Operadores y fabricantes de tarjetas SIM no han perdido tiempo en encontrar culpables y mejor trabajan en una solución.

Un par de severos problemas de seguridad en millones de tarjetas SIM debería ser fácil de arreglar para los operadores, de acuerdo al investigador de seguridad alemán que encontró los problemas.

Karsten Nohl, quien trabaja en los laboratorios Security Research en Berlin, dio a conocer como parte de su investigación que, probablemente, millones de tarjetas SIM siguen utilizando una forma de cifrado anticuada (de la era de los años 70) para autenticar actualizaciones de software "a través del aire" (OTA por sus siglas en inglés). Nohl encontró que era posible lograr que algunas tarjetas SIM revelaran una llave DES de 56 bits cifrada, la cual puede ser descifrada utilizando una computadora normal. Descubrió que, enviando una actualización OTA falsa a un teléfono, algunas SIMs devolvían un código de errorque contiene la llave.

Con lo anterior, se podría enviar spyware al dispositivo para acceder a datos críticos del teléfono mediante la Java Virtual Machine de la tarjeta, una plataforma de software presente en casi todas las SIM vendidas alrededor del mundo.

En una entrevista Nohl dijo que, basándose en su muestra de mil tarjetas SIM de diversos operadores, principalmente de Europa, 500 millones de teléfonos, sin importar la marca de estos, podrían ser vulnerables.

Sin embargo, el problema del cifrado débil y de la equivocación de enviar un código de error con la llave puede ser resuelto de la misma manera en la que puede ser explotado: a través de una actualización OTA.

Las tarjetas SIM vienen en una amplia variedad de configuraciones. Los operadores envían a los fabricantes especificaciones para las tarjetas SIM que se utilizarán en su red. Muchas tarjetas SIM cuentan con configuraciones y tecnología anticuadas, como DES (Antiguo estándar de cifrado de datos), que son de hace más de diez años, dijo Nohl.

Para algunas SIMs vulnerables, puede ser posible deshabilitar el cifrado con DES y habilitar Triple DES, una forma de cifrado más segura que se usa actualmente, dijo Nohl.

Los usuarios ni siquiera sabrán que sus teléfonos fueron actualizados, ya que los operadores frecuentemente envían actualizaciones que son invisibles para las personas, utilizando códigos SMS especiales para cambiar, por ejemplo, configuraciones de roaming, comentó. Una actualización OTA también puede arreglar los teléfonos que devuelven el mensaje de error que revela información.