Plataforma educativa de seguridad en dispositivo móvil con sistema iOS y Android (página 2)

5.1.3.1. Módulo 1

Para tomar el primer módulo del curso, se debe dar clic en acceder al contenido del módulo 1, a continuación se muestra esta ventana.

Ilustración Nº 15. Acceso módulo 1.

Fuente: Trabajo de investigación realizado Oldemar Thomas, 12 de junio de 2016.

Se procede dar clic en la opción clic aquí, y a continuación se mostrará el contenido, así como se observa en la ilustración.

Ilustración Nº 16. Módulo 1.

Fuente: Trabajo de investigación realizado Oldemar Thomas, 12 de junio de 2016.

Módulo Nº1: Introducción de Seguridad en Telefonía Móviles.

• Objetivo del módulo

El objetivo de este módulo son las siguientes:

• Definir concepto de seguridad en teléfono móvil.

• Definir los incidentes en seguridad en teléfono móvil.

• Definir las amenazas en teléfono móvil.

• Definir tipos de malware en teléfonos móviles.

• Definir medida de seguridad y prevención de riesgo.

• Explicar los incidentes de seguridad.

• Explicar las amenazas en seguridad móvil.

• Elaborar ejercicios de evaluación del contenido.

Introducción del módulo

Este módulo trata sobre las vulnerabilidades que están expuesta un dispositivo móvil, las formas de protección la cual podemos recurrir para no caer en manos de estos ciberdelicuentes. Hoy en nuestra era, vivimos en un mundo donde la tecnología se ha formado una herramienta útil en nuestra vida cotidiana, laboral, personal etcétera. Por lo tanto, debemos conocer los riesgos y la seguridad de la misma, debido a que existe gran avance tecnológico y los conocimientos sobre estas herramientas es muy minoritaria por parte de los usuarios. Los ciberdelicuentes se aprovechan de esta debilidad y cometen sus fechorías. Es por esto la importancia de enseñar a los usuarios a identificar estos riesgos y la seguridad.

Definición del módulo

Cuando hablamos de Dispositivo Móviles, nos estamos referimos a una computadora de bolsillo o computadora de mano (palmtop o handheld). Es un tipo de computadora de tamaño pequeño, con capacidades de procesamiento, con conexión a Internet, con memoria, diseñado específicamente para una función, pero que pueden llevar a cabo otras funciones más generales.

Existen muchos tipos de Dispositivo móviles, pero en esta monografía solo trataremos de los teléfonos inteligentes.

A continuación detallamos los siguientes temas.

Contenidos desarrollados

• a. ¿Qué es un Teléfono Inteligente?

• b. La telefonía móvil

• c. El móvil es como un mini ordenador

• d. La importancia de la seguridad

• e. Incidentes de seguridad

• f. Amenazas en Dispositivos Móviles

¿Qué es un Teléfono Inteligente?

El teléfono inteligente (en inglés: smartphone) es un tipo de teléfono móvil construido sobre una plataforma informática móvil, con mayor capacidad de almacenar datos y realizar actividades, semejante a la de una minicomputadora, y con una mayor conectividad que un teléfono móvil convencional. El término «inteligente», se refieres a que se utiliza con fines comerciales, hagan referencia a la capacidad de usarse como un computador de bolsillo, y llega incluso a reemplazar a una computadora personal en algunos casos.

Casi todos los teléfonos inteligentes también permiten al usuario instalar programas adicionales, habitualmente incluso desde terceros, hecho que dota a estos teléfonos de muchísimas aplicaciones en diferentes terrenos. Sin embargo, algunos teléfonos son calificados como inteligentes aun cuando no tienen esa característica.

Entre otros rasgos comunes está la función multitarea, el acceso a Internet vía Wi-Fi o redes 4G, 3G o 2G, función multimedia (cámara y reproductor de videos/mp3), a los programas de agenda, administración de contactos, acelerómetros, GPS y algunos programas de navegación, así como ocasionalmente la habilidad de Y leer documentos de negocios en variedad de formatos como PDF y Microsoft Office.

La telefonía móvil

Se caracteriza por ser un sistema de comunicación ampliamente difundido debido a su fácil acceso, conectividad y versatilidad. Los teléfonos inteligentes (smartphones) cuentan con sistemas operativos similares a un ordenador, y tienen la ventaja del uso de redes geográficamente distribuidas a nivel global. Lo cual los hace vulnerables a riesgos derivados por virus o ataques informáticos.

El móvil es como un mini ordenador

El uso de recursos digitales multimedia en los Smartphones, requiere que las aplicaciones sean similares a las de un ordenador. Con ello se logra compatibilizar el funcionamiento e intercambio de información entre diferentes plataformas. Este debe ser tratado con todas las precauciones de seguridad y uso al momento de navegar o descargar información proveniente de sitios sin garantías de seguridad.

La importancia de la seguridad

Los usuarios de teléfonos móviles han ido incrementando en los últimos años, debido a la extensa variedad de aplicaciones que pueden instalar. Aproximadamente el 60,8% tienen un Smartphone.1 La navegación e intercambio de información en internet se ve beneficiada por la mejora de las redes inalámbricas (Wi-Fi), facilitando el envío y recepción de correos electrónicos en cualquier momento, así como la realización de diversas transacciones online.

Para garantizar el correcto funcionamiento del dispositivo, es esencial estar bien informado sobre las ventajas y desventajas respecto de las prestaciones que ofrece el teléfono. También hay que considerar que al mismo tiempo que nos mantiene comunicados, nos expone a peligros cuando éste es usado o intervenido sin nuestro permiso. Las conversaciones vía telefónica o por mensajes de texto pueden contener información confidencial y sensitiva, la cual podría ser escuchada o leída por otros a nivel global, cuando el móvil se encuentra conectado al internet. Por ello es importante llevar a cabo algunas medidas de seguridad para proteger el dispositivo y la información contenida en él.

Incidentes de seguridad

Las amenazas a los que se ven expuestos los teléfonos móviles son:

• Pérdida o robo del dispositivo.

Lo más importante que dispone un teléfono móvil es la información en caso de que tengamos estos tipos de incidente debemos estar seguro de que nuestra información no se expuesta por los delincuentes, por lo tanto se recomienda los siguientes aspecto.

• Tener definida la opción de seguridad de bloque de Pantalla.

• Tener definida la opción de bloqueo de tarjeta sin.

• Tener definida una contraseña, entre otras opciones. Ejemplo # 1.

Imagínese que usted este de compra en el mall de la localidad (Albrook), usted recibe una llamada y desea atender la llamada entrante, en este instante se le acerca un antisocial, le arrebata su dispositivo móvil y por más que usted intenta infórmale a la policía, ya es muy tarde para rescatar tú terminal, en esta situación ¿qué medidas tomarías para que tú información no se exponga a segundas y terceras personas?

Ilustración Nº 17. Robo de teléfono móvil

Fuente: Trabajo de investigación realizado Oldemar Thomas, Junio, 12 de junio de 2016.

Recomendaciones.

• Nunca debes sacar su teléfono en lugares desconocido y a donde observe que esté en

peligro tú vida.

• Si recibe una llamada o SMS estando en lugares de riesgo, es mejor que tenga tú teléfono en opción de vibrador y no atienda las llamadas hasta cuando se sienta seguro de realizar la misma.

• No exponga su teléfono en lugares visible, como llevarla en la mano, en el bolsillo, donde los antisociales pueden observarla, ya que esto le permite a ellos que te vuelvas victima fácil.

• Infecciones por virus o Malware vía email, Botnets, Hoaxes, Spam, Rootkits.

Otros incidentes que podemos encontrar en la tecnología en dispositivos móviles son los programas maliciosos, este a su vez va a depender mucho del usuario, ya que un programa malicioso para que se ejecute tiene que recibir una orden de permiso.

Ejemplo #2.

Juan está chateando en una X aplicación de su terminal y este a su vez recibe un mensaje de un número desconocido (+65775456) la cual no tiene registrado en su teléfono móvil, el sms dice genial tu número de teléfono ha sido seleccionado el ganador de B/. 60,000.00, reclama tu premio enviando un sms GANADOR al

+65775456, la petición es que Juan tiene que responder el sms, como Juan desconoce los fraudes por la red móvil, este a su vez responde el sms malicioso y como consecuencia el dinero activo en su dispositivo es consumida de manera significativa, de esta manera el atacante le roba el saldo a Juan cada que vez él vaya a realizar una recarga, sin que Juan sepa cómo esta operación se realice.

Ilustración Nº 18. Malware.

Fuente: Trabajo de investigación realizado Oldemar Thomas, 12 de junio de 2016.

Recomendación.

• Nunca responder sms desconocidos.

• Si recibes sms de premios y promociones, consulta primero con el operador que le brinda los servicios.

• Robo de información vía Bluetooth.

El robo de la información en via bluetooth es muy común en la comunidad tecnológica, simplemente el atacante necesita que la víctima tenga activada el bluetoth y que este visible, de esta manera el atacante podrá conectarse y tener acceso a todas las informaciones de la víctima.

Ejemplo #3.

Mario posee un terminal donde tiene activa la opción de bluetooth, un atacante está buscando robar información por medio de vía bluetooth y Mario es la victima perfecta ya que Mario desconoce que por medio de esta tecnología un atacante puede acceder a sus archivos, el atacante le envía una petición a Mario y este a su vez acepta sin saber el destinatario y de esta forma el atacante tendrá acceso a sus archivos.

Ilustración Nº 19. Robo de Información vía bluetooth.

Fuente: Trabajo de investigación realizado Oldemar Thomas, 12 de junio de 2016.

Recomendaciones.

• No aceptar la vinculación con dispositivo que desconocido.

• Apagar el encendido de Bluetooth

• Compartir información vía bluetooh, son con dispositivo previamente apareado o vinculado.

• Suplantación de identidad o Spoofing.

Spoofing, en términos de seguridad de redes hace referencia al uso de técnicas a través de las cuales un atacante, generalmente con usos maliciosos o de investigación, se hace pasar por una entidad distinta a través de la falsificación de los datos en una comunicación.

Se pueden clasificar los ataques de spoofing, en función de la tecnología utilizada.

Entre ellos tenemos el IP spoofing (quizás el más conocido), ARP spoofing, DNS spoofing, Web spoofing o email spoofing, aunque en general se puede englobar dentro de spoofing cualquier tecnología de red susceptible de sufrir suplantaciones de identidad.

• Acceso a datos confidenciales de conversaciones, imágenes o vídeos

Las mayorías de los usuarios utilizan la red wifi free, la navegación por sitios inseguros, reciben y abren correos no deseados, todos estos tiene como consecuencia muchos riesgo de vulnerabilidad a que su información confidencial se expuesta.

Recomendaciones.

• No realizar ningunas de estas operaciones, conectarse a redes inseguras.

• Instalar aplicaciones desconocidas.

• No descargar apk de tercer plano, es recomendable descargar la apk en la tienda de su proveedor de sistema operativo.

• Infección al acceder a falsos códigos QR publicitarios.

Debemos tener cuidado al momento de escanear un código QR, ya que se cometen fraude por medio de esta tecnología, un código QR es un módulo para almacenar información en una matriz de puntos o en un código de barras bidimensional. Fue creado en 1994 por la compañía japonesa Denso Wave, subsidiaria de Toyota. Presenta tres cuadrados en las esquinas que permiten detectar la posición del código al lector.

Ejemplo #4.

José visita la página de amazon para realizar una compra, este a su vez ingresa a la página oficial de amazon y esta página tiene un código QR que dispone el link llamado https//www.amazon.com donde José tiene que ingresar, este a su vez escanea el código QR y resulta que el código está manipulada por un link que no es la correcta https//www.amazon1.com y al momento cuando José le da clic por entrar no se percata de que la url esta errada, y a su vez el atacante le roba información, debido a que José desconocía que la pagina a la cual visito fue un fishing.

Recomendaciones.

• Asegurar que la url a la cual se está accediendo sea la oficial.

• No escanear código QR desconocido.

Amenazas en Dispositivos Móviles

• Código Malicioso

Un código malicioso son programas creados con objetivo específico que varía desde su punto de funcionalidad, de modo que si este es ejecutado de manera equivocada puede causar daño, pedida o fuga de información. Generalmente estos programas están alojada en sitios web y que una vez que es descargada se instala sin que el usuario se percate de la misma.

Ejemplo #5.

María desea descargar una aplicación X, pero la misma no está disponible en los recursos de descarga ya sea cómo en Play Store o Icloud, entonces María procede a descargar la apk desde internet, ella realiza la descargar y la instalar, lo que María nunca supo es que al momento de realizar la instalación el programa tenía como objetivo borrar toda la información de sus dispositivo, de esta manera María perdió toda la información valiosa de su celular.

Ilustración Nº 20. Código Malicioso.

Fuente: Trabajo de investigación realizado Oldemar Thomas, 12 de junio de 2016.

• Datos Móviles y Privacidad.

Otras de los aspectos que amenaza los dispositivos móviles son los datos y la privacidad, cuando un usuario posee información valiosa en su dispositivo esta información es privada ya que nadie más tiene acceso a ella, más que el usuario de esta manera se confirma que es privada.

• Pérdida o Fuga de Información.

La fuga de información muchas veces ocurre cuando tenemos programa maliciosos instalado en nuestro dispositivo, este programa envía nuestra información al atacante sí que el usuario se percate. También al momento compartir información debemos estar seguro de que por el medio en la cual estamos compartiendo dicha información, este medio a su vez debe ser confidencial e íntegro.

• Fraude.

El fraude es una actividad que se realiza para obtener un beneficio a cambio o por el simple hecho de diversión, por lo general siempre se busca robar, alterar, daña información, medio electrónicos utilizando diferentes técnicas y medios informaticos.

Ejemplo #6.

Ana desea realizar una transacción, y esta a su vez utiliza su dispositivo para realizar la misma al momento de ingresar en el sitio ella se no se percata de que es un sitio falsificado, ella ingresa sus datos y resulta que toda la información es desviada a otro servidor, por lo tanto este acto se le considera fraude ya que Ana no sabía y le han robado todo su dinero de la cuenta.

Ilustración Nº 21. Fraude.

Fuente: Trabajo de investigación realizado Oldemar Thomas, 12 de junio de 2016.

Recomendaciones.

• Evitar compartir información confidencial por correos electrónica desde tu terminal.

• Realizar transacciones de gran cantidad de dinero desde tu teléfono

• Tener instalado antivirus, antispan y antiphishing.

• No enviar datos en los sitios no seguros.

• Hacer copia de seguridad

• Tenga una contraseña que se difícil vulnerar, pero fácil para usted.

Tipos de Malware en los Smartphones

• Troyanos SMS.

El diseño del troyano como Malware o virus informático, permite a su creador tener acceso remoto a un sistema. En este caso al sistema operativo de los Smartphones infectados. Provocando daños, modificando los privilegios como usuario y poder acceder sin ninguna restricción, así como el robo de información valiosa para el usuario propietario del dispositivo móvil. Algunos troyanos detectados son: NetBus, Back Orifice, Back Orifice 2000, Sub7, The KaoS, Bifrost, Bandook, Poison Ivy, entre otros.

Las acciones de un troyano son el apagado y reinicio del equipo para borrar, transferir o modificar archivos, robos de códigos de seguridad e instalación de otros programas maliciosos. Tales como los Botnets. Los riesgos se pueden presentar en dos posibles escenarios:

• A. Malware en aplicaciones y videojuegos.

En este escenario, el usuario descarga aplicaciones y videojuegos de fuentes no oficiales. El Malware se instala en el dispositivo mediante SMS ocultos para extraer información financiera y personal. Busca la lista de contactos y el dispositivo se convierte en parte de un Botnet. Los Botnes conocidos que representan un mayor peligro son Lethic, Grum, Cutwail (1,2,4,5), Donbot, Festi, Gheg, Kelihos y Maazben.

• B. Malware en SMS.

El usuario recibe un SMS malware en su dispositivo proveniente de otro infectado y reenvía SMS a su lista de contactos. Comenzando así de nuevo el ciclo.

• Módulos publicitarios.

Se presentan como aplicaciones gratuitas de descarga que muestran publicidad y que cambian la página de inicio del dispositivo sin la autorización del usuario. Accede a la configuración del teléfono y extrae el número de identificación IMEI, así como la lista de permisos otorgados y acceso a las llamadas telefónicas. Los dos módulos que actúan de esta forma son Plangton y Hamob (AdWare.AndroidOS.Hamob). Los cuales sólo muestran anuncios publicitarios al usuario, mientras realizan acciones maliciosas en el dispositivo móvil.

• Exploits.

Buscan obtener los privilegios de super usuario o root. Es decir, el usuario root tiene los permisos para realizar acciones en el dispositivo que un usuario común no puede hacer. La principal amenaza de un Exploit es la toma de control del dispositivo, así como el acceso privilegiado a los programas. Se puede presentar de tres formas: remoto, local y clientSide.

Tabla Nº 5. Medidas de seguridad y prevención de riesgos.

Fuente: https://es.wikipedia.org/wiki/Seguridad_en_telefon%C3%ADa_m%C3%B3vil

Protección Multicapa

Debido a que los teléfonos móviles se encuentran conectados a una red global para poder comunicarse entre sí. Es necesario el uso de protocolos que cooperen simultáneamente para gestionar las comunicaciones. Cada uno de estos protocolos se encarga de una o más capas de acuerdo al modelo OSI (Open Systems Interconnection). El cual fue creado por la Organización Internacional para la Estandarización (ISO) en el año de 1984, para poder establecer comunicaciones entre Equipos Terminales de Datos (ETD). Al establecer comunicaciones entre los ETD, se usan varios protocolos (pila de protocolos), ya que éstos no se encuentran aislados.

ISO: es la Organización Internacional para la Estandarización, que regula una serie de normas para fabricación, comercio y comunicación, en todas las ramas industriales.

Se conoce por ISO tanto a la Organización como a las normas establecidas por la misma para estandarizar los procesos de producción y control en empresas y organizaciones internacionales. http://www.definicionabc.com/economia/iso.php

Los ataques informáticos y la extracción de información pueden llevarse a cabo en alguno de los niveles de comunicación entre dispositivos. El coste de implementar un plan de protección es caro y por lo regular quienes pueden pagar estos servicios son empresas. Es importante que los usuarios conozcan de forma general los niveles de comunicación que existen y así poder determinar algunas medidas de protección. Estos niveles o capas se agrupan en siete.

Tabla Nº 6. Protección Multicapa

Fuente: https://es.wikipedia.org/wiki/Seguridad_en_telefon%C3%ADa_m%C3%B3vil

Tabla Nº 7. Antivirus para teléfonos inteligente.

Fuente: https://es.wikipedia.org/wiki/Seguridad_en_telefon%C3%ADa_m%C3%B3vil

Ejercicio Módulo 1

Una vez que se haya terminado de estudiar el contenido del módulo 1, se precede a realizar la evaluación de la misma.

Ilustración Nº 22. Acceso a ejercicio de modulo1.

Fuente: Trabajo de investigación realizado Oldemar Thomas, 12 de junio de 2016.

El usuario deberá dar clic en la opción ejercicio Nº 1 del módulo 1, una vez hecho esto se mostrará esta ventana, luego deberá dar clic en inicio del concurso para iniciar el ejercicio.

Ilustacion Nº 23. Ejercico 1 del modulo 1

Fuente: Trabajo de investigación realizado Oldemar Thomas, 12 de junio de 2016.

Una vez realizado el curso se mostrará el resultado de la misma, así como se muestra en la ilustración.

Ilustración Nº 24. Resultado ejercicio 1 módulo 1.

Fuente: Trabajo de investigación realizado Oldemar Thomas, 12 de junio de 2016.

Foro del Módulo 1

En esta sección se muestra el foro relacionado el módulo 1.

Ilustración Nº 25. Foro 1 del módulo 1.

Fuente: Trabajo de investigación realizado Oldemar Thomas, 12 de junio de 2016.

Ruta de acceso: para acceder al foro el usuario debe seguir los siguientes pasos.

• Entrar en la plataforma, http://seguridadiyafiec.260mb.net/wp/

• Si el usuario ya está registrado solo debe accede con su nombre de usuario y contraseña y si no está registrado deberá realizar el registro.

• Una vez registrado el usuario debe dar clic en el menú foro y a continuación se mostrará esta ventana, asi como se muestra en la ilustración Nº 24.

Ilustración Nº 26. Menú foro

Fuente: Trabajo de investigación realizado Oldemar Thomas, 12 de junio de 2016.

• En esta sección se muestra los foros de los módulos, para este caso el estudiante elije el foro del módulo 1, para efectuar su comentario en el debate.

• Selección del foro 1 del módulo 1, el usuario procede a seleccionar el debate llamada "dispositivo móviles (módulo 1)" y a continuación se mostrará la opción para que el usuario realice su opinión.

A continuación el usuario debe dar clic en el foro "dispositivo móviles (módulo 1)", por consiguiente tendremos esta ventana y envió de comentario.

Ilustración Nº 27. Edición y envió de opinión.

Fuente: Trabajo de investigación realizado Oldemar Thomas, 12 de junio de 2016.

Actividad del módulo 1.

En esta sección el usuario, deberá elegir la Actividad Nº 1.

Ilustración Nº 28. Actividad Nº 1.

Fuente: Trabajo de investigación realizado Oldemar Thomas, 12 de junio de 2016.

Al momento de elegir la actividad Nº. 1, se mostrará esta ventana.

Ilustración Nº 29. Taller 1.

Fuente: Trabajo de investigación realizado Oldemar Thomas, 12 de junio de 2016.

5.1.3.2. Módulo 2

Una vez terminado de Módulo 1, se procede a realizar el mismo paso para el módulo 2.

Ilustración Nº 30. Contenido módulo 2.

El usuario debe dar clic en la opción acceder al contenido del módulo 2, para ver el contenido de la misma. A continuación se tendrá esta ventana.

Ilustración Nº 31. Ver contenido.

Fuente: Trabajo de investigación realizado Oldemar Thomas, 12 de junio de 2016.

A continuación se mostrará esta ventana.

Ilustración Nº 32. Módulo 2.

Fuente: Trabajo de investigación realizado Oldemar Thomas, 12 de junio de 2016.

Modulo No.2: Seguridad en Dispositivo Móviles Android

• Objetivo del Módulo

• Definir modelo de seguridad en sistema Android.

• Definir los riesgos en dispositivos móviles Android.

• Definir seguridad a nivel de aplicación.

• Definir Formato de aplicación.

• Definir vulnerabilidad.

• Definir medidas de seguridad.

• Explicar los permisos del sistema.

• Explicar las diferentes vulnerabilidades.

• Elaborar ejercicios de evaluación del contenido.

Introducción del Módulo

Este módulo trata sobre seguridad en dispositivo móvil con sistema Android, se desarrolla conceptos como: los modelos de permiso, los riesgo a las que se expone un sistema Android, la seguridad a nivel de aplicación, el formato de la aplicación, las vulnerabilidad y las medidas de seguridad.

Los dispositivos con sistema Android es una de la más usada a nivel mundial debido que es de código abierto, diversidad de modelos en la cual se instala, económico y diversidad de funcionalidad. Pero las mayorías de los usuarios que dispone de ella, desconoce los riesgos de la misma y esto es un factor muy importante evaluado en este módulo.

Definición del Módulo

Cuando se habla de dispositivos móvil con sistema Android, nos referimos específicamente al hardware y software que hacen la funcionalidad del mismo. Un sistema operativo Android, es un sistema basado código abierto (open source), diseñado bajo la arquitectura kernel, su funcionalidad está orientada a realizar diversas funcionalidades al mismo tiempo es decir es multitareas.

Contenido Desarrollado

• a. Modelo de Permiso

• b. Riesgo en Dispositivo Android.

• c. Seguridad en Android a nivel de aplicación

• d. Formato de Aplicación de Android.

• e. Vulnerabilidad en Sistema Android

• f. Medidas de Seguridad.

Modelo de Permiso

• Se solicita permiso al Instalar:

La filosofía de permiso la cual utiliza el sistema Android, es que, cada vez que se instala una aplicación siempre de debe solicitar permiso esto es debido a que el sistema no está cifrado ni tampoco las aplicaciones que son desarrollada para esta plataforma, por lo tanto es muy importante que el usuario conozca esto detalle, ya que el sistema no se encarga de realizar un análisis exhaustivo de las aplicaciones, esto requiere un amenaza y riesgo para los usuarios.

Aunque cabe señalar que Android está mejorando este fallo y ese es un punto importante para ellos.

• No se Puede Denegar Permiso (De forma oficial):

Debido a que el sistema Android no está cifrado, el sistema no realiza ninguna operación de análisis de vulnerabilidad de aplicaciones que se instalan en su plataforma de esta forma el usuario no se percatara del permiso que se puede acceder si el mismo está instalando aplicaciones de terceros.

Riesgo en Dispositivo Android.

Existen 4 grandes permiso en el sistema operativo Android las cuales son consideradas de mayor riesgo para el usuario, a continuación se detallan:

• Normal: Este permiso es de bajo riesgo para el usuario ya que este permiso depende del usuario. Ejemplos de esto permiso acceso a la red y wifi.

Ejemplo #7.

Un usuario A, viaja hacia el interior del país, cuando este está en la terminal X y se percate de que se ha quedado sin data y observa que ya no tiene tiempo para adquirir una tarjeta prepago para efectuar la recarga y comprar servicio de data, este a su vez activa la opción wifi para poder acceder a una red pública y resulta que la tecnología wifi encuentra una serie de redes públicas disponibles y el usuario A decide conectarse a una de estas redes, inmediatamente el usuario está expuesto a ser vulnerado ya que la red es desconocida por la misma y desconoce quién está detrás de esta red, de esta manera el ciberdelicuente tendrá el privilegio de cometer su objetivo, pero en caso de que el usuario no hubiera efectuado esta acción no estaría expuesto a ser vulnerado, por eso que esta acción se considera de bajo riesgo, ya que la decisión está en las manos del usuario y no de la aplicación.

Ilustración Nº 33. Permiso de bajo riesgo.

Fuente: Trabajo de investigación realizado Oldemar Thomas, Junio, 12 de junio de 2016.

• Dangerous.

Este permiso es de mayor riesgo para el usuario pudiendo incluso acceder a información privada.

Ejemplo de este permiso es:

• Acceso a la cámara.

• Accedo a libreta de contacto.

• Accedo audio.

• Accedo de información privada. Ejemplo #8.

Un usuario Y, decide bajar una aplicación en Google Play, a su vez este efectúa la búsqueda en la app Store de Google, el usuario Y efectúa escribir el nombre de la aplicación y la ejecución de búsqueda le da como resultado una serie de aplicación, este a su vez elije una aplicación para bajar música, el usuario efectúa la descarga de la aplicación y luego lo instala en su terminal sin percatarse de los permisos que solicitará esta aplicación en su dispositivo, de tal forma que cuando ya la aplicación este instalada en la terminal, esta aplicación ejecutará el objetivo para la cual fue desarrolla, para este caso supongamos que la aplicación tendría el acceso a la cámara de la terminal y por lo tanto toda la información está expuesta a segundo y a tercero.

Ilustración Nº 34. Permiso de Mayor Riesgo.

Fuente: Trabajo de investigación realizado Oldemar Thomas, 12 de junio de 2016.

• Signature.

Si dos aplicaciones están firmados con el mismo certificado, se les concede el acceso a los datos de la obra. Ejemplo desarrollo de aplicaciones y certificación de la misma por parte del desarrollador donde le permite al mismo realizar permisos especiales a la aplicación.

Ejemplo #9.

Si un desarrollador cibercriminal desarrolla una aplicación, este a su vez compra la certificación a Google, procede a subir la aplicación en Play Store, luego cuando el desarrollador desea subir otra aplicación, pero en este caso contiene códigos malicioso, este a su vez podrá subirlo sin ningún inconveniente en la nube de Play Store ya que Google identificara la firma del desarrollador y de esta manera la aplicación podrá subirse sin mayores complicaciones.

• Signature Orsyestem: Uso especial cuando varias aplicaciones necesitan compartir características similares.

El 50% de los usuarios de Android tiene una aplicación con los siguientes permisos: Todos estos permiso es considerada peligro y de riesgo.

Tabla Nº 8. Permiso y acceso

Fuente: https://www.youtube.com/watch?v=hfaAA7ln-kc

Seguridad en Android a nivel de aplicación

• Las aplicaciones son firmados con certificación autofirmadas por los mismo desarrolladores: todas aplicaciones desarrollado en la plataforma Android, son aplicaciones que son firmados por los mismo desarrollados y los permisos son configurado por ellos mismo, de esta manera el desarrollador podrá pedir cualquier permiso ya que google no ha tomado un análisis sobre este aspecto, de manera que es un riesgo para el usuario.

• Permisos personalizados, riesgo para la privacidad: Cuando el desarrollador comparte una aplicación él tiene el derecho de configurarles los permisos especiales, ejemplo ya sea permiso de para acceder a contacto, al sms, accedo a red, accedo blog de llamadas etc, esto también pone en peligro la privacidad de los usuarios.

• Controles de seguridad de Google Play: debido a que google no ha mejorado este inconvenientes de privilegios de permisos, es posible que aplicaciones desarrolladas en esta plataforma contengas códigos malicioso, por eso es recomendable verificar los permiso de accedo de la aplicación la cual se desea instalar en nuestra terminal.

Formato de Aplicación de Android.

Diagrama Nº 1. Formato de aplicación Android.

Fuente: https://www.youtube.com/watch?v=hfaAA7ln-kc

El fichero más crítico en Android es AndroidManisfest.xml: es aquí donde se declara todos los permisos que va a usar la aplicación a nivel de hardware o software.

Diagrama Nº 2. Fichero AndroidManifest.xml.

Fuente: Trabajo de investigación realizado Oldemar Thomas, 12 de junio de 2016.

Esto significa que la aplicación tiene permiso para acceder a los contactos y para leerlos.

Firma de Aplicación: el desarrollador compra el certificado que puede ser a su vez una empresa o una persona individual, en donde la misma le piden datos personales para efectuar la compra y con esta certificación se desarrollaría la aplicación para subirla en Google Play.

La firma se efectúa directamente por el desarrollador, sin que Google intervenga en la firma, al momento de subir o compartir la aplicación en Play Store, Google verifica la certificación que a su vez esta fue firmada por el desarrollador, si estamos tratando sobre seguridad, tomando desde este punto de partida es muy peligroso y riesgoso las aplicaciones subida en Plataforma Android, ya que como se dijo anteriormente Google no ha tomado este aspecto con seriedad, ya que hay aplicaciones que pueden contener malware.

Vulnerabilidad en Sistema Android

Orígenes Desconocido.

Aunque Google tenga la opción de verificación de aplicaciones, esta es unas de las vulnerabilidades que podemos encontrar en el sistema Android, debido que esta opción permite instalar cualquier aplicación en la terminal de origen desconocido sin verificar sus códigos fuente, empresa que lo desarrolla y esto permite un importante problema de seguridad en Android.

Seguridad para este aspecto.

La solución para esta vulnerabilidad es que, al momento de descargar una apk ya sea desde Play Store y directamente desde internet, debemos siempre verificar los permiso que está solicitando esa aplicación y los recursos que necesita de esta manera, se puede conocer cuáles son los recursos a la cuales accederán la aplicación que se desea instalar en la terminal.

Ejemplo #10.

Si un usuario desea descargar una aplicación de videojuego, este a su vez realiza la descargar, al momento de la instalación verifica los permisos y recursos que necesita esa aplicacióny a continuación el usuario obtiene los siguientes permisos.

• READ_CONTACTS

• READ_EXTERNAL_STORAGE

• READ_VOICEMAIL

• SEND_SMS

• CAMERA

En sentido común una aplicación de videojuego no debe solicitar estos permisos, evaluando su funcionalidad esto puede ser una app de código malicioso.

De otro modo si un usuario descargar e instala una app de mensajería instantánea, obviamente su funcionalidad si será acertada ya que una app de mensajería necesita acceder a los contacto para enviar SMS.

Por lo tanto es importante a la hora de instalar una aplicación revisar que permisos, que recursos necesita esa aplicación.

• Rooting

Otro concepto importante en seguridad en Android, el sistema Android se deriva del sistema Unix y Linux, debido a esto los privilegios de súper usuario son similares.

La definición a este concepto es que rooting es otorgar o tener acceso a todos los privilegios en sistema Android, es decir cuando se rootea un terminal el usuarios podrá tener a acceso a funcionalidad muy avanzada no orientado a usuario, funciones que no tenía ante, como por ejemplo modificar, eliminar funciones del sistema.

El sistema Android no habilita esta característica por defecto para proteger al usuario, sin embargo se puede rootear el sistema Android y esto indica un problema de seguridad.

Cuando se rootea un terminal se desaparece el sandboxing.

• Sandboxing.

El concepto de sandbox es otro concepto de seguridad en Android, consiste en que una aplicación solo se puede ejecutar en su entorno y no pueda tocar las otras aplicaciones.

Ejemplo # 11.

Si un usuario tiene una aplicación X que almacena y guarda contraseña, y resulta que el usuario instala otra aplicación Y de origen desconocido y contiene ejecuciones maliciosa como leer contraseñas, esta app Y no podría acceder ni leer la información que esta guardada en la aplicación X, porque estaría encerrada en su sandbox, es decir una aplicación solo tiene el privilegio de manipular los permisos que está dentro de su entorno.

Ilustración Nº 35. Sandbox.

Fuente: Trabajo de investigación realizado Oldemar Thomas, 12 de junio de 2016.

¿Qué pasaría si un usuario ROOTEA su teléfono móvil Android?

Si un usuario rootea su teléfono móvil, de modo que tendrá acceso a todos los privilegios de súper usuario, el usuario podrá conceder a las aplicaciones permisos para acceder a otras aplicaciones.

Entonces desaparecería el concepto de SANDBOX, esto es grave, debido que es problema de seguridad, evidentemente el usuario no experto que rootea su teléfono puede sin querer dar permisos a aplicaciones maliciosa.

• Malware en Android.

El malware, aunque Google tenga control sobre Google Play y tenga control sobre las aplicaciones que un usuario puede descargar, aun así existe malware.

Un ejemplo de es el gusano informático que se propaga en teléfonos Android.

¿Cómo funciona un gusano informático? Su función es enviar de forma automática a todos los contactos un sms con un enlace para descargarla, la aplicación una vez descargada, el usuario la instala y como tiene permiso para mandar sms y para leer los contactos, se propaga de manera automática a todos los contactos.

Por lo tanto los permisos de una aplicación se puede verificar en el fichero androidManifest.xml, una buena forma de evaluar un malware es verificando sus permisos que requiere. Si un usuario opta por descargar una aplicación de música y tiene todas estas características (gusano), mandar mensaje, leer contacto, acceso a la cámara, acceso a los documentos etcétera, obviamente hay un problema de seguridad. Por qué una aplicación de música no necesariamente necesite acceder a todos estos recursos.

Propagación de Virus, Android tiene problema de seguridad de permiso, es decir el sistema puede tener fallos que hacen que se propague el virus.

Las vulnerabilidades en aplicaciones de Android son puesta en público, se pueden encontrar en internet, ejemplo http://cvedetails.com/ de manera que si un hacker desea saber cuáles son la vulnerabilidades de la app Android fácilmente encontraría la información y de acuerda a ella desarrollaría app maliciosa.

Ejemplo # 12.

Si un usuario dispone de una versión de Android. 2.0 Y resulta que una app B, tiene fallas de seguridad hasta la versión 2.3, el usuario desea descargar esta app B, el usuario estaría vulnerable a estos ataques, por lo tanto es importante que se mantenga el sistema del teléfono

actualizados, cuando llegan las actualización de la app de manera automática a nuestro terminal se debe aceptar, porque muchas veces esas actualización corrigen errores de seguridad como estas.

Medidas de Seguridad.

¿Cómo me puedo proteger de malware?

Se menciona varias opciones que el usuario debe poner en práctica como contramedidas. A continuación se detallan.

• Sentido Común: se debe usar el sentido común, por ejemplo si un usuario desea descargar una app de tráfico, y esta aplicación le pide acceder a sus fotos y audio, es evidentemente usar el sentido, ya que no es posible que una app de trafico necesita de estos recursos para su funcionalidad.

• Aplicaciones Piratas y de origen desconocido: muchas veces no queremos pagar por una aplicación y termínanos descargando una app de internet, debemos de tener mucho cuidado al momento de realizar esta operación, muchas veces estas aplicaciones son de origen desconocido y contiene virus o son programas falsificados con intenciones maliciosa. Para estar más seguro al momento de realizar esto, es recomendable que se examine los permisos y recursos que se necesita acceder esa aplicación.

• Instalar antivirus.

• Valoración de puntuación: debemos investigar la valoración que le dan los usuarios a las aplicaciones que deseamos instalar, de esta manera se tiene una idea más clara de la funcionalidad de una app.

Ejercicio módulo 2

Una vez que se haya terminado de estudiar el contenido del módulo 2, se precede a realizar la evaluación de la misma.

Ilustración Nº 36. Acceso ejercicio 1 del módulo 2.

Fuente: Trabajo de investigación realizado Oldemar Thomas, 12 de junio de 2016.

El usuario deberá dar clic en la opción ejercicio No.1 del módulo 2, una vez hecho esto se mostrará esta ventana, luego deberá dar clic en inicio del concurso para iniciar el ejercicio.

Ilustacion Nº 37. Ejercicio 1 del módulo 2.

Fuente: Trabajo de investigación realizado Oldemar Thomas, 12 de junio de 2016.

Una vez realizado el curso se mostrará el resultado de la misma, así como se muestra en la ilustración.

Ilustración Nº 38. Resultado de ejercicio 1 modulo 2.

Fuente: Trabajo de investigación realizado Oldemar Thomas, 12 de junio de 2016.

Foro del Módulo 2

Ruta de acceso: para acceder al foro el usuario debe seguir los siguientes pasos.

• Entrar en la plataforma, http://seguridadiyafiec.260mb.net/wp/

• Si el usuario ya está registrado sólo debe acceder con su nombre usuario y contraseña y si no está registrado deberá realizar el registro.

• Una vez registrado el usuario debe dar clic en el menú foro, así como se muestra en la ilustración.

Ilustración Nº 39. Menú foro del módulo 2.

Fuente: Trabajo de investigación realizado Oldemar Thomas, 12 de junio de 2016.

• En esta sección se muestra los foros de los módulos, para este caso el estudiante elije el foro del módulo 2, para efectuar su comentario debate.

• Selección del foro 1 del módulo 2 y a continuación el usuario procede a seleccionar el debate llamada "sistemas Android (módulo 2)", se mostrará la opción para que el usuario realice su opinión.

En esta sección se muestra el foro relacionado el módulo 2.

Ilustración Nº 40. Foro 1 del módulo 2.

Fuente: Trabajo de investigación realizado Oldemar Thomas, 12 de junio de 2016.

A continuación el estudiante debe dar clic en el foro del sistema Android (Modulo 2), por consiguiente tendremos esta ventana de edición y envió de comentario.

Ilustración Nº 41. Envió y edición del foro del módulo 2.

Fuente: Trabajo de investigación realizado Oldemar Thomas, 12 de junio de 2016.

En esta sección el estudiante podrá redactar su opinión y proceder a enviarla.

Actividad del Módulo 2

En esta sesión el usuario, deberá elegir la Actividad Nº 2

Ilustración Nº 42. Actividad 2.

Fuente: Trabajo de investigación realizado Oldemar Thomas, 12 de junio de 2016.

Al momento de elegir la actividad Nº. 2, se mostrará esta ventana.

Ilustración Nº 43. Taller 2 del módulo 2.

Fuente: Trabajo de investigación realizado Oldemar Thomas, 12 de junio de 2016.

5.1.3.3. Módulo 3.

Una vez terminado de Módulo 2, se procede a realizar el mismo paso para el módulo 3.

Ilustración Nº 44. Contenido módulo 3.

Fuente: Trabajo de investigación realizado Oldemar Thomas, 12 de junio de 2016.

El usuario debe dar clic en la opción acceder al contenido del módulo 3, para ver el contenido de la misma. A continuación se tendrá esta ventana

Ilustración Nº 45. Ver contenido del módulo 3.

Fuente: Trabajo de investigación realizado Oldemar Thomas, 12 de junio de 2016.

A continuación se mostrará esta ventana.

Ilustración Nº 46. Módulo 3.

Fuente: Trabajo de investigación realizado Oldemar Thomas, 12 de junio de 2016.

Modulo Nº 3: Seguridad en Dispositivos iOS

• Objetivo del Módulo.

• Definir concepto de sistema iOS

• Definir modelos de permiso.

• Describir la seguridad del sistema y de la aplicación.

• Mencionar y sintetizar la autorización del sistema.

• Definir servicios de internet.

• Señalar las generalidades de seguridad en sistema iOS y Android.

• Señalar las herramienta de protección

• Explicar concepto de privacidad de aplicación.

• Explicar concepto de clave publica

Introducción del Modulo

Este módulo trata sobre seguridad en dispositivo iOS, los contenidos que fueron desarrollada en la misma, son temas como concepto de sistema iOS, los modelos de permiso, la privacidad, el formato de la aplicación, las autorización, los servicios de internet, las generalidad de seguridad y herramientas que se pueden utilizar para mayor seguridad del sistema y de la información que dispone el dispositivo.

El objetivo principal de este módulo es crear conciencia antes los delitos informáticos, enseñar a reconocer los riesgo, conocer las herramienta de seguridad, conocer conceptos de seguridad en el sistema, etcétera.

Definición del Módulo

Cuando nos referimos a sistema iOS, se define que es un sistema operativo desarrollado por Apple Inc, es de código cerrado, su funcionalidad es multitareas, el hardware en la que se instala es fabricado directamente por la empresa desarrolladora y no se permite instalación en hardware de terceros. Por lo tanto este sistema está enfocado a brindar servicios de alta seguridad al usuario.

Contenido del Módulo

• a. Sistema Operativo iOS

• b. Modelo de Permiso

• c. Privacidad al Nivel de Aplicación

• d. Seguridad en Sistema iOS

• e. Seguridad de las apps

• f. Formato de Aplicación iOS

• g. Autorización del Software del Sistema

• h. Servicios de Internet

• i. Generalidad de Seguridad en Sistema iOS y Android

• j. Aspecto por las Cuales existen mayor Riesgo de Vulnerabilidad en los Dispositivo Móviles

• k. Validación de app

• l. Herramienta y tipos de Amenazas en dispositivos móviles.

Sistema Operativo iOS

iOS es un sistema operativo móvil de la multinacional Apple Inc. Originalmente desarrollado para el iPhone (iPhone OS), después se ha usado en dispositivos como el iPod touch y el iPad. No permite la instalación de iOS en hardware de terceros. Tenía el 26% de cuota de mercado de sistemas operativos móviles vendidos en el último cuatrimestre de 2010, detrás de Android y Windows Phone. Actualmente su sistema operativo se encuentra en la novena versión, mejor conocida como iOS 9.

Todos los dispositivos iOS combinan software, hardware y servicios que se han diseñado para funcionar conjuntamente con el fin de proporcionar la máxima seguridad y una experiencia de usuario transparente. iOS protege el dispositivo y los datos que contiene, así como el ecosistema en su totalidad, incluidas todas las acciones que los usuarios realizan de forma local, en redes y con servicios clave de Internet. iOS y los dispositivos iOS proporcionan funciones de seguridad avanzadas y, además, son fáciles de usar. Muchas de estas funciones están activadas por omisión, por lo que los departamentos de TI no tienen que llevar a cabo demasiadas configuraciones. Además las funciones de seguridad clave, como la encriptación de los dispositivos, no se pueden configurar, de este modo, se evita que los usuarios las desactiven por error. Otras funciones, como Touch ID, mejoran la experiencia del usuario al facilitar la protección del dispositivo y hacerla más intuitiva.

TI: Significa tecnología de la información.

El diagrama de la arquitectura de seguridad de iOS proporciona una visión general de las diferentes tecnologías comentadas en este documento.

Diagrama Nº 3. Arquitectura de seguridad iOS.

Fuente: https://www.apple.com/es/business/docs/iOS_Security_Guide_es_Oct14.pdf

• Jailbreak

El jailbreak en iOS, es el proceso de saltarse las limitaciones impuestas por Apple en dispositivos que usen el sistema operativo a través del uso de kernels modificados y fue desarrollado por Jay Freeman (saurik). La primera persona en conseguirlo fue George Hotz (Geohotz). Tales dispositivos incluyen el iPhone, iPod Touch, iPad y la Apple TV de segunda generación. El jailbreak permite a los usuarios acceder al sistema de archivos del sistema operativo, permitiéndoles instalar aplicaciones adicionales, extensiones y temas que no están disponibles en la App Store oficial. Un dispositivo con jailbreak puede seguir usando la App Store, iTunes y las demás funciones normales, como por ejemplo realizar llamadas.

El jailbreak es necesario si el usuario quiere ejecutar software no autorizado por Apple. El tethered jailbreak requiere que el dispositivo esté conectado a un ordenador cada vez que se inicie el sistema, un untethered jailbreak permite al dispositivo iniciar sin ninguna asistencia adicional.

El Digital Millennium Copyright Act dictamina que hacer jailbreak a dispositivos Apple es legal en los Estados Unidos por ahora, pero Apple anunció que tal práctica invalida la garantía.

Actualmente ya está disponible el jailbreak para la versión de iOS, 8.4, con la ayuda de una herramienta para ordenador llamada "Taig"

Modelo de Permiso

• Requerido cuando primero sea necesario: El sistema operativo iOS tiene una filosofía diferente a la sistema Android, por eso que los permiso son requerido solo cuando el sistema requiere que el usuario otorgo el permiso ya que toda la gestión de análisis lo realiza el mimos sistema, debido a que todo el sistema está cifrado y las aplicaciones también. iOS tiene controlada el tema de vulnerabilidad ya que ellos implementan sus aplicaciones de manea cifrada y con los permiso de certificación validados por ellos mismo, sucedo lo contario con Android, la firma de certificación es efectuada por el mismo desarrollador, es decir es autofirmada.

• Denegar permiso en cualquier momento: El sistema iOS está cifrado esta es la razón principal por la cual siempre iOS denegara permisos a las aplicaciones que considere malicioso.

Privacidad al Nivel de Aplicación

Por defecto la privacidad lo gestiona el sistema operativo, si el usuario de iOS desea activar los servicios de localización, de cámara o de cualquier otros tipos de servicios de información el usuarios lo puede activar o desactivar si lo desea.

Ejemplo # 13.

Si el usuario desea desactivar el servicio de localización el usuario podrá realizar esta operación sin ningún inconveniente ni acudir a aplicaciones de tercero. Por lo contrario esta no sucede en Android ya que esta plataforma aún está mejorando este aspecto de seguridad.

Ilustración Nº 47. Privacidad

Fuente: Trabajo de investigación realizado Oldemar Thomas, 12 de junio de 2016.

Seguridad en Sistema iOS

• El sistema operativo iOS está cifrado y todas las aplicaciones, con el mismo certificado que proporciona iOS.

Apple es una de la empresa que ha trabajado mucho en cuanto a seguridad del sistema operativo iOS por esta razón se conoce que toda la ejecución del sistema está cifrado y esto proporciona mayor seguridad para el usuario, en este aspecto ios le lleve la delantera a Android, por consiguiente es más seguro tener una terminal con el sistema operativo ios ya que proporciona mayor confidencialidad al usuario.

• El certificado para el desarrollo de aplicaciones lo proporciona Apple, entonces los permiso y las términos de condiciones depende de Apple y no del desarrollador.

Apple resulta ser pionero en cuanto a seguridad de su sistema, Apple implementa una filosofía muy diferente a Android y esto le da resultado positivo, si detallamos como se puede subir una aplicación en Android es mucho menos tedioso pero con respecto a seguridad hay fallas en cambio Apple la publicación de sus aplicaciones son más condicionantes por partes de los términos de ellos, pero es más seguro para sus clientes.

Seguridad de las apps

Firma de código de apps: Una vez que se ha iniciado, el kernel de iOS controla los procesos y apps del usuario que se pueden ejecutar. Para garantizar que todas las apps proceden de una fuente conocida y aprobada y no se han manipulado, iOS requiere que todo el código ejecutable se firme con un certificado emitido por Apple. Las apps proporcionadas con el dispositivo, como Mail y Safari, están firmadas por Apple. Las apps de terceros también se deben validar y firmar con un certificado emitido por Apple. La firma de código obligatoria extiende el concepto de cadena de confianza del sistema operativo a las apps, e impide que aplicaciones de terceros carguen código sin firmar o utilicen código que se modifique automáticamente.

Para poder desarrollar e instalar apps en dispositivos iOS, los desarrolladores deben registrarse en Apple y unirse al programa para desarrolladores de iOS. Apple verifica la identidad real de cada desarrollador, ya sea una persona individual o una empresa, antes de emitir su certificado. Este certificado permite a los desarrolladores firmar appsy enviarlas a la tienda App Store para su distribución. Así todas las apps de App Store han sido enviadas por personas u organizaciones identificables, lo cual funciona como elemento disuasorio para la creación de apps maliciosas. Además Apple las ha revisado para garantizar que funcionan según lo esperado y que no contienen errores ni otros problemas evidentes. Este proceso de revisión, organización y distribución, que se suma a la tecnología ya comentada, da confianza a los clientes en cuanto a la calidad de las apps que compran.

Formato de Aplicación iOS

Diagrama Nº 4. Formato de aplicación iOS

Cadena de Arranque seguro.

Todos los pasos del proceso de arranque contienen componentes firmados mediante cifrado por Apple para garantizar su integridad y el avance únicamente después de haber verificado la cadena de confianza. Esto incluye los cargadores de arranque, el kernel, las extensiones del kernel y el firmware de banda base. Cuando se enciende un dispositivo iOS, el procesador de aplicaciones ejecuta inmediatamente código de la memoria de solo lectura (o ROM de arranque). Este código inmutable, que también se conoce como raíz de confianza de hardware, se establece durante la fabricación del chip y es de confianza implícitamente. El código de la ROM de arranque contiene la clave pública de la entidad emisora de certificados (CA) raíz de Apple, que se utiliza para verificar que el cargador de arranque de bajo nivel (LLB) tiene la firma de Apple antes de permitir que se cargue. Este es el primer paso de la cadena de confianza, en la que cada paso garantiza que el siguiente está firmado por Apple. Cuando el LLB termina sus tareas, verifica y ejecuta el cargador de arranque de la siguiente fase (iBoot), que a su vez verifica y ejecuta el kernel de iOS. La cadena de arranque seguro ayuda a garantizar que no se han manipulado los niveles de software inferiores y permite que iOS se ejecute únicamente en dispositivos Apple validados.

Ejemplo # 14.

En esta sección se explica con más claridad cómo funciona una un código de llave pública, en este caso María escribe un mensaje para enviarle a José, pero antes de enviar el mensaje María cifra el mensaje con la clave pública y esta a su vez envía el mensaje a José, Luego José recibe el mensaje cifrado por María, y este a su vez descifra el mensaje enviado por María mediante su clave privada, de esta manera se conserva la Integridad de la información.

Ilustración Nº 48. Clave Pública.

Fuente: Trabajo de investigación realizado Oldemar Thomas, 12 de junio de 2016.

Autorización del Software del Sistema

Apple publica periódicamente actualizaciones de software que abordan los nuevos riesgos de seguridad y ofrecen nuevas funciones. Estas actualizaciones se proporcionan, de forma simultánea, para todos los dispositivos compatibles. Los usuarios reciben notificaciones relativas a la actualización de iOS en su dispositivo y en iTunes. Las actualizaciones se proporcionan por vía inalámbrica, para así facilitar la instalación delas correcciones de seguridad más recientes.

El proceso de arranque descrito anteriormente garantiza que en un dispositivo solo se pueda instalar código firmado por Apple. Para evitar la instalación de versiones anteriores que no cuentan con las actualizaciones de seguridad más recientes, iOS utiliza un proceso conocido como autorización del software del sistema. Si fuera posible volver a una versión anterior, un atacante que se hiciera con un dispositivo podría instalar una versión más antigua de iOS para aprovechar una vulnerabilidad corregida en versiones más recientes.

• Secure Enclave.

El Secure Enclave es un coprocesador incorporado en el procesador A7 o uno posterior de la serie A de Apple. Este coprocesador utiliza un arranque seguro y unas actualizaciones de software personalizadas diferentes a los que utiliza el procesador de aplicaciones.

Proporciona todas las operaciones cifradas para la gestión de claves de protección de datos y mantiene la integridad de la protección de datos aunque la seguridad del kernel esté en peligro.

El Secure Enclave utiliza memoria encriptada e incluye un generador de números de hardware aleatorios. Su microkernel se basa en la familia L4, con alguna modificación por parte de Apple. La comunicación entre el Secure Enclave y el procesador de aplicaciones se aísla en un buzón basado en interrupciones y en búferes de datos de memoria compartida.

Durante el proceso de fabricación, se proporciona a cada Secure Enclave un identificador único (UID) propio que Apple no conoce y al que otras partes del sistema no tienen acceso. Cuando el dispositivo se enciende, se crea una clave efímera —vinculada a su UID—, que se utiliza para encriptar la parte que ocupa el Secure Enclave en el espacio de la memoria del dispositivo

• Touch ID.

Touch ID es el sistema de detección de huellas digitales que hace posible un acceso seguro, más rápido y sencillo al dispositivo. Esta tecnología lee los datos de huella digital desde cualquier ángulo y almacena continuamente más información sobre la huella del usuario, ya que el sensor amplía el mapa de huella digital en cada uso al identificar nuevos nodos superpuestos.

Gracias a Touch ID, los usuarios no tienen que introducir el código muy a menudo, por lo que pueden utilizar uno más largo y complejo. Además Touch ID evita la incomodidad del bloqueo basado en código al proporcionar acceso seguro al dispositivo en poco tiempo y con restricciones específicas, aunque no lo reemplaza.

• Touch ID y códigos

Para utilizar Touch ID, los usuarios deben configurar su dispositivo, de modo que se requiera un código para desbloquearlo. Cuando Touch ID escanea y reconoce una huella digital registrada, el dispositivo se desbloquea sin solicitar el código. El código se puede utilizar en vez de Touch ID en cualquier circunstancia, y es obligatorio en los casos siguientes:

• Cuando el dispositivo se acaba de encender o reiniciar.

• Cuando el dispositivo no se ha desbloqueado en las últimas 48 horas.

• Cuando el dispositivo ha recibido un comando de bloqueo remoto.

• Cuando, tras cinco intentos, no se ha reconocido una huella digital.

• Cuando se configura Touch ID o se registran nuevas huellas digitales.

Si Touch ID está activado, el dispositivo se bloquea de inmediato al pulsar el botón de activación/reposo. Muchos de los usuarios que solo utilizan el código como sistema de seguridad establecen un periodo de gracia de desbloqueo para no tener que introducir el código cada vez que quieran utilizar el dispositivo. Si se utiliza Touch ID, el dispositivo se bloquea cada vez que entra en reposo y siempre se requiere la huella (o el código) para activarlo.

Touch ID se puede configurar para que reconozca un máximo de cinco huellas digitales.

Si solo se registra una huella, la posibilidad de una coincidencia aleatoria con otra persona es de 1 entre 50.000. No obstante, Touch ID solo permite cinco intentos fallidos de acceder con huella digital y después será necesario introducir el código para obtener acceso.

• Encriptación y protección de Datos.

El contenido de un archivo se encripta con una clave por archivo, que se encapsula con una clave de clase y se almacena en los metadatos del archivo, que a su vez se encripta con la clave del sistema de archivos. La clave de clase se protege con el UID de hardware y, en el caso de algunas clases, con el código del usuario. Esta jerarquía proporciona flexibilidad y rendimiento. Por ejemplo, para cambiar la clase de un archivo, basta con volver a encapsular su clave por archivo y un cambio del código volverá a encapsular la clave de clase.

Diagrama Nº 5. Encriptación y protección de datos.

Fuente: Trabajo de investigación realizado Oldemar Thomas, Junio, 12 de junio de 2016.

Servicios de Internet

Apple ha creado un robusto conjunto de servicios para ayudar a los usuarios a aprovechar todavía más la utilidad y productividad de sus dispositivos. Estos servicios incluyen

iMessage, FaceTime, Siri, sugerencias de Spotlight, iCloud, copia de seguridad de iCloud y llavero de iCloud.

Estos servicios de Internet se han diseñado con los mismos objetivos de seguridad que iOS promueve en toda su plataforma. Dichos objetivos incluyen la gestión segura de datos, tanto si no se están utilizando en el dispositivo como si se están transfiriendo por redes inalámbricas; la protección de la información personal de los usuarios; y la protección frente al acceso malintencionado o no autorizado a la información y los servicios. Cada servicio utiliza su propia arquitectura de seguridad sin comprometer la facilidad de uso global de iOS.

• ID de Apple

El ID de Apple está constituido por el nombre y la contraseña del usuario necesarios para iniciar sesión en servicios de Apple tales como iCloud, iMessage, FaceTime, iTunes Store, iBooks Store y App Store entre otros. Es importante que el usuario proteja su ID de Apple para evitar que se produzca un acceso no autorizado a sus cuentas. Con el fin de ayudarle a conseguirlo, Apple exige el uso de contraseñas seguras compuestas de, al menos, ocho caracteres que combinen números y letras, que no contengan el mismo carácter repetido más de tres veces de forma consecutiva y que no sean de uso común.

Se recomienda a los usuarios que aumenten el grado de protección indicado añadiendo más caracteres o signos de puntuación para que sus contraseñas resulten aún más seguras. Apple también envía mensajes de correo electrónico y notificaciones push a los usuarios cuando se producen cambios importantes en sus cuentas. Por ejemplo, si se ha modificado una contraseña o la información de facturación, o bien si el ID de

Apple se ha utilizado para iniciar sesión en un dispositivo nuevo. Si los usuarios detectan algo que no les resulta familiar, deben cambiar la contraseña de su ID de Apple inmediatamente

Generalidad de seguridad en sistema iOS y Android

• Recomendaciones generales de seguridad.

• Evitar aplicaciones que no son de Markets Oficiales.

• No Aceptar mensajes o archivos vía bluetooth por parte de desconocido

• No Instalar aplicaciones sin haber verificado su procedencia específicamente, si no están firmado.

• En caso de hacer jailbreak a ti iPHONE cambia la contraseña de superusuario.

Partes: 1, 2, 3