Publicitado como “el smartphone más seguro del mercado” la noticia de su rooteo en la conferencia hacker Black Hat (Defcon) ha dado la vuelta al mundo y su tratamiento por algunos medios poco especializados relacionándolo con una supuesta “falta de seguridad” del terminal, puede haber causado confusión entre el gran público.
Para aclarar lo sucedido, hemos recibido de los responsables del Blackphone una serie de matizaciones donde explican lo que a su juicio es la realidad de las vulnerabilidades detectadas por TeamAndIRC y que resumen la opinión de la compañía en sendas entradas en su blog. Con gusto las publicamos:
Problema #1: En los días finales de la producción de Blackphone, se encontró un error con el ADB que hace que Blackphone entre en un bucle al activarse la encriptación completa del dispositivo. Para no empeorar la experiencia de usuario se decidió desconectar el menú para desarrolladores. Desconectar el ADB nunca fue una medida de seguridad o para mantener la privacidad, sino una solución rápida para aprovechar la ventana de producción. Estamos trabajando para solucionar este pequeño bug, pero poder activar ADB (como en cualqueir otro terminal Android) no compromete la seguridad del usuario.
Problema #2: TeamAndIRC descubrió en la versión 1.0.1 PrivatOS que un archivo de sistema responsable de la eliminación remota estaba en modo debug. Si una aplicación maliciosa fuera a ser instalada en el Blackphone, entonces le permitiría contar con más privilegios. Como mencionamos anteriormente, esto fue descubierto la semana pasada y estaba solucionado en la actualización 1.0.2 lanzada el 1 de Agosto (el parche fue lanzado una semana anntes de hacerse pública la vulnerabilidad). Debido a la falta de conectividad en Def Con, el investigador no actualizó su Blackphone y tenía una versión obsoleta.
Problema #3: TeamAndIRC aún no ha discutido con nosotros esta vulnerabilidad. Creemos que esta vulnerabilidad no nos afecta sólo a nosotros sino también a otros OEMs, pero en cualquier caso según ha explicado TeamAndIRC no es preocupante ya que resultaría muy difícil de exlotar en una situación real ya que requiere un escenario de consentimiento del usuario. Nuestro objetivo es que cuando una vulnerabilidad se haga pública seamos los primeros en implementar una solución.
Además, para cualquiera de estas vulnerabilidades, el usuario final debe tener acceso físico al dispositivo. Por otra parte, TeamAndIRC explicó que estas vulnerabilidades no son explotables a través de un drive-by-download u otras actividades remotas, sino que requieren intervención del usuario y una intencionalidad. De todas formas, para Blackphone es importante resolver esta vulnerabilidad.
Por otra parte “hackear, crackear o rootear” son términos que deben ser contextualizados ya que, en muchos casos, implican descubrimientos que aunque deben resultar en la corrección de la vulnerabilidad encontrada, realmente son inocuos en escenarios reales y no comportan una violación de la seguridad del dispositivo.
Además de las explicaciones sobre el suceso, Blackphone recuerda que tiene en marcha un Blackphone/d15c1a9540df (PDF) programa oficial para investigadores de seguridad donde se explica su política de transparencia.
Fuente: muyseguridad
