Los lectores biométricos han prometido ser, a la vez, una manera fácil de simplificar el manejo de protocolos de seguridad (por ejemplo eliminando la necesidad de passwords) y una manera segura de proteger el contenido de los usuarios finales.
No en vano los principales flagships (un flagship es el dispositivo estrella) de los fabricantes de teléfonos móviles han venido adoptando este tipo de lectores e incorporando su uso con aplicaciones y servicios propios de terceros y hemos pasado de menos de 50Millones de dispositivos con estos lectores en 2013 a cerca de 400Millones este año.
Sin embargo, parece que su implementación en los dispositivos Android no es tan segura como se creía y un par de investigadores de seguridad han publicado un paper y una presentación en las que se evidencia que algunos de los modelos más populares de teléfonos Android son susceptibles a una de cuatro alternativas por medio de las cuales la información biométrica queda en riesgo de ser robada, especialmente si como aseguran los grandes amantes de Android (asegurar y que sea cierto son 2 cosas diferentes) los dispositivos están rooteados.
Tao Wei and Yulong Zhang, de FireEye, aseguran que la vulnerabilidad de Android – esta es diferente a las otras 2 que se han conocido en las semanas anteriores – daría pie a un “robo masivo de huellas dactilares” y con ellas la suplantación completa de millones de identidades.
A diferencia de lo que ocurre si alguien le roba un password, cuando a usted le roben su huella dactilar no la podrá cambiar y su seguridad estará comprometida para siempre.
La vulnerabilidad permite 4 tipos diferentes de ataques:
- Un “Ataque de Autenticación Confusa“, que no es otra cosa que una aplicación maliciosa que simula una pantalla de autenticación (piense en la pantalla de bloqueo de su smartphone que le pide su huella para acceder al mismo) y que al ser activada roba su huella dactilar.
- El “Almacenamiento Inseguro de Datos Biométricos“, que corresponde a la falta de control por parte de algunos OEMs al momento de diseñar e implementar sus soluciones biométricas y que conlleva a que los archivos asociados a la imagen de huella dactilar y sus atributos terminen siendo almacenados en sitios no seguros y accesibles a cualquiera que sepa qué tipo de información buscar.
- Un “Ataque Espía al Sensor Biométrico“. Posiblemente la más preocupante de las alternativas pues, teniendo en cuenta que el sistema operativo (de Google) y los sistemas actuales de identificación biométrica (de cada OEM) no vienen integrados de manera nativa, varios de ls fabricantes están utilizando una metodología que permitiría la instalación de un malware entre la Base de Datos de huellas dactilares y el sensor biométrico y recolectar – de manera sigilosa y sin el conocimiento del usuario – todas aquellas lecturas que se hagan de las huellas aprobadas en el dispositivo.
- Y, por último, una que sería más complicada: el “Cargue Previo de Huellas Digitales” en un dispositivo. Piense en este escenario, especialmente si usted es de los que compra teléfonos en la calle o en sitios de dudosa procedencia. Por medio de la vulnerabilidad el delincuente (ese mismo que recibió el smartphone robado que le está vendiendo) carga en el mismo un set de huellas las cuales quedan embebidas en el sistema. Una vez usted haya configurado su dispositivo para que pueda usar su huella como método de autenticación – por ejemplo cuando vaya a pagar algo o cuando se vaya a loguear en su cuenta de banco – el ciberdelincuente puede utilizar las huellas ya cargadas para acceder a dichos servicios desde su terminal sin que usted se de cuenta. El sistema reconocerá su dispositivo y una huella autorizada en el mismo y dará acceso automáticamente.
Dentro de los dispositivos que han sido evaluados y en los que se encontró la vulnerabilidad están el HTC One Max y Samsung Galaxy S5, pero Wei y Zhang aseguran que más que un tema de dispositivos específicos, esta vulnerabilidad es generalizada por los modelos de implementación de las soluciones sobre Android por parte de los OEMs.
