La privacidad del sistema operativo Android bajo la lupa

Hace poco se dio a conocer la noticia de que un grupo de investigadores de la Universidad de Edimburgo publicaron el resultado de un análisis realizado en los teléfonos inteligentes de las marcas Realme, Xiaomi y OnePlus suministrados a los mercados chino y mundial y en el cual detectaron que estos tenían algo en particular, «fugas de datos personales».

Se ha descubierto que todos los dispositivos con firmware a la venta en China envían información adicional a los servidores de recopilación de telemetría, como el número de teléfono del usuario, estadísticas de uso de la aplicación, así como datos de ubicación, IMSI (Número de suscriptor individual), ICCID (Número de serie de la tarjeta SIM ) y los puntos de acceso inalámbrico circundantes. Además, se ha informado que los dispositivos Realme y OnePlus transmiten el historial de llamadas y SMS.

China es actualmente el país con el mayor número de usuarios de teléfonos inteligentes con Android. Usamos una combinación de técnicas de análisis de código estática y dinámica para estudiar los datos transmitidos por las aplicaciones del sistema preinstaladas en los teléfonos inteligentes Android de tres de los vendedores más populares en China.

Encontramos que un número alarmante de las aplicaciones de proveedores y de terceros, del sistema preinstalado, tienen privilegios peligrosos.

Cabe mencionar que en el firmware para el mercado global, dicha actividad no se observa con algunas excepciones, por ejemplo, los dispositivos Realme envían MCC (código de país) y MNC (código de red móvil), y los dispositivos Xiaomi Redmi envían datos sobre Wi-Fi conectado, IMSI y estadísticas de uso.

Independientemente del tipo de firmware, todos los dispositivos envían un identificador IMEI, una lista de aplicaciones instaladas, la versión del sistema operativo y los parámetros de hardware. Los datos se envían mediante aplicaciones del sistema instaladas por el fabricante sin el consentimiento del usuario, sin notificación de envío e independientemente de la configuración de privacidad y la telemetría de envío.

A través del análisis de tráfico, encontramos que muchos de estos paquetes pueden transmitir a muchos dominios de terceros, información confidencial de privacidad, relacionados con el dispositivo del usuario (identificadores persistentes), geolocalización (GPS
coordenadas, identificadores relacionados con la red), perfil de usuario (número de teléfono, uso de la aplicación) y relaciones sociales (por ejemplo, historial de llamadas), sin consentimiento o incluso notificación.

Esto plantea una grave desanonimización y seguimiento, ademas de riesgos que se extienden fuera de China cuando el usuario se va
del país, y pide una aplicación más rigurosa de la legislación de privacidad de datos adoptada recientemente.

En un teléfono Redmi, los datos se envían al host tracking.miui.com cuando se abren y usan las aplicaciones preinstaladas del fabricante, como Configuración, Notas, Grabadora, Teléfono, Mensajes y Cámara, independientemente del consentimiento del usuario, para enviar datos de diagnóstico durante la configuración inicial. En los dispositivos Realme y OnePlus, los datos se envían a los hosts log.avlyun.com, aps.oversea.amap.com, aps.testing.amap.com o aps.amap.com.

El servidor de tunelización recibe conexiones del teléfono y las reenvía a los destinos previstos, se menciona que los investigadores implementaron un proxy intermediario para poder interceptar y descifrar el trafico HTTP/HTTPS.

Para aislar completamente las solicitudes iniciadas por un teléfono de Huawei en la Mensajería en la nube que sirve para monitorear la máquina virtual alojada (VM), se creo un túnel llamado que ejecuta el servidor proxy de tunelización. También ejecutaron mitmproxy 8.0.0 con permisos de superusuario en el puerto 8080 en la VM y se configuro iptables para redirijir cualquier conexión TCP del túnel a locahost:8080.

De esta manera, mitmproxy se comunica con el teléfono en nombre de las solicitudes de los puntos finales del servidor e inicia nuevas solicitudes a los puntos finales del servidor de destino haciéndose pasar por el teléfono, lo que permite que mitmproxy intercepte cada solicitud

De los problemas identificados, también se destaca la inclusión en la entrega de aplicaciones adicionales de terceros, a las que se les otorgan permisos extendidos por defecto. En total, en comparación con el código base de Android AOSP, cada firmware considerado viene con más de 30 aplicaciones de terceros preinstaladas por el fabricante.

Finalmente si estás interesado en poder conocer más al respecto, puedes consultar los detalles en el siguiente enlace.