Un equipo de investigadores descubrió una falla en el sistema operativo para móviles de Google, afecta a los dispositivos que utilizan alguna versión de Andorid entre la 2.1 y la 4.4

La vulnerabilidad, identificada por Bluebox Labs y nombrada Fake ID (identificador falso), permite rechazar el proceso de verificación de aplicaciones en Android. Cada app tiene un identificador criptográfico único usado para determinar quién puede actualizar la app y qué permisos obtiene. El identificador es parte del sistema de seguridad basado en una cadena de certificados.

Básicamente, el sistema funciona mediante "certificados padres" y "certificados hijos" los cuales son verificados entre sí después de la instalación de la aplicación para asegurar que ambos certificados corresponden, esto indica que la aplicación es de confianza. El certificado padre, que usualmente es entregado por el desarrollador de la app, es utilizado para validar que el certificado hijo es de confianza, este proceso forma parte de la cadena de certificados.

A pesar del nivel de seguridad que ofrece este mecanismo, según la investigación de Bluebox Labs, Android no realiza suficientes verificaciones en esos certificados. De hecho, una identidad podría estipular que fue emitida por un tercero cuando realmente no lo fue.

El resultado es que cualquier aplicación puede tener un certificado que parece ser emitido por una fuente confiable, Bluebox Labs lo demostró usando certificados de Adobe Systems para abusar de los privilegios que tiene la aplicación original. De hecho, los certificados de Adobe Systems conceden a sus aplicaciones los privilegios necesarios para cargar código HTML en otras aplicaciones, lo que fácilmente podría ser utilizado para ejecutar código malicioso. El certificado para las Comunicaciones de Campo Cercano de Android (NFC, por sus siglas en inglés) podría ser utilizado de la misma manera para obtener acceso al monedero virtual Google Wallet.

Bluebox Labs asegura que esta vulnerabilidad ha estado presente en Android desde la versión 2.1 del sistema operativo hasta la versión 4.4, lo que significa que el 82% de los dispositivos con Android son vulnerables. Google ha lanzado un parche para corregir esta falla aunque podría pasar cierto tiempo antes de que la solución llegue a los dispositivos de los usuarios.