Jesús Maturana
ColaboradorInvestigadores de seguridad de Cyber Security Labs de la Universidad Ben Gurion han comprobado cómo se puede interceptar los datos entre un usuario que trabaja con Android 4.3 y hace uso de conexiones VPN sin cifrado.
Según comentan, hacen uso de una aplicación maliciosa que sirve de elemento de captura y redirección del a información que viaja a través de la VPN a modo de ataque man-in-the-middle.
Obviamente es un problema de seguridad, pero no es algo que muchos usuarios utilicen a diario. De hecho, si alguien se conecta a algún tipo de VPN, en la mayoría de casos está cifrada la conexión vía SSL/TLS. Si la conexión VPN no está cifrada, los datos capturados están completamente expuestos, si la conexión está cifrada el atacante sólo obtendría los datos cifrados.
En palabras de los investigadores:
"Esta vulnerabilidad permite a aplicaciones maliciosas saltarse la configuración VPN (no se requieren permisos root) y redirigir la comunicación privada a una dirección de red distinta"
Este hallazgo parte de un bug que ya detectaron en la aplicación Knox de Samsung que también sufría de este problema permitiendo que un usuario malintencionado pueda interceptar comunicaciones de datos salientes.
Según ZDNet, tanto Samsung como Google han negado que sea un problemade seguridad en Android aunque sí que han admitido que el ataque de los investigadores usó funciones legítimas de Android de forma no prevista.
Más información | CyberSecuruty Labs en BGU. Vía | ZDnet.
Ver 9 comentarios
9 comentarios
exitido
No me digas...
Esto ya se sabía y son vulnerables los de android, los de iphone y los de cualquier cosa, yo también he probado a capturar datos y he sacado info de muchísimas cosas, incluso datos del facebook, hace poco lo he vuelto a intentar y del facebook ya no saco nada, supongo que se ha actualizado o algo.
De todas formas solamente lo hacía para probar que tipo de seguridad se tienen en las redes abiertas, no me pongo a leer nada de los demás ya que no me interesa.
Spino
Llámame lerdo... pero no entiendo un par de cosas...
Saben estos tipos lo que la "P" de VPN significa? ..."private"... y sin cifrado, desde cuándo es "private". Llamar VPN a una conexión entre dos máquinas no "privada" es llamar VPN a cualquier conexión TCP... vamos, una burradilla y tal.
Por otro lado, para crear un man-in-the-middle el usuario se tiene que conectar al servidor equivocado, por lo que no sólo es un error de protocolo... sino también el usuario.
Y ya la fiesta total es la frase de Google "[...]han negado que sea un problemade seguridad en Android aunque sí que han admitido que el ataque de los investigadores usó funciones legítimas de Android de forma no prevista." ...vamos, que no es un problema de seguridad que una app utilice funciones del sistema de forma descontrolada y, para más INRI, teniendo efectos no esperados la ejecución de las funciones... vamos, que el que hizo el test de seguridad de dichas funciones se ha cubierto de gloria.
Sólo a modo de nota, el SSL NO es la única manera de securizar tráfico TCP/IP... véase IPSec... y no es el único.