La implementación de Google del rastreo de COVID en móviles Android sufre de un problema que permite a las apps preinstaladas acceder a datos privados.. Una investigación de la empresa de privacidad AppCensus revela que dicho fallo expuso información del rastreo de contactos de Google a la aplicación española Radar Covid y a otros sistemas similares en todo el mundo. Las aplicaciones de rastreo de contactos debían ayudar a erradicar la pandemia. Sin embargo, la app española 'Radar Covid' ha tenido un éxito relativo

La empresa de privacidad AppCensus afirmó que la implementación de Google fue insuficiente, ya que los datos privados de dicha aplicación quedaban registrados en el archivo interno del dispositivo, donde eran accesibles para el resto de apps preinstaladas. Es decir, dicho error permitía conocer la identidad del usuario, localización, contactos y si había dado positivo en coronavirus.

Los únicos afectados por esta brecha de seguridad han sido los usuarios de Android. AppCensus no ha encontrado un problema similar en Apple, aunque las personas que tengan un iPhone se han podido ver afectadas por aparecer como contactos en las listas de los usuarios de Android.

Los investigadores de seguridad de la firma AppCensus descubrieron que el sistema de Google permite el acceso a registros privados relacionados con el rastreo de COVID a determinadas aplicaciones. En concreto, el problema está en las apps preinstaladas en Android, las que ya vienen en el móvil cuando las compramos; afecta no sólo a las apps de Google que vienen en casi todos los dispositivos, sino también a las apps que son instaladas por fabricantes y compañías como parte de promociones, llamadas comúnmente 'bloatware'.

Los investigadores advirtieron a Google el pasado 19 de febrero de esta brecha de seguridad. 

Se notificó de un problema por el que los identificadores de Bluetooth eran accesibles temporalmente para algunas aplicaciones preinstaladas con fines de depuración

El estudio descubrió que más de 400 apps preinstaladas en móviles de Samsung, Motorola, Huawei y otras compañías tenían acceso a toda esa información. Sin embargo, los investigadores aclaran no hay pruebas de que ninguna de esas apps haya obtenido datos; de hecho, nadie sabía que eso era posible y por lo tanto, es poco probable que alguna app se haya aprovechado de ello.

Más preocupante es que este 'bug' aún sigue presente en Android, y todo, según los investigadores, porque Google desestimó su descubrimiento repetidamente, y no lo arregló entonces pese a haber sido informada el pasado mes de febrero. La compañía ha explicado que esto quedará solucionado en los "próximos días".

Los investigadores afirman estar "atónitos" ante la reacción de Google, especialmente porque la solución es muy sencilla y requiere sólo cambiar una línea de código que no afecta al funcionamiento del rastreo de COVID ni al funcionamiento de Android.

Ante esto, los investigadores han decidido hacer público su descubrimiento en el medio The Markup para presionar a la compañía a reaccionar. Y justo entonces, Google por fin ha admitido la existencia de este problema.

Google ha confirmado que fue informada de este problema, y que ya ha lanzado una solución; sin embargo, por la manera en la que funcionan las actualizaciones de Android, se espera que pasen semanas hasta que todos los dispositivos la reciban. Por otra parte, los investigadores no han encontrado el mismo error en iOS y por lo tanto, los iPhone y sus apps preinstaladas no pueden acceder a esos datos privados.

Contexto

Hace ya un año que Google y Apple anunciaron una alianza histórica contra la mayor pandemia de las últimas décadas, la de la COVID-19. Ambas empresas dejaron atrás su rivalidad para crear un sistema único de rastreo de contacto, 'contact tracing' para evitar la propagación del nuevo coronavirus.

El sistema implica que nuestro teléfono móvil, sin importar si usa iOS o Android, está constantemente conectando con dispositivos de personas cercanas, asignándoles una clave única. Si en los 14 días siguientes, una de esas personas indica positivo en COVID-19, el sistema es capaz de avisar a quienes estuvieron cerca de ella automáticamente.

Desde el principio, las implicaciones para la privacidad eran evidentes; el miedo era que se convirtiese en un método para rastrear a personas. Para evitarlo, Google y Apple implementaron varias medidas, como el uso de claves temporales que no se comparten con un servidor central y que cambian constantemente. Además, han evitado que los gobiernos obtengan los datos de localización, llegando a bloquear una actualización de la app británica.

Fuentes:

https://www.elespanol.com/omicrono/software/20210427/rastreo-covid-google-no-privado-android-permite/576943424_0.amp.html

https://www.20minutos.es/tecnologia/ciberseguridad/un-error-de-google-permitia-acceder-a-informacion-privada-de-usuarios-de-la-app-radar-covid-4676291/