Un cazarrecompensas de insectos llamado David Schütz acaba de publicar un un reporte detallado describiendo cómo cruzó espadas con Google durante varios meses sobre lo que consideraba un peligroso agujero de seguridad de Android.

Según Schütz, se topó con un error de omisión total de la pantalla de bloqueo de Android por accidente en junio de 2022, en condiciones de la vida real que fácilmente podrían haberle sucedido a cualquiera.

En otras palabras, era razonable suponer que otras personas podrían descubrir la falla sin buscar deliberadamente errores, lo que hace que su descubrimiento y divulgación pública (o abuso privado) como un agujero de día cero sea mucho más probable de lo habitual.

Desafortunadamente, no se reparó hasta noviembre de 2022, por lo que solo lo reveló ahora.

Un apagón fortuito de la batería

En pocas palabras, encontró el error porque se olvidó de apagar o cargar su teléfono antes de emprender un largo viaje, dejando que el dispositivo se quedara sin batería sin darse cuenta mientras estaba en la carretera.

Según Schütz, se apresuró a enviar algunos mensajes después de llegar a casa (suponemos que había estado en un avión) con la pequeña cantidad de energía que aún quedaba en la batería...

…cuando el teléfono murió.

Todos hemos estado allí, buscando un cargador o un paquete de batería de respaldo para reiniciar el teléfono para que la gente sepa que llegamos a salvo, estamos esperando en el reclamo de equipaje, llegamos a la estación de tren, esperamos llegar a casa en 45 minutos, Podría parar en las tiendas si alguien necesita algo urgente, o lo que tengamos que decir.

Y todos hemos tenido problemas con las contraseñas y los PIN cuando estamos apurados, especialmente si son códigos que rara vez usamos y nunca desarrollamos "memoria muscular" para escribir.

En el caso de Schütz, fue el humilde PIN de su tarjeta SIM lo que lo dejó perplejo, y debido a que los PIN de la SIM pueden tener tan solo cuatro dígitos, están protegidos por un bloqueo de hardware que lo limita a tres intentos como máximo. (Hemos estado allí, hecho eso, nos encerramos).

Después de eso, debe ingresar un "PIN maestro" de 10 dígitos conocido como PUK, abreviatura de clave personal de desbloqueo, que generalmente está impreso dentro del empaque en el que se vende la SIM, lo que la hace en gran medida a prueba de manipulaciones.

Y para protegerse contra los ataques de adivinación de PUK, la SIM se fríe automáticamente después de 10 intentos incorrectos y debe reemplazarse, lo que generalmente significa presentarse en una tienda de teléfonos móviles con identificación.

¿Qué hice con ese empaque?

Afortunadamente, debido a que no habría encontrado el error sin él, Schütz localizó el empaque original de la SIM escondido en algún lugar de un armario, raspó la tira protectora que oculta el PUK y lo escribió.

En este punto, dado que estaba en proceso de encender el teléfono después de que se quedó sin energía, debería haber visto la pantalla de bloqueo del teléfono exigiéndole que ingresara el código de desbloqueo del teléfono...

… pero, en cambio, se dio cuenta de que estaba en el tipo incorrecto de pantalla de bloqueo, porque le estaba ofreciendo la oportunidad de desbloquear el dispositivo usando solo su huella digital.

Se supone que eso solo sucede si su teléfono se bloquea durante el uso regular, y no se supone que suceda después de un apagado y reinicio, cuando una reautenticación completa del código de acceso (o uno de esos "códigos de patrón" de deslizar para desbloquear ) debe hacerse cumplir.

¿Hay realmente un "bloqueo" en su pantalla de bloqueo?

Como probablemente sepa por la muchas veces hemos escrito sobre errores de la pantalla de bloqueo A través de los años en Naked Security, el problema con la palabra "bloquear" en la pantalla de bloqueo es que simplemente no es una buena metáfora para representar cuán complejo es el código que administra el proceso de "bloqueo" y "desbloqueo" de los teléfonos modernos.

Una pantalla de bloqueo móvil moderna es un poco como la puerta de entrada de una casa que tiene un cerrojo de seguridad de calidad decente instalado...

…pero también tiene un buzón (ranura para el correo), paneles de vidrio para dejar pasar la luz, una puerta para gatos, una cerradura de resorte extraíble en la que ha aprendido a confiar porque el cerrojo es un poco complicado y un timbre inalámbrico externo/ cámara de seguridad que es fácil de robar a pesar de que contiene su contraseña de Wi-Fi en texto sin formato y los últimos 60 minutos de video que grabó.

Ah, y en algunos casos, incluso una puerta de entrada que parezca segura tendrá las llaves "ocultas" debajo del felpudo, que es más o menos la situación en la que se encontró Schütz en su teléfono Android.

Un mapa de pasadizos sinuosos

Las pantallas de bloqueo de los teléfonos modernos no se tratan tanto de bloquear su teléfono como de restringir sus aplicaciones a modos de operación limitados.

Por lo general, esto lo deja a usted y a sus aplicaciones con acceso de pantalla de bloqueo a una gran variedad de funciones de "caso especial", como activar la cámara sin desbloquearla, o mostrar un conjunto seleccionado de mensajes de notificación o líneas de asunto de correo electrónico donde cualquiera podría verlos sin el código de acceso

Lo que Schütz había encontrado, en una secuencia de operaciones perfectamente intachable, era una falla en lo que se conoce en la jerga como la pantalla de bloqueo. máquina estatal.

Una máquina de estado es una especie de gráfico, o mapa, de las condiciones en las que puede estar un programa, junto con las formas legales en que el programa puede pasar de un estado a otro, como una conexión de red que cambia de "escuchar" a " conectado”, y luego de “conectado” a “verificado”, o una pantalla de teléfono que cambia de “bloqueado” a “desbloqueable con huella digital” o a “desbloqueable pero solo con un código de acceso”.

Como puede imaginar, las máquinas estatales para tareas complejas se complican rápidamente, y el mapa de diferentes caminos legales de un estado a otro puede terminar lleno de giros y vueltas...

…y, a veces, exóticos pasadizos secretos que nadie notó durante las pruebas.

De hecho, Schütz pudo convertir su descubrimiento involuntario de PUK en una omisión de pantalla de bloqueo genérica mediante la cual cualquiera que recogiera (o robara, o tuviera acceso breve) a un dispositivo Android bloqueado podría engañarlo para que se desbloqueara armado con nada más que un nueva tarjeta SIM propia y un clip.

En caso de que se lo pregunte, el clip sirve para expulsar la SIM que ya está en el teléfono para que pueda insertar la nueva SIM y engañar al teléfono para que diga "Necesito solicitar el PIN para esta nueva SIM por razones de seguridad". Schütz admite que cuando fue a las oficinas de Google para demostrar el truco, nadie tenía un eyector de SIM adecuado, por lo que primero probaron con una aguja, con la que Schütz logró apuñalarse, antes de tener éxito con un arete prestado. Sospechamos que meter la aguja en la punta primero no funcionó (es difícil golpear el pasador eyector con una punta diminuta), por lo que decidió arriesgarse a usarla apuntando hacia afuera mientras "tenía mucho cuidado", convirtiendo así un intento de piratería en un intento literal. cortar a tajos. (Hemos estado allí, hecho eso, nos pinchamos en la yema del dedo).

Jugar el sistema con una nueva SIM

Dado que el atacante conoce tanto el PIN como el PUK de la nueva SIM, puede equivocarse deliberadamente en el PIN tres veces y luego obtener el PUK correcto de inmediato, forzando así deliberadamente la máquina de estado de la pantalla de bloqueo a la condición insegura que Schütz descubrió accidentalmente.

Con el momento adecuado, Schütz descubrió que no solo podía aterrizar en la página de desbloqueo de huellas digitales cuando no debía aparecer, sino también engañar al teléfono para que aceptara el desbloqueo PUK exitoso como una señal para descartar la pantalla de huellas digitales. y “validar” todo el proceso de desbloqueo como si hubiera tecleado el código de bloqueo completo del teléfono.

¡Desbloquear derivación!

Desafortunadamente, gran parte del artículo de Schütz describe el tiempo que Google tardó en reaccionar y corregir esta vulnerabilidad, incluso después de que los propios ingenieros de la empresa decidieran que el error era repetible y explotable.

Como dijo el propio Schütz:

Esta fue la vulnerabilidad más impactante que he encontrado hasta ahora, y cruzó una línea para mí en la que realmente comencé a preocuparme por la línea de tiempo de reparación e incluso por mantenerla como un "secreto". Puede que esté exagerando, pero quiero decir que no hace mucho tiempo el FBI estaba peleando con Apple por casi lo mismo.

Retrasos en la divulgación

Dada la actitud de Google hacia la divulgación de errores, con su propio equipo Project Zero notoriamente firme sobre la necesidad de establecer tiempos estrictos de divulgación y apégate a ellos, podría haber esperado que la compañía se atuviera a sus reglas de 90 días más 14 días adicionales en casos especiales.

Pero, según Schütz, Google no pudo manejarlo en este caso.

Aparentemente, acordó una fecha en octubre de 2022 en la que planeaba revelar el error públicamente, como lo hizo ahora, lo que parece mucho tiempo para un error que descubrió en junio de 2022.

Pero Google no cumplió con la fecha límite de octubre.

El parche para la falla, designado número de error CVE-2022-20465, finalmente apareció en los parches de seguridad de Android de noviembre de 2022, con fecha 2022-11-05, con Google describiendo la solución como: "No descarte el bloqueo de teclado después de desbloquear SIM PUK".

En términos técnicos, el error era lo que se conoce como condición de carrera, donde la parte del sistema operativo que estaba observando el proceso de entrada de PUK para realizar un seguimiento de "¿es seguro desbloquear la SIM ahora?" El estado terminó produciendo una señal de éxito que superó el código que simultáneamente realizaba un seguimiento de "¿es seguro desbloquear todo el dispositivo?"

Aún así, Schütz ahora es significativamente más rico gracias al pago de recompensas por errores de Google (su informe sugiere que esperaba $ 100,000, pero al final tuvo que conformarse con $ 70,000).

Y se retrasó en revelar el error después de la fecha límite del 15 de octubre de 2022, aceptando que la discreción es a veces la mejor parte del valor, diciendo:

Yo [estaba] demasiado asustado para apagar el error en vivo y dado que la solución estaba a menos de un mes, no valió la pena de todos modos. Decidí esperar la solución.

¿Qué hacer?

Comprueba que tu Android está actualizado: Ajustes > Seguridad > Actualización de seguridad > Buscar actualizaciones.

Tenga en cuenta que cuando visitamos el Actualización de seguridad pantalla, después de no haber usado nuestro teléfono Pixel por un tiempo, Android proclamó audazmente Tu sistema esta actualizado, mostrando que se había verificado automáticamente un minuto antes, pero aún diciéndonos que estábamos en el October 5, 2022 actualización de seguridad.

Forzamos una nueva verificación de actualización manualmente y se nos dijo de inmediato Preparando actualización del sistema…, seguido de una breve descarga, una larga etapa preparatoria y luego una solicitud de reinicio.

Después de reiniciar habíamos llegado al November 5, 2022 nivel de parche

Luego volvimos e hicimos uno más. Buscar actualizaciones para confirmar que no había correcciones aún pendientes.

Se utilizó Ajustes > Seguridad > Actualización de seguridad para llegar a la página de descarga forzada:

La fecha informada parecía incorrecta, por lo que obligamos a Android a Buscar actualizaciones de todas formas:

De hecho, había una actualización para instalar:

En lugar de esperar, usamos Currículum proceder de una vez:

Siguió un largo proceso de actualización:

hicimos uno mas Buscar actualizaciones para confirmar que estuvimos allí: