Existe una nueva forma de ataque a los teléfonos Android e iOS que puede robar claves criptográficas y exponer las transacciones financieras que utilizan Bitcoin y los sistemas de pago móvil a ataques.
El exploit, demostrado por un grupo de investigadores de seguridad de la Universidad de Tel Aviv, Technion y la Universidad de Adelaide, afecta a un sistema criptográfico llamado Elliptic Curve Digital Signature Algorithm, que está diseñado para acelerar los procesos criptográficos.
El ataque de canal lateral se puede llevar a cabo simplemente midiendo las emanaciones electromagnéticas provenientes de operaciones criptográficas utilizando una sonda colocada cerca de un dispositivo móvil o un simple adaptador conectado al cable de carga USB. Este proceso funciona para extraer las claves criptográficas de las transacciones financieras en curso.
Según los investigadores, el exploit les permitió obtener las claves de firma secretas de OpenSSL y CoreBitcoin que operan en dispositivos iOS. El exploit se probó en un teléfono Sony-Ericsson Xperia x10 que ejecuta Android, aunque los investigadores no pasaron por la etapa de extracción de claves secretas. Pero tienen una fuerte convicción de que el ataque conceptual podría ser realizado por piratas informáticos tarde o temprano. Es solo cuestión de tiempo antes de que veamos que los dispositivos Android e iOS son víctimas de este tipo de ataque.
La vulnerabilidad parece afectar a versiones pasadas del sistema operativo iOS entre las iteraciones 7.1.2 y 8.3, que no tienen un mecanismo de defensa contra ataques de canal lateral a diferencia de la versión 9.x.
Pero eso no significa que los usuarios de las últimas versiones de iOS estén exentos de ataques que podrían inspirarse en este exploit. Aún pueden ser víctimas de ataques de canal lateral si usan aplicaciones susceptibles como CoreBitcoin para iOS, una aplicación que funciona para asegurar Bitcoins en iPhones y iPads. La aplicación no usa la biblioteca CommonCrypto de iOS, sino que implementa su propio protocolo criptográfico, lo que la hace vulnerable a ataques destinados a robar claves criptográficas.
Para que se lleve a cabo el ataque, un atacante debe poseer un cable o sonda y mantenerlo cerca de un dispositivo móvil que realiza operaciones criptográficas para que se extraiga una cantidad suficiente de firmas del algoritmo de firma digital de curva elíptica. Como este es un requisito principal para el ataque, el exploit podría parecer poco práctico para los piratas informáticos, especialmente si el propietario del dispositivo nota algún cable USB conectado a su dispositivo o una sonda colocada cerca de él.
Sin embargo, existe la posibilidad de que el ataque de este tipo aún pueda llevarse a cabo de forma furtiva a través de una variedad de disfraces. Por un lado, las sondas pueden funcionar incluso cuando están ocultas a la vista.
