Nova plataforma de segurança Knox da Samsung está completamente comprometida

A Samsung acaba de embarcar a plataforma Knox nos smarphones Galaxy, phablets e tablets de alta tecnologia baseados no sistema Android, visando realizar vendas para clientes corporativos e governamentais – que têm necessidades sensíveis de segurança – em uma tentativa de tirar a posição de liderança da Apple em vendas coorporativas.

A aprovação do governo americano

Há poucos dias, a Samsung anunciou que o governo americano havia aprovado uma série de novos dispositivos "para uso em redes e dados governamentais classificados como confidenciais. Todos os dispositivos incorporam recursos de segurança com o suporte da plataforma Knox da Samsung" e foram adicionados à lista de componentes do “Programa de Soluções Comerciais para Informações Classificadas" (CSfC) do governo americano.

O presidente-executivo da empresa, JK Shin, afirmou em um comunicado de imprensa que "a inclusão de dispositivos móveis da Samsung na lista CSfC comprova que a segurança dos dispositivos Samsung Galaxy suportados pela plataforma Knox é incomparável".

Jacob Kleinman, do site TechnoBuffalo, afirmou que "parece que o trabalho duro da Samsung para desenvolver seu software de segurança Knox está valendo a pena", enquanto Jennifer Baker, do site inglês

The Register

Muito longe de ser o Fort Knox

Depois do anúncio da Samsung, um pesquisador de área de softwares publicou resultados que mostram que a segurança do aplicativo Knox da Samsung passa ao largo do Fort Knox, inspiração para seu nome.

Segundo o artigo publicado, o aplicativo Knox estabelece um local de armazenamento que contém o Knox, com a sua própria tela inicial, para o lançamento de aplicações seguras – que não se misturam com os próprios apps e dados particulares do usuário. Este projeto tenta contornar o design de projeto aberto do Android, que não tem segurança eficaz para os aplicativos, parecendo-se muito com um dispositivo iOS que foi desbloqueado.

No entanto, os usuários do Samsung Knox fazem o login no aplicativo Knox usando uma senha e um PIN, que são escritos em um arquivo "pin.xml" em texto simples, disponível para qualquer pessoa que veja o sistema de arquivos. O usuário (ou qualquer outra pessoa que leia o PIN em texto puro) pode digitar o PIN para ganhar uma dica de "esqueci a senha".

Como a pesquisa descreve, ao entrar com o PIN, "o aplicativo Knox irá lhe mostrar uma pequena dica de senha – o primeiro e o último caractere da sua senha (!), além do comprimento original da senha".

Esta arquitetura de segurança de senhas no estilo "jogo da forca" não abrange toda a extensão do problema.

"É bastante óbvio que o Knox da Samsung vai armazenar sua senha em algum lugar do dispositivo", o pesquisador observou, detalhando ainda que na pasta “/data/system/container” existe um arquivo chamado “containerpassword_1.key”, que armazena a chave de criptografia do usuário.

A segurança da plataforma Knox está “completamente comprometida”

A pesquisa analisou a plataforma Knox da Samsung mais detalhadamente, para descobrir "exatamente como a criptografia das senhas funciona e de onde vem a chave para a criptografia".

O artigo observou que a "Samsung faz uso de pré-otimização de dex para retirar todos os arquivos “classes.dex” (o código Java é armazenado em um arquivo chamado “classes.dex” e este arquivo é analisado pela máquina virtual Dalvik JVM) nos APKs (Android Application Package) do Knox, tornando assim a engenharia reversa um pouco mais difícil.

Para obter os códigos binários é preciso procurar em “/system/app/” e encontrar os arquivos “.odex” (um odex é basicamente uma versão pré-processada de um “classes.dex” de um aplicativo, que é o arquivo pronto para a execução do Dalvik). Os arquivos odex podem ser convertidos novamente em código smali, o qual pode então ser convertido de volta para um arquivo dex. Finalmente, um arquivo dex pode ser convertido em um arquivo jar, o qual pode ser descompilado por qualquer Descompilador Java.

"A Samsung não fez qualquer uso de ofuscação de código, mas realmente tentou esconder o código de armazenamento de senha dentro de centenas de classes em Java, heranças e proxies".

O que o pesquisador finalmente descobriu foi que o Knox simplesmente usa o ID do dispositivo Android, um número de série que qualquer aplicativo pode solicitar ao sistema, em conjunto com uma string altamente codificada e os mistura para gerar a chave de criptografia. "Eu esperava uma abordagem diferente de um produto batizado de Knox", revelou ele.

Ele lembra ainda que "o fato de eles persistirem no uso da chave apenas para a funcionalidade de dica de senha compromete a segurança do produto completamente. Para um produto desse tipo, a senha nunca deveria ser armazenada no dispositivo". Para concluir, ele recomenda: "Em vez de Samsung Knox, use a função built-in de criptografia do Android e criptografe todo o dispositivo".

Felizmente, poucos usam o Knox

A Samsung revelou o Knox pela primeira vez no início de 2013 como parte de um esforço para adicionar "melhorias de segurança e de gestão fundamentais" para “resolver as deficiências da atual plataforma de código aberto Android".

Antes mesmo do Knox ser disponibilizado, a Samsung começou imediatamente a anunciá-lo como parte de sua iniciativa SAFE (abreviação de "Samsung para Empresas"), por meio de cartazes que mostravam dispositivos Samsung rodando modelos de apresentação de negócios e softwares de gerenciamento de projetos que, na realidade, não existem.

Pouco depois do Knox ser apresentado pela primeira vez no Galaxy Note 3, no ano passado, Mordechai Guri, um pesquisador do Cyber Security Lab da Universidade Ben-Gurion descreveu uma vulnerabilidade que "permitiria que um hacker interceptasse facilmente dados seguros de um usuário de um smartphone Galaxy habilitado com o Knox".

Na pior hipótese, Guri afirmou que um hacker poderia alterar dados e até mesmo inserir códigos hostis que poderiam rodar livremente dentro da rede protegida.

Seis meses depois, o Wall Street Journaldescreveu o problema como "uma possível falha de segurança" e relatou que a Samsung tinha "esclarecido" que a questão “não atinge especificamente apenas os dispositivos Samsung".

Em maio deste ano, no entanto, Rhee In-jong, executivo da Samsung, citado em outro artigo do Wall Street Journal – que procurava desviar a atenção do sensor sensível ao toque de identificação de impressão digital da Apple falando sobre planos de vaporware para biometria de escaneamento de íris – disse que, dos 87 milhões de dispositivos que têm o Knox embarcado, apenas 1,8 milhão estava realmente utilizando a plataforma: cerca de somente 2 por cento.

Android 5.0 Lollipop recebe o Knox

Em junho, o chefe de desenvolvimento de Android na Google, Sundar Pichai, anunciou planos para o Android 5.0 Lollipop, com uma camada de segurança específica para usuários corporativos fornecida pela "contribuição" da Samsung com seu Knox.

O casamento forçado de Lollipop e Knox denotava ser um compromisso entre Google e Samsung, que, de acordo com um relatório do site

The Information

Pichai estaria "preparado para proibir" a Samsung de usar o sistema operacional Android, ostensivamente aberto, a menos que se alinhasse aos requisitos do Google. Essa demanda faz sentido, dados os anúncios do Google de uma segunda tentativa de apresentar a sua própria interface de usuário consistente para Android, uma iniciativa inspirada na web chamada de "Projeto de Materiais".

O impasse também explica por que a Samsung poderia estar fortemente inclinada a "contribuir" com o Knox, até então uma plataforma significativamente diferencial que tornou possível vendas de produtos da Samsung ao governo e a usuários corporativos, enquanto outros fornecedores de Android foram praticamente excluídos da empresa por completo – como foi aludido por Ryan Reith, Diretor de Pesquisa de Mobilidade do IDC (International Data Corporation), em seu Twitter.

Depois que o Google introduziu o Knox como sua solução para proteger o Android, em junho, a Bluebox Security detalhou novas falhas graves no próprio Android, vinculadas ao fato de que o sistema operacional simplesmente não conseguiu verificar as assinaturas criptográficas dos aplicativos, essencialmente permitindo que qualquer app – mesmo um que não possuísse nenhuma permissão especial de acesso – se passasse por um confiável e ganhesse amplo controle sobre os aplicativos e os dados do usuário.

A vulnerabilidade de “Fake ID” (Identidade falsa) pode explorar a webview do Android, infectando uma grande variedade de aplicativos de terceiros que a incorporam, bem como também pode visar softwares confiáveis do Google, incluindo seu aplicativo NFC Wallet – largamente instalado em vários dispositivos – ou restos deixados pela ferramenta de gerenciamento de dispositivo 3LM – que aparece em uma ampla variedade de celulares com Android da HTC, Pantech, Sharp, SonyEricsson, e Motorola.

A maioria dos dispositivos Android que compõem a plataforma de "80 por cento de participação" em smartphones em todo o mundo ainda não foi atualizada para corrigir a falha de “Fake ID”. Além disso, enquanto o Google tem feito esforços para varrer os aplicativos Google Play à procura de códigos maliciosos, uma variedade de lojas de aplicativos que operam no exterior – inclusive na China, onde o Google mantém pouco controle sobre Android – não tem seguido este caminho.

No início deste ano, Pichai delineou uma abordagem muito diferente para segurança no Android, afirmando que "nós não podemos garantir que o Android tenha sido projetado para ser seguro, seu formato foi projetado para dar mais liberdade. Quando se fala que cerca de 90% dos programas maliciosos são feitos para Android, deve-se, naturalmente, levar em conta o fato de que este é o sistema operacional mais usado no mundo. Se eu tivesse uma empresa dedicada à malware, eu também enviaria os meus ataques para o Android. "

Apple aproveita e diz que o seu iOS é seguro

Em um documento institucional detalhando a segurança do iOS (incluindo o Touch ID e a arquitetura de segurança chamada Enclave) dos seus mais recentes processadores de aplicativos de 64 bits, a Apple afirmou: "Quando nos propusemos a criar o melhor sistema operacional móvel possível, nós nos baseamos em décadas de experiência para construir uma arquitetura totalmente nova. Pensamos sobre os riscos de segurança do ambiente de trabalho e estabelecemos uma nova abordagem para a segurança no projeto do iOS. Desenvolvemos e incorporamos características inovadoras que reforçam a segurança móvel e protegem todo o sistema por padrão. Como resultado, o iOS é um grande salto à frente para a segurança do sistema operacional".