
- Ejecuta la aplicación con una biblioteca criptográfica instrumentada.
- Recopila un registro que contiene los parámetros de las llamadas a la API de cifrado.
- Verifica las reglas de cifrado e informa todas las violaciones.
Ventajas de Crylogger
Puede analizar aplicaciones de código cerrado y no necesita modificar el código de la aplicación o su binario. Analiza los parámetros reales utilizados por las aplicaciones en lugar de realizar un análisis en su código fuente y se centra solo en el código que realmente se ejecuta. Puede realizar análisis entre aplicaciones. También puede detectar cuando dos aplicaciones se comunican de forma no segura o cuando los datos se comparten entre varias aplicaciones cuando no debería.
Los investigadores ejecutaron 1.780 aplicaciones populares de Android descargadas de la tienda oficial de Google Play (el estudio de caso más grande sobre usos criptográficos no basados en análisis de código). Descubrieron que casi todas las aplicaciones contenían código o utilizaban bibliotecas que no cumplían estrictamente los estándares de seguridad. Muchos de ellos utilizaron algoritmos rotos y otros adoptaron prácticas criptográficas inseguras para proteger los datos de los usuarios