Pesquisadores da Universidade Columbia descobrem falhas de criptografia em 306 aplicativos Android

Um relatório recente mostrou que vários aplicativos populares para Android hospedados na Google Play Store estavam apresentando falhas de criptografia. Uma equipe de pesquisadores da Universidade de Columbia conseguiu descobri-las usando uma ferramenta de análise criptográfica recém-desenvolvida. No entanto, apenas alguns desenvolvedores responderam aos e-mails dos pesquisadores sobre o assunto. 

306 aplicativos populares operavam com falhas de criptografia

Utilizando a nova ferramenta chamada CRYLOGGER, os pesquisadores analisaram 1.780 aplicativos de mais de 30 categorias na Google Play Store, de acordo com uma reportagem de 8 de setembro. Os aplicativos foram verificados com base em 26 regras básicas de criptografia . No entanto, 306 aplicativos apresentaram falhas de criptografia, pois violaram as regras.

as regras nº 18, nº 1 e nº 4 foram as mais violadas. A regra nº 18 afirmava que os desenvolvedores não deveriam usar geradores de números pseudoaleatórios (PRNG) inseguros. A regra nº 1 também alertava os desenvolvedores para não usarem funções hash inseguras, como MD2, MD5, SHA1 e outras, enquanto a regra nº 4 determinava que os desenvolvedores não deveriam usar o modo de operação CBC (cenários cliente/servidor).

O pesquisador opinou que os desenvolvedores de aplicativos já deveriam ter um bom conhecimento dessas regras como criptógrafos antes mesmo de começarem a desenvolver aplicativos utilizáveis. 

Apenas oito desenvolvedores estão em contato

Entretanto, os pesquisadores afirmaram ter entrado em contato com os desenvolvedores dos aplicativos com falhas criptográficas. Contudo, as vulnerabilidades não foram corrigidas, motivo pelo qual os pesquisadores optaram por não divulgar a identidadedentaplicativos para evitar que sejam exploradas. Eles acrescentaram:

“Todos os aplicativos são populares: eles têm de centenas de milhares a mais de 100 milhões de downloads. […] Infelizmente, apenas 18 desenvolvedores responderam ao nosso primeiro e-mail de solicitação e somente 8 deles entraram em contato conosco várias vezes, fornecendo feedback útil sobre nossas descobertas.”