Investigadores de la Universidad de Columbia descubren errores de cifrado en 306 aplicaciones de Android

Un informe reciente reveló que varias aplicaciones populares de Android alojadas en Google Play Store presentaban vulnerabilidades criptográficas. Un equipo de investigadores de la Universidad de Columbia logró descubrirlas utilizando una herramienta de análisis criptográfico de reciente creación. Sin embargo, pocos desarrolladores respondieron a los correos electrónicos de los investigadores sobre el problema. 

306 aplicaciones populares que funcionaban con errores de cifrado

Utilizando la nueva herramienta CRYLOGGER, los investigadores analizaron 1780 aplicaciones de más de 30 categorías en Google Play Store, según un informe del 8 de septiembre. Las aplicaciones se analizaron según 26 criptográficas . Sin embargo, se detectaron 306 aplicaciones con errores de cifrado, ya que infringían las reglas.

las reglas número 18, 1 y 4 fueron las que presentaron más fallos. La regla 18 establecía que los desarrolladores no debían usar generadores de números pseudoaleatorios (PRNG) inseguros. La regla 1 advertía a los desarrolladores que no utilizaran ninguna función hash defectuosa, como MD2, MD5, SHA1, etc., mientras que la regla 4 indicaba que los desarrolladores no debían usar el modo de operación CBC (escenarios cliente/servidor).

El investigador opinó que los desarrolladores de aplicaciones ya deberían tener un buen conocimiento de estas reglas como criptógrafos antes incluso de empezar a desarrollar aplicaciones utilizables. 

Sólo ocho desarrolladores están en contacto

Mientras tanto, los investigadores afirmaron haber contactado a los desarrolladores de las aplicaciones con errores de cifrado. Sin embargo, las vulnerabilidades no se han corregido, por lo que se abstuvieron de publicar ladentde dichas aplicaciones para evitar su explotación. Añadieron:

Todas las aplicaciones son populares: tienen desde cientos de miles de descargas hasta más de 100 millones. […] Lamentablemente, solo 18 desarrolladores respondieron a nuestra primera solicitud por correo electrónico y solo 8 de ellos nos contactaron varias veces para brindarnos comentarios útiles sobre nuestros hallazgos