Se descubrió que algunos oem de Android mentían sobre parches de seguridad [actualización]

Actualización, 13 de abril: Google ha dado la siguiente declaración al Verge:

Nos gustaría agradecer a Karsten Nohl y Jakob Kell por sus continuos esfuerzos para reforzar la seguridad del ecosistema de Android. Estamos trabajando con ellos para mejorar sus mecanismos de detección para tener en cuenta las situaciones en las que un dispositivo utiliza una actualización de seguridad alternativa en lugar de la actualización de seguridad sugerida por Google. Las actualizaciones de seguridad son una de las muchas capas que se utilizan para proteger a los dispositivos y usuarios de Android. Las protecciones de plataforma incorporadas, como el sandboxing de aplicaciones y los servicios de seguridad, como Google Play Protect, son igual de importantes. Estas capas de seguridad, combinadas con la tremenda diversidad del ecosistema de Android, contribuyen a las conclusiones de los investigadores de que la explotación remota de dispositivos Android sigue siendo un desafío.

Los parches perdidos ciertamente hacen que su teléfono sea más vulnerable en comparación con los que están actualizados, pero aun así, eso no significa que esté completamente desprotegido. Los parches mensuales definitivamente ayudan, pero existen medidas generales para garantizar que todos los teléfonos Android tengan algún nivel de seguridad mejorada.

Una vez al mes, Google actualiza el Boletín de seguridad de Android y lanza nuevos parches mensuales para corregir vulnerabilidades y errores tan pronto como aparecen. No es ningún secreto que muchos fabricantes de equipos originales tardan en actualizar su hardware con dichos parches, pero ahora se ha descubierto que algunos de ellos afirman haber actualizado sus teléfonos cuando, de hecho, nada ha cambiado en absoluto.

Esta revelación fue hecha por Karsten Nohl y Jakob Lell de Security Research Labs, y sus hallazgos fueron presentados recientemente en la conferencia de seguridad Hack in the Box de este año en Amsterdam. Nohl y Lell examinaron el software de 1200 teléfonos Android de Google, Samsung, OnePlus, ZTE y otros, y al hacerlo, descubrieron que algunas de estas compañías cambian la apariencia del parche de seguridad al actualizar sus teléfonos sin instalarlos realmente.

El Galaxy J3 de Samsung de 2016 afirmó tener 12 parches que simplemente no estaban instalados en el teléfono.

Se espera que algunos de los parches perdidos se realicen por accidente, pero Nohl y Lell encontraron ciertos teléfonos donde las cosas simplemente no cuadraban. Por ejemplo, mientras que el Galaxy J5 de Samsung de 2016 enumeró con precisión los parches que tenía, el J3 del mismo año parecía tener todos los parches desde 2017 a pesar de faltar 12 de ellos.

La investigación también reveló que el tipo de procesador utilizado en un teléfono puede tener un impacto en si se actualiza o no con un parche de seguridad. Se encontró que los dispositivos con chips Exynos de Samsung tenían muy pocos parches omitidos, mientras que aquellos con MediaTek promediaron con 9.7 parches faltantes.

Después de pasar por todos los teléfonos en sus pruebas, Nohl y Lell crearon un cuadro en el que se detallaban cuántos parches se perdieron los fabricantes de equipos originales, pero aún así afirmaron haberse instalado. Empresas como Sony y Samsung solo fallaron entre 0 y 1, pero se descubrió que TCL y ZTE se saltaban 4 o más.

• 0-1 parches perdidos (Google, Sony, Samsung, Wiko)
• 1-3 parches perdidos (Xiaomi, OnePlus, Nokia)
• 3-4 parches perdidos (HTC, Huawei, LG, Motorola)
• 4+ parches perdidos (TCL, ZTE)

Poco después de que se anunciaran estos hallazgos, Google dijo que lanzaría investigaciones sobre cada uno de los OEM culpables para averiguar qué está sucediendo exactamente y por qué se miente a los usuarios sobre qué parches tienen y cuáles no.

Incluso con eso dicho, ¿cuál es tu opinión sobre esto? ¿Le sorprenden las noticias y esto tendrá un impacto en los teléfonos que compre en el futuro? Apague el sonido abajo en los comentarios.

¿Por qué sigo usando un BlackBerry KEYone en la primavera de 2018?