Grave fallo en la actualización de seguridad de mayo de Google
Con el inicio de un nuevo mes, Google liberó una nueva actualización de seguridad para todos sus dispositivos Nexus, modelos 2013 en adelante. Estos pequeños parches, que posteriormente son adoptados por el resto de fabricantes, forman parte del compromiso de la empresa californiana por hacer de Android un sistema operativo más seguro; corrigen, principalmente, ciertas vulnerabilidades en la protección de restablecimiento de fábrica (FPR, por sus siglas en inglés). Tal parece que este mes (de nuevo) no se ha logrado el objetivo.
RootJunky burla la última actualización de seguridad
RootJunky posee un canal de You Tube enfocado en la revisión de los aspectos más relevantes del sistema operativo del robot verde, así como de los dispositivos que lo ejecutan. En él se pueden observar vídeos de meses anteriores donde, a través de tediosos procedimientos, logra demoler la barrera del FPR.
Este mes, el trabajo fue realizado en un Nexus 6P con el firmware más reciente basado en Marshmallow . Antes de continuar, es preciso aclarar que esto se difunde únicamente con fines divulgativos y preventivos, encaminados a que el usuario conozca los riesgos que conlleva esta actualización y tome las medidas necesarias para evitar una posible pérdida de información.
Google hace gala de su ingenuidad
Como se aprecia en el vídeo de arriba, subido el 4 de mayo, el proceso inicia con la primera conexión a Internet del dispositivo, que es interrumpida para evitar la primera verificación del sistema. Después de definir un patrón de bloqueo, RootJunky selecciona una palabra dentro de la declaración de privacidad y ejecuta la opción "Compartir". En el panel de aplicaciones disponibles mantiene presionada Gmail, para acceder a sus ajustes. Desde ahí se abre paso hasta los Ajustes generales y posteriormente, al buscador.
Mediante la descarga e instalación de un archivo .apk, logra ingresar las credenciales de una cuenta distinta a la que mantenía protegida al dispositivo. Con esto, le es posible realizar una restauración de fábrica y reintentar la configuración inicial, ingresando con la nueva cuenta.
Atizando el fuego, Google ha hecho caso omiso a las advertencias de RootJunky, a pesar de haber demostrado contundentemente este fallo potencialmente peligroso. No lo consideran un error de seguridad importante. A través de la Red, pululan otras grabaciones donde se realizan procedimientos similares, que se remontan hasta finales del año pasado.
Sin duda, esta situación constituye un riesgo para los usuarios, en el caso de que pierdan sus teléfonos o tablets. No es del conocimiento de un gran número de personas... aún. No deja de ser, sin embargo, un peligro latente a la espera de ser resuelto.