Almacenamiento y comunicaciones inseguros

Dos de las vulnerabilidades móviles más comunes son el almacenamiento de datos inseguro y las comunicaciones inseguras. Ambas aparecen en las 10 principales vulnerabilidades móviles de OWASP.

Las dos se deben a que los desarrolladores confían demasiado en el dispositivo y protegen los datos de forma deficiente.

Las aplicaciones almacenan datos en /data/data/<package>/:

• SharedPreferences: archivos XML de clave-valor.
• Bases de datos SQLite.
• Archivos internos y externos.

Los pentesters inspeccionan cada ubicación en busca de secretos almacenados en texto plano.

Un fallo frecuente consiste en almacenar contraseñas, tokens o PII en texto plano en SharedPreferences o en una base de datos.

En un dispositivo con root, mediante una copia de seguridad o con Objection, un atacante puede leerlos directamente. Los datos confidenciales deben cifrarse o conservarse en hardware seguro.

Los datos escritos en el almacenamiento externo (el área de la tarjeta SD) podían ser leídos por cualquiera en versiones antiguas de Android, y cualquier aplicación con permiso de almacenamiento puede acceder a ellos.

Guardar allí archivos confidenciales los expone a otras aplicaciones. Los registros escritos en disco constituyen una filtración relacionada.

Entre las opciones seguras se incluyen Android Keystore (las claves se almacenan en hardware y nunca se exponen a la aplicación) y EncryptedSharedPreferences.

Keystore puede realizar operaciones criptográficas sin revelar la clave, lo que es mucho más seguro que incluir una clave codificada de forma fija en el código.

Las comunicaciones inseguras se producen cuando los datos viajan sin la protección adecuada. El peor caso es el HTTP en texto plano, en el que cualquiera conectado a la red puede leer o modificar el tráfico.

Todo el tráfico confidencial debe utilizar HTTPS/TLS.

Para inspeccionar el tráfico, dirija el dispositivo a través de un proxy de interceptación como Burp Suite. Debe instalar el certificado de CA de Burp en el dispositivo para poder leer el tráfico HTTPS.

Esto revela los endpoints de la API, los parámetros y cualquier dato confidencial transmitido.

Las aplicaciones bien desarrolladas utilizan la fijación de certificados para rechazar cualquier certificado que no sea el suyo, lo que neutraliza un proxy básico.

Como ha aprendido, la omisión de la fijación SSL mediante Frida desactiva esta protección para que aún pueda interceptar y evaluar la seguridad real de la API.

Incluso con HTTPS, pueden existir fallos como confiar en todos los certificados, aceptar certificados caducados o desactivar la verificación del nombre de host, prácticas que a menudo se incorporan para facilitar el desarrollo.

Esto permite que un atacante realice un ataque de intermediario aunque TLS esté presente.

Otras dos filtraciones:

• android:allowBackup="true" permite que cualquiera con acceso al dispositivo extraiga los datos de la aplicación mediante adb backup.
• La salida detallada de logcat puede mostrar tokens o PII.

Ambas opciones deben desactivarse o depurarse en producción.

Dos filtraciones que a menudo se pasan por alto son copiar datos confidenciales al portapapeles (que otras aplicaciones podían leer en versiones antiguas de Android) y la captura de pantalla del sistema que se toma cuando una aplicación pasa a segundo plano.

Las aplicaciones bancarias mitigan este riesgo con el indicador de ventana FLAG_SECURE, que bloquea las capturas de pantalla y la vista previa del selector de tareas.

Recuerde cuál es el lugar más seguro para guardar claves criptográficas en Android.

Ahora comprende el almacenamiento y las comunicaciones inseguras:

• Las aplicaciones filtran secretos en texto plano en SharedPreferences, bases de datos, almacenamiento externo y registros.
• Guarde los secretos en Android Keystore o EncryptedSharedPreferences.
• Las comunicaciones inseguras van desde el HTTP en texto plano hasta una validación TLS débil; intercéptelas con Burp.
• Omita la fijación de certificados con Frida, desactive allowBackup y depure los registros.

Ha completado el curso de pruebas de penetración de aplicaciones móviles.