¿Riesgos en el software preinstalado en Android?

Fuente de la imagen: mvc archivo propio

Parte de la tarde del miércoles la pasé hojeando el artículo de Gamba, Rashed, Razaghpanah, Tapiador y Vallina-Rodriguez, An Analysis of Pre-installed Android Software, publicado por IMDEA Networks Institute, Universidad Carlos III de Madrid, Stony Brook University e ICSI[1] y que ya referencié en el Sitio Protección de Datos. Según la Agencia Española de Protección de Datos (AEPD), el estudio abarca más de 82.000 apps preinstaladas en más de 1.700 dispositivos Android fabricados por 214 marcas, teniendo entre sus objetivos identificar los agentes presentes en el software preinstalado en Android y que utilizan el acceso privilegiado a recursos del sistema para la obtención de datos personales de usuarios; revelar los acuerdos comerciales entre vendedores de dispositivos Android y terceros, incluyendo organizaciones especializadas en la monitorización y rastreo de usuarios y en proporcionar publicidad en Internet; detectar y analizar vulnerabilidades y otras prácticas opacas y analizar la transparencia en la información proporcionada al usuario.

Del estudio se desprende, por un lado, que el modelo de permisos del sistema operativo Android y de sus apps permite que un gran número de actores puedan monitorizar y obtener información personal de los usuarios a nivel del sistema operativo y, por otro, que el usuario final desconoce la presencia de estos actores en sus terminales Android y las implicaciones que dichas prácticas tienen sobre su privacidad. Además, la presencia de este software con privilegios de sistema dificulta su eliminación sin ser un usuario experto. La AEPD destaca los siguientes resultados. Aparte de los permisos estándar definidos en Android y bajo control del usuario, los investigadores han identificado más de 4.845 permisos propietarios o personalizados por los intervinientes en la fabricación de los terminales. Este tipo de permisos permite que apps publicadas en Google Play eludan el modelo de permisos de Android para acceder a datos del usuario sin requerir su consentimiento al instalar una nueva app[2]. 

Según la Agencia, gran parte de las librerías están relacionadas con servicios de publicidad y monitorización online con fines comerciales. Las apps preinstaladas se ejecutan con permisos privilegiados y sin posibilidad, en la mayoría de los casos, de ser desinstaladas del sistema. Un análisis exhaustivo del comportamiento del 50% de las apps identificadas revela que una fracción importante de las mismas presenta comportamientos potencialmente maliciosos o no deseados, como muestras de malware, troyanos genéricos o software preinstalado que facilitaría prácticas fraudulentas. En relación con la información ofrecida al iniciar un nuevo terminal, se pone de manifiesto un déficit de transparencia de las apps y del propio sistema operativo Android al mostrar al usuario una relación de permisos distinta de la real, limitando su capacidad de decisión para gestionar su información personal. Fuente de la información: AEPD. Fuente de la imagen: mvc archivo propio.

__________________

[1] si quieres acceder al documento, clickea AQUÍ,¡. Sitio visitado el 21/03/2019.

[2] En cuanto a las apps preinstaladas en los dispositivos, se han identificado más de 1.200 compañías, así como la presencia de más de 11.000 librerías de terceros (SDKs) incluidas en la mismas. 

Uso de los móviles privados en el trabajo

Fuente de la imagen: mvc archivo propio

Ayer me remitió el Registro de Expertos en Cumplimiento Normativo y Digitalización, ECN-CGE, en el que me encuentro integrado, perteneciente al Consejo General de Economistas de España, link al Instituto Nacional de Ciberseguridad, INCIBE, con unos consejos con buenas prácticas de uso del móvil en el trabajo. Por su interés, me tomo la libertad de transcribirte algunas de las reflexiones.  Según el instituto, el uso de dispositivos de propiedad privada en el ámbito corporativo, como por ejemplo, ordenadores portátiles, tablets, smartphones, etc., se ha convertido en una práctica muy habitual y extendida entre trabajadores y trabajadores, situación que implica un mayor grado de atención, tanto por parte del empleador como del empleado, ya que un uso indebido podría comprometer la seguridad e integridad de la información de la empresa y también de la personal. Hacer uso de dispositivos personales en el ámbito corporativo se conoce como BYOD por sus siglas en inglés[1]. 

El INCIBE se pregunta por el riesgo que supone el uso por parte de los colaboradores de sus dispositivos personales en el ámbito laboral. Hay que tener en cuenta que al ser personales, no tienen la configuración de seguridad que la empresa ha decidido implementar, provocando que exista una falta total de control sobre ese dispositivo. El Instituto inventaría algunos de los riesgos. Un dispositivo personal con documentos de la empresa cuando se conecta a una red externa no segura podría dar acceso a terceras personas a la información corporativa almacenada en el mismo. Instalar aplicaciones con permisos de acceso a diferentes partes del dispositivo[2] donde podría haber información sensible de la organización. Dispositivos sin medidas de seguridad, por ejemplo si no tienen contraseña, patrón o huella para acceder o si no han cifrado su contenido, podrían permitir a cualquiera que se hiciera con él acceder a todo su contenido, etc. Si la empresa decide integrar estos dispositivos en sus sistemas, debe definir una política que indique los requisitos que se tienen que cumplir a la hora de utilizar los dispositivos personales en el ámbito laboral. 

Para ello, hay que tener en cuenta, además de la concienciación, aspectos organizativos y normativos, y aspectos técnicos. Las cuestiones organizativas y normativas prioritarias para el INCIBE son: definición de normas y procedimientos en cuanto al uso de BYOD, especificando las condiciones en las que se permite su uso, cómo se accede a la información, configuración mínima de seguridad necesaria, etc. ; limitación de las instalaciones de aplicaciones, estableciendo una lista de las que no se podrá hacer uso, así como la prohibición de uso de dispositivos manipulados (jailbreak o ruteado), que permiten la instalación de aplicaciones que no provienen de repositorios oficiales; restricción en el acceso a redes desconocidas, indicando que preferentemente se conecten a través de las redes 3G o 4G. En ningún caso se permitirán conexiones a través de redes wifi abiertas y el establecimiento del proceso que hay que seguir para entregar o eliminar la información de estos dispositivos cuando el empleado abandona la organización.

Otro aspecto que el Instituto considera importante es la concienciación y formación a empleados. Hacer todo lo necesario[3] para que los empleados sean conscientes de la importancia para la empresa de la correcta protección y el uso adecuado de estos dispositivos. Establecer una política de formación sobre su uso seguro, incidiendo sobre temas de importancia transversal como la configuración de parámetros básicos de seguridad, actualizaciones tanto de sistema operativo como de aplicaciones, etc. Hacer uso de dispositivos personales en el ámbito laboral es una situación que deberá contemplarse por parte de la organización. Para esta gestión, se deberá contar con una política de seguridad a la cual tendrá que acogerse el trabajador. Este tipo de medidas serán de vital importancia para garantizar la integridad de la información que se maneje que este tipo de dispositivos. Pero el empleado también tendrá que ser consciente de los riesgos existentes y deberá estar concienciado en llevar a la práctica las medidas propuestas por la empresa (Fuente de la información: INCIBE. Fuente de la imagen: mvc archivo propio).

__________________

[1] Bring Your Own Device.

[2] Contactos, fotos, archivos...

[3] Cursos, charlas…

¿Notificaciones por SMS?

Fuente de la imagen: pixabay

Algunos profesionales, no sólo a veces escuchan campanas y no saben dónde, sino que amedrentan al personal con informaciones sesgadas, parciales o erróneas, confundiendo a diestro y siniestro. Lo sé. De todo hay en “la viña del Señor”, pero esos individuos deberían ponerlos a “comer aparte”, para que no ensucien con sus extremidades el buen hacer del resto de asesores y expertos que intentan trabajar decentemente. Agradezco que me permitas el desahogo anterior, que viene al caso porque ayer me comentaba un directivo, todo preocupado, porque su asesor le había informado acerca de la imperiosa necesidad de facilitar a la Agencia Tributaria Española su número de teléfono móvil, puesto que desde julio las notificaciones tributarias se comunican por este medio. Intenté tranquilizarlo, trasladándole la realidad actual, sin dejar al susodicho por los suelos, aduciendo que igual alguna de las partes había interpretado inadecuadamente la cuestión.

Cuando pude acceder a la Red de Redes, tecleé la web de la flamante consultoría, ubicada en la nueva milla de oro de oficinas de Málaga (España) y efectivamente, en el blog aparece sin lugar a ninguna duda lo expresado por mi interlocutor. Y supongo que esos asesores se quedan tan panchos. En fin. Así nos va. El caso es que hace unos meses, con motivo de su décimo cumpleaños, la Agencia Tributaria española anunció que entre las novedades que había puesto en marcha este año se encontraba el envío de mensajes SMS para comunicar a los contribuyentes, que así lo hubieran solicitado, que su devolución de Renta ya había sido emitida, y para el próximo año se les avisaría igualmente por SMS del envío del borrador de Renta. Todos esos mensajes también pueden verse a través de Internet, en el apartado de consultas con el certificado de firma electrónica. En la misma línea,” voluntariamente” puedes dejar en la web de la Agencia Tributaria tus datos de móvil o corree electrónico, por si quieres que te avisen por sms o email.

Finalmente, cuidado con todos estos temas, porque la propia Hacienda española, avisa de la existencia de mensajes de texto (SMS) no enviados por la Agencia Tributaria. Por ejemplo, se ha detectado el envío a los contribuyentes de sms por parte de empresas de atención e información telefónica, que redireccionan las llamadas hacia la Agencia Tributaria y las cobran en función de su tarificación, para solicitar servicios como la solicitud del borrador de Renta y su confirmación. La Agencia Tributaria recuerda en su página web que los teléfonos de información tributaria básica y otros servicios telefónicos son los que aparecen en su portal de Internet (www.agenciatributaria.es) y a los que puede acceder desde el siguiente enlace: Información Tributaria Básica 901 33 55 33 y otros servicios telefónicos[1]. Así que en España todavía no es obligatoria la comunicación del número de móvil para que te notifiquen a través de sms (Fuente de la imagen: pixabay y elaboración propia).

_____________________

[1] Sitio visitado y operativo el 27/10/2016.

Entorno atractivo para ciberatacantes

Fuente de la imagen: pixabay

Si eres follower de este sitio, sabes que desde 2013 utilizo wasap (ver post “Wasapeando un poco”[1]). Sí, a mediados de ese año, sucumbí a la aplicación y enterré casi definitivamente los sms y eso que por aquellos tiempos se oían rumores de que había comenzado el declive de la app. Pues bien, aunque procuro utilizar este medio de comunicación de manera ordenada y “racional”, hay momentos que me desmadro. Ayer fue uno de esos días. Siempre hay una razón o justificación, aunque no sea suficiente. En este caso porque en varios grupos en los que estoy integrado, se estaba tratando el mismo tema, así que no daba abasto. Cuando me di cuenta, me había tirado cerca de una hora wasapeando. El teléfono echaba humo y mi cabeza también. 

En fin. Vía facua me entero que el Centro Nacional de Inteligencia (CNI) alerta de los múltiples problemas de seguridad que acarrea la utilización de WhatsApp[2], porque considera que el proceso de registro y verificación constituye una de las principales debilidades de la aplicación, calificando de inseguro el borrado de conversaciones. En un informe elaborado por el CCN[3], adscrito al CNI, se alerta de los riesgos de utilizar WhatsApp, como la debilidad del proceso de registro en la aplicación, el borrado inseguro de conversaciones o la posibilidad de que se produzcan robos de cuentas. El estudio aborda los principales riesgos de uso del aplicativo que, debido a su gran aceptación, se hace muy atractivo para los hackers. Fuente de la imagen: pixabay.

____________________

[1] Velasco Carretero, Manuel. Wasapeando un poco. 2013. Sitio visitado el 08/10/2016.

[2] Si quieres acceder a la noticia, clickea AQUÍ. Sitio visitado el 08/10/2016.

[3] Centro Criptológico Nacional.

Web responsive

Fuente de la imagen: mvc archivo propio

Hace unas semanas leía en varios medios que a partir de mediados de abril de este año #Google penalizará las #páginasweb que no se encuentren adaptadas a #dispositivosmóviles (Por ejemplo: hechosdehoy: “Si su web no es responsive, Google le penalizará a partir del 21 de abril”[1]). Con el avance de la #tecnología, no me gusta este planteamiento del gigante de internet, de penalizar en las posiciones de búsqueda, a no ser que ese secreto algoritmo que posibilita las primeras posiciones no sea del todo “democrático”. Con independencia de lo anterior, lo cierto es que el mundo de los móviles no nos pilla sorpresivamente y desde hace tiempo, está llamando a la puerta del presente mercadotécnico. 

Así, desde finales del siglo pasado, se intuía la importancia de los m-negocios. A principios de este siglo, hojeaba lo que M. Robinson y R. Kalakota apuntaban en su texto “M-Business: The Race to Mobility”[2] que traducido[3] es algo así como “M-Negocios: La carrera hacia la movilidad”, sobre la importancia de la tecnología móvil en la actividad empresarial. Ya por aquellas fechas, Robinson y Kalakota reflexionaban acerca del progreso de lo inalámbrico, el bombazo de los M-Business y su repercusión en la subestructura de los emprendimientos cotidianos, así como el avance de la infraestructura móvil y sus economías de escala (Fuente de la imagen: sxc.hu). Fuente de la imagen: mvc archivo propio.

____________________

[1] Si su web no es responsive, Google le penalizará a partir del 21 de abril. Sito hechosdehoy. 2015. Sitio vistado el l16/03/2022.

[2] Robinson, Marcia; Kalakota, Ravi. M-Business: The Race to Mobility. Ed. McGraw-Hill. 2001.

[3] Con mi inglés de los Montes de Málaga.

Y nos recetan dieta

Fuente de la imagen: rvs

Ayer, mientras veía el viral de Amaral titulado "Ratonera" (y nos recetan dieta), que si aún no lo has visualizado y quieres verlo, clickea AQUÍ[1], todavía no sé por qué me acordé, casi a la vez, de dos trabajos que había hojeado tiempo atrás. El primero, más reciente, es un ensayo, de rabiosa actualidad, de D. Miguel de Unamuno, publicado en 1894 bajo el título “Sobre el marasmo actual de España”, transcrito en el artículo de Pérez Reverté (y nos receta dieta) “Unamuneando”, editado en XLSemanal[2]. 

No tiene desperdicio. Transcribo un párrafo, al azar: “Es cada día mayor la ignorancia. Sobre esta miseria espiritual se extiende el pólipo político. En una politiquilla al menudeo suplanta la ingeniosidad al saber sólido. La pequeñez de la política extiende su virus por todas las demás expansiones del alma nacional. Los viejos partidos, amojamados en su ordenancismo de corteza, se arrastran desecados. Sudan los más populares por organizar almas hueras de ideas, hacer formas donde no hay substancia, cohesionar átomos incoherentes. Y nos recetan dieta.”

Ahora que lo pienso, tal vez por el tema de los virales y la dependencia cada vez más intensa y preocupante hacia todo lo que sucede virtualmente (y nos recetan dieta), el segundo texto que rememoré fue una investigación publicada hace unos meses en TIME, “Your Wireless Life: Results of TIME's Mobility Poll”[3], a la que llegué vía INC “You Need a Digital Detox (Trust Me)”[4], que tampoco tiene desperdicio y que, por resaltar, traduzco con mi inglés de los Montes de Málaga el hecho que con solamente mirar un smartphone limitamos la interacción con terceros, impidiendo la proliferación de relaciones conurbanas y honestas, al tiempo que los pocos contactos que persisten se vuelven condicionales e intolerantes. 

Según Nancy Gibbs, asoma un nuevo hábito “caminar smartphone”, es decir, ese lánguido vagabundeo por la calle, disipado en la plática telefónica sin prestar atención al camino que nuestro cuerpo transita. Termina el articulista criticando la multitarea, tan en boca de algunos gurús de los recursos humanos de mi ámbito territorial de actuación (y nos recetan dieta), sobre la que ya se escribió en este sitio hace unos días (Primero lo primero)[5], en el sentido que menoscaba la concentración mental así como la reflexión creativa (Fuente de la imagen: post "Como los cangrejos"[6]).

______________________

[1] Sitio visitado el 08/04/2014.

[2] Pérez Reverté, Arturo. Unamuneando. XL Semanal. 2014. Sitio visitado el 08/04/2014.

[3] Time. Your Wireless Life: Results of TIME's Mobility Poll. Sitio visitado el 08/04/2014.

[4] Bzur Aun. You Need a Digital Detox (Trust Me). INC. Sitio visitado el 08/04/2014.

[5] Velasco Carretero, Manuel. Primero lo primero. 2014. Sitio visitado el 08/04/2014.

[6] Velasco Carretero, Manuel. Como los cangrejos. 2014. Sitio visitado el 08/04/2014.

Singularidad del progreso

Fuente de la imagen: rvs archivo propio

El contacto Miguel es un forofo de la tecnología que aparece continuamente. No ha terminado de disfrutar el nuevo modelo de teléfono o de portátil cuando ya está pensando en la próxima innovación que que se ha publicado en la última feria tecnológica. Le pregunto qué adquisiciones le son realmente útiles y cuáles no aprovecha. La contestación va en la línea de magnificar lo positivo de esa nueva tecnología y minimizar lo negativo. No me satisface la respuesta. 

Hace unos años, R. Meyer[1] estudió las derivaciones del progreso de la tecnología incorporada a los productos[2]. Junto a otros profesores concibió la “singularidad del progreso”. Cuando la gente considera adquirir un producto mejorado tecnológicamente, al igual que Miguel, pone en valor lo más atractivo de ese utensilio a la hora de comprarlo. Pero una vez adquirido y constatado lo complejo de su uso, acaba utilizando sólo las opciones más básicas[3]. Fuente de la imagen: mvc.

_________________

[1] De Wharton.

[2] Desde la década de los ochenta del siglo pasado. Ver artículo en Knowledge Wharton.

[3] Foto de imagenes-gratis.net