An´alisis de Vulne abilidades en Aplicaciones de
Ras eo de Co id-19 basadas en el P o ocolo
DP3T
Vulne abili ies Analysis in COVID-19 T acking
Applica ions based on he DP3T P o ocol
TRABAJO FIN DE GRADO
GRADO EN INGENIER´
IA DE COMPUTADORES
CURSO 2020–2021
Alonso Ma ´ın Zu do
Pablo Izquie do Ga bajosa
Di ec o es
F ancisco Ja ie C espo Y´a˜nez
Luis Ja ie Ga c´ıa Villalba
Depa amen o de Sis emas In o m´a icos y Compu aci´on
Facul ad de In o m´a ica
Uni e sidad Complu ense de Mad id
Mad id, Junio de 2021
´
Indice Gene al
´
Indice de Figu as VII
´
Indice de Tablas IX
Lis a de Ac ´
onimos XI
Abs ac XIII
Resumen XV
1. In oducci´
on 1
1.1. Mo i aci´on .................................... 1
1.2. Obje i os ..................................... 1
1.3. Plan de T abajo ................................. 2
1.4. Es uc u a del T abajo .............................. 4
2. Aplicaciones de Ras eo de Con ac os 5
2.1. O igen ....................................... 5
2.2. Tipos de Aplicaciones de Ras eo ........................ 6
2.3. Modelos Descen alizados ............................ 6
2.4. Modelos Cen alizados .............................. 7
2.5. Tipos de Ad e sa ios ............................... 8
3. P o ocolo de Ras eo de P oximidad Descen alizado pa a P ese a la
P i acidad 11
3.1. Funcionamien o de DP-3T ............................ 11
3.1.1. Ras eo de P oximidad Descen alizado de Bajo Consumo ...... 12
3.1.2. Ra eo de P oximidad Descen alizado no Vinculable ......... 12
3.1.3. Ras eo de P oximidad Descen alizado H´ıb ido ............ 13
3.2. Riesgos de P i acidad y Segu idad ....................... 13
3.2.1. An´alisis de P i acidad .......................... 13
3.2.1.1. P i acidad del Dise˜no de Bajo Consumo ........... 14
3.2.1.2. P i acidad del Dise˜no no Vinculable ............. 14
iii
i ´
INDICE GENERAL
3.2.1.3. P i acidad del Dise˜no H´ıb ido ................ 15
3.2.2. An´alisis de Segu idad .......................... 16
3.2.2.1. Segu idad del Dise˜no de Bajo Consumo ........... 16
3.2.2.2. Segu idad del Dise˜no no Vinculable ............. 16
3.2.2.3. Segu idad del Dise˜no H´ıb ido ................. 17
3.2.3. P i acidad en Modelos Cen alizados s Descen alizados ...... 17
3.2.4. Segu idad en Modelos Cen alizados s Modelo Descen alizados . . 18
4. T´
ecnicas de An´
alisis de Vulne abilidades 19
4.1. P ueba de Pene aci´on .............................. 19
4.1.1. Fases .................................... 19
4.2. Tipos de P uebas ................................. 20
4.3. Es ´anda es .................................... 21
4.3.1. Sis ema de Pun uaci´on de Vulne abilidades Comunes ......... 22
4.3.2. Es ´anda es de Ve i icaci´on de Segu idad en Aplicaciones M´o iles del
P oyec o Abie o de Segu idad de Aplicaciones Web ......... 29
4.3.3. Enume aci´on de Debilidades Comunes ................. 31
5. T abajos elacionados 33
6. An´
alisis de Vulne abilidades en Aplicaciones Eu opeas de Ras eo de
Co id-19 basadas en el P o ocolo DP3T 39
6.1. P epa aci´on del labo a o io de abajo ..................... 39
6.2. Aplicaciones .................................... 41
6.3. An´alisis de Resul ados .............................. 41
6.3.1. An´alisis Gene al ............................. 42
6.3.2. An´alisis de Pe misos ........................... 42
6.3.3. An´alisis de C´odigo ............................ 47
7. Con ibuciones Indi iduales 51
7.1. Pablo Izquie do Ga bajosa ............................ 51
7.2. Alonso Ma ´ın Zu do ............................... 53
8. Conclusiones y T abajo Fu u o 57
8.1. Conclusiones ................................... 57
8.2. T abajo Fu u o .................................. 58
9. In oduc ion 61
9.1. Mo i a ion .................................... 61
9.2. Objec i es ..................................... 61
9.3. Wo kplan ..................................... 62
9.4. S uc u e O This Pape ............................. 64
´
INDICE GENERAL
10.Conclusions and Fu u e Wo ks 65
10.1. Conclusions .................................... 65
10.2. Fu u e Wo ks ................................... 66
Bibliog a ´
ıa 67

´
Indice de Figu as
1.1. Diag ama de Gan ................................ 3
2.1. Ras eo de p oximidad pa a dise˜nos cen alizados PEPP-PT-NTK y
OpenT ace. .................................... 8
3.1. P oceso de as eo de p oximidad ........................ 12
4.1. Fases del An´alisis de Pene aci´on ........................ 20
4.2. Diag ama de uncionamien o de los es de caja neg a y de caja blanca . . . 21
4.3. Uso de m´e icas pa a el c´alculo del alo CVSS ................ 22
4.4. ´
A bol de decisi´on pa a calcula en alo CVSS Final ............. 27
4.5. Con oles de segu idad MASVS ......................... 31
5.1. (a) A aque de consumo de ene g´ıa. (b) A aque de consumo de almacenamien o. 33
5.2. (a) A aque de e ansmisi´on. (b) A aque de epe ici´on. ............ 34
5.3. A aque de olling. ................................ 34
6.1. Emulado Genymo ion .............................. 40
6.2. In e az de la he amien a MobSF. ....................... 40
6.3. Tipos de pe misos po aplicaci´on ........................ 46
6.4. N´ume o de p oblemas de c´odigo po aplicaci´on ................ 49
9.1. Gan Diag am .................................. 63
ii
´
Indice de Tablas
1.1. Ta eas Realizadas a lo la go del P oyec o ................... 2
4.1. Desc ipci´on de los g upos de m´e icas de CVSS V2 .............. 23
4.2. M´e icas del g upo Base ............................. 24
4.3. M´e icas del g upo Tempo al .......................... 25
4.4. M´e icas del g upo de En o no ......................... 25
4.5. Valo de las m´e icas de En o no ........................ 27
4.6. Valo de las m´e icas Base ............................ 28
4.7. Valo de las m´e icas de En o no ........................ 28
4.8. Vulne abilidades m´as impo an es de CWE .................. 31
5.1. P incipales ca ac e ´ıs icas de los amewo ks de as eo de con ac os. . . . . 36
5.2. Tabla de las 28 aplicaciones analizadas. .................... 37
6.1. Aplicaciones analizadas ............................. 41
6.2. Pun uaciones de MobSF ............................. 44
6.3. Pe misos de las aplicaciones de la Tabla 6.1 .................. 45
6.4. P oblemas de c´odigo de ec ados en las aplicaciones po MobSF ....... 48
6.5. Aplicaciones con los p oblemas de c´odigo de la Tabla 6.4 ........... 50
9.1. Tasks Pe o med h oughou he P ojec .................... 62
ix

Cap´ı ulo 1
In oducci´on
1.1. Mo i aci´on
Debido a la pandemia mundial p o ocada po el COVID-19 a p incipios de 2020, imos
como el n´ume o de pe sonas con agiadas po es e i us c ec´ıa a una elocidad muy al a,
causando la sa u aci´on de los hospi ales, muchos allecimien os y lle ando a muchos pa´ıses
a impone un con inamien o domicilia io du an e meses.
Pa a con ola los con agios y ac ua de mane a ´apida an e un caso de una pe sona
con agiada po el i us y e i a su expansi´on, su ge un abajo cla e que es el as eado ,
que es una pe sona que se dedica a in es iga los con ac os ce canos que ha enido una
pe sona que ha dado posi i o en COVID-19 pa a a isa les y que hagan una cua en ena
domicilia ia y se ealicen las p uebas co espondien es.
Debido a la ´apida expansi´on del i us, el as eo manual se uel e un abajo muy
a duo e imposible de consegui , po lo que deja de se e ec i o, ya que, po ejemplo, si
una pe sona con agiada ha es ado usando el anspo e p´ublico es imposible con ac a con
odas esas pe sonas con las que ha compa ido ag´on. Po es e mo i o su ge la idea de
c ea una aplicaci´on m´o il pa a hace un as eo digi al de con ac o m´as e ec i o.
Pe o con el as eo median e una aplicaci´on m´o il, su ge, en las pe sonas, la
p eocupaci´on y el emo de que con es e sis ema se iole su p i acidad e in imidad y
sus da os queden expues os a posibles hacke s, p o ocando que los usua ios no hagan uso
del sis ema y con ello se pie da la e ec i idad del as eo de con ac os.
1.2. Obje i os
El obje i o de es e abajo es analiza que ipo de ulne abilidades pueden ene las
aplicaciones m´o iles pa a el as eo de con ac os que se basan en el p o ocolo DP-3T.
Pa a ello se hace uso de una he amien a de an´alisis au om´a ico de ulne abilidades pa a
aplicaciones m´o iles, con la que se hace un an´alisis es ´a ico y din´amico de las aplicaciones
que nos ayuda ´a a comp oba los di e en es ipos de ulne abilidades que pueden ene
1
2Cap
´
ı ulo 1. In oducci´
on
dichas aplicaciones y si se pone en iesgo la segu idad y p i acidad de los usua ios que las
usan.
1.3. Plan de T abajo
En la Tabla 1.1 se esumen las a eas ealizadas a lo la go del desa ollo del p oyec o.
Adicionalmen e, se adjun a en la Figu a 1.1 un diag ama de Gan que ilus a las a eas
y su empo alidad.
Iden i icado Ta ea
1 In es igaci´on
1.1 Lec u a e In es igaci´on de a ´ıculos acad´emicos
2 Documen aci´on
2.1 Busqueda de in o maci´on sob e el p o ocolo DP-3T
2.2 Busqueda de in o maci´on sob e el an´alisis de pene aci´on y dis in as he amien as
3 Busqueda del en ono de abajo
3.1 P ueba de dis in as he amien as
3.2 Con igu aci´on del en o no de abajo inal
4 Expe imen aci´on
4.1 Ob enci´on de APK de las aplicaciones
4.2 An´alisis es ´a ico
4.3 An´alisis de los esul ados
5 Memo ia
5.1 Ano aciones, ci as y ecopilaci´on de a ´ıculos
5.2 Redacci´on de la memo ia
Tabla 1.1: Ta eas Realizadas a lo la go del P oyec o
1.3. Plan de T abajo 3
Figu a 1.1: Diag ama de Gan
4Cap
´
ı ulo 1. In oducci´
on
1.4. Es uc u a del T abajo
El es o del abajo es ´a o ganizado en sie e cap´ı ulos con la es uc u a que se comen a
a con inuaci´on:
El Cap´ı ulo 2con ex ualiza e in oduce b e emen e los o ´ıgenes, concep os y bases
e´o icas de las aplicaciones de as eo de con ac os de mane a gene al.
En el Cap´ı ulo 3se habla m´as en de alle del p o ocolo de as eo de p oximidad
descen alizado. Se desc iben sus ipos y su uncionamien o adem´as de analiza y compa a
su p i acidad y segu idad en e los dis in os modelos que exis en.
En el Cap´ı ulo 4con ex ualiza al uncionamien o de las he amien as de an´alisis de
ulne abilidades. Se epasan los dis in os ipos y se explican en de alle los es ´anda es que
usa la he amien a u ilizada pa a hace el an´alisis de las aplicaciones.
El Cap´ı ulo 5p esen a dis in os abajos elacionados con es e, explicando los
esul ados que se ob u ie on.
En el Cap´ı ulo 6se de allan los esul ados de los an´alisis ealizados a las dis in as
aplicaciones eu opeas y como es ´a con igu ado el labo a o io de an´alisis.
El Cap´ı ulo 7 esume las apo aciones indi iduales de cada in eg an e del equipo de
abajo.
El Cap´ı ulo 8concluye es e abajo: esumiendo b e emen e la expe iencia del p oyec o
y analizando los esul ados de los an´alisis. Se p esen a el abajo u u o y las posibles l´ıneas
de in es igaci´on.
Los Cap´ı ulos 9y10 son aducciones al ingl´es de los Cap´ı ulos 1y8, espec i amen e.
Cap´ı ulo 2
Aplicaciones de Ras eo de
Con ac os
El as eo de con ac os es uno de los m´e odos u ilizados pa a con ene una epidemia
m´edica. Al as ea a los humanos expues os a una pe sona in ec ada, se puede educi
la p opagaci´on de in ecciones si esas pe sonas po encialmen e in ec adas pueden aisla se
de la poblaci´on es an e. Adem´as, el as eo de con ac os ayuda a as ea las ´a eas que
es ´an expues as a una in ecci´on [HWMF21]. A a´ız del b o e pand´emico de la COVID-19
su gie on di e en es en oques que p esen aban soluciones ecnol´ogicas pa a mejo a la
de ecci´on y as eo emp ano de posibles b o es de COVID-19. Sob e ´es as ecnolog´ıas
su gie on muchas dudas sob e la segu idad y la p i acidad de los usua ios. Es o ab i´o un
deba e sob e el ipo de modelo a segui , po una pa e un modelo cen alizado y po o a
pa e un modelo descen alizado. En la Secci´on 2.1 se habla del o igen de las aplicaciones
de as eo de con ac o, en la Secci´on 2.2 se desc ibe el obje i o y los ipos de aplicaciones de
as eo de con ac os, las ca ac e ´ıs icas de los modelos descen alizados de las aplicaciones
de as eo de con ac os se desc ibe en la Secci´on 2.3, las ca ac e ´ıs icas de los modelos
cen alizados se desc iben en la Secci´on 2.4. Finalmen e, en la Secci´on 2.5, se p esen an
los p incipales ipos de ad e sa ios que se pueden encon a .
2.1. O igen
La pandemia de la COVID-19 se ha ex endido muy ´apidamen e. Muy pocos pa´ıses han
log ado man ene lo bien con olado, pe o una de las p incipales he amien as que u ilizan
a ios de es os pa´ıses es el as eo de con ac os. Espec´ı icamen e, siemp e que una pe sona
es diagnos icada de COVID-19, cada pe sona que es u o en con ac o con esa pe sona
in ec ada es a isada y se le dice que se ponga en cua en ena. Al p incipio el as eo de
con ac os pod´ıa hace se manualmen e, pe o con miles de casos el as eo de con ac os
manual se uel e mucho m´as di ´ıcil [CIY20]. A a´ız de es a di icul ad, los gobie nos de
los pa´ıses, pa a ayuda a las au o idades sani a ias nacionales, decidie on implemen a
5

6Cap
´
ı ulo 2. Aplicaciones de Ras eo de Con ac os
aplicaciones m´o iles de as eo de con ac os pa a au oma iza y acili a la labo de as ea
a las pe sonas que hayan es ado en con ac o con una pe sona con agiada.
2.2. Tipos de Aplicaciones de Ras eo
El p incipal obje i o de es e ipo de aplicaciones es de ec a lo an es posible nue as
uen es po enciales de in ecci´on, de modo que la p opagaci´on de COVID-19 pueda
mi iga se ´apidamen e. Has a aho a se pueden encon a dos ipos de aplicaciones m´o iles
[MKHR+20].
Aplicaci´
on de seguimien o de con ac os: Se basa en los ma cos de as eo
de con ac os digi ales descen alizados y cen alizados que se basan en ecnolog´ıa
inal´amb ica de p oximidad como Blue oo h Low Ene gy (BLE). Cuando dos usua ios
es ´an ´ısicamen e ce ca, los sma phones se en ´ıan su iden idad en ´e minos
de Ephime al Iden i ie (EphID) en e s´ı. Cada sma phone egis a odos sus
encuen os que ocu ie on den o de un pe ´ıodo de iempo.
Aplicaci´
on pa a compa i ubicaci´
on: Se basa en la in o maci´on de
posicionamien o del sma phone, es deci , median e as eo GPS o mapeo de o es
de ele on´ıa m´o il. Pa a una aplicaci´on de es e ipo, el usua io debe acep a que su
sma phone en ´ıe de o ma egula su posici´on a un se ido cen al, que puede
asigna , du an e un pe ´ıodo de iempo ilimi ado, a cada usua io. Si un usua io
in o ma una in ecci´on po COVID-19, en onces se ad ie e de la si uaci´on a odos
los usua ios que es u ie on ce ca del usua io in ec ado.
2.3. Modelos Descen alizados
Ac ualmen e el deba e sob e los sis emas de as eo de con ac os se cen a en soluciones
basadas en ecnolog´ıa Blue oo h. En odos los sis emas, la aplicaci´on emi e ecuen emen e
un EphID, al mismo iempo, la aplicaci´on ecopila los EphID que ecibe de la aplicaci´on
de o os usua ios ce canos, ges ionando dos lis as de iden i icado es, los en iados y los
ecibidos. Los iden i icado es se almacenan indicando cu´ando se en ia on y ecibie on, con
bas an e ecuencia, los iden i icado es an iguos son eliminados de las lis as [Vau20].
En los modelos descen alizados odo se gene a localmen e en el sma phone del
usua io. Cuando un usua io es diagnos icado, ecibe de la au o idad sani a ia un oken
que le pe mi e ca ga in o maci´on en un backend cen al. Es a ope aci´on equie e su
consen imien o y el usua io puede ene un con ol sob e qu´e ca ga [Vau20]. Algunos
de los m´e odos descen alizados son:
P i a e Au oma ed Con ac T acing (PACT)(MIT):PACT es una
colabo aci´on lide ada po el Labo a o io de Ciencias de la Compu aci´on e In eligencia
2.4. Modelos Cen alizados 7
A i icial del MIT. Es un en oque simple y descen alizado pa a el uso de disposi i os
de comunicaci´on digi al pe sonal pa a la au oma izaci´on de la de ecci´on de exposici´on
median e la se˜nalizaci´on BLE [RWI+20].
Tempo a y Con ac Numbe s (TCN) Coali ion: Es una comunidad global de
ecn´ologos unidos po la misi´on de apoya aplicaciones de no i icaci´on de exposici´on
du an e la pandemia de COVID-19 [JD20].
DP-3T: Es e sis ema p opo ciona una base ecnol´ogica pa a ayuda a ena la
p opagaci´on del COVID-19 simpli icando y acele ando el p oceso de no i icaci´on de
pe sonas que pod ´ıan habe es ado expues as al i us pa a que puedan oma las
medidas pa a ompe su cadena de ansmisi´on [TPH+20]. Es e p o ocolo se de alla
m´as ampliamen e en el cap´ı ulo 3.
OpenCo idT ace: Su obje i o es in eg a los p o ocolos de as eo de con ac os
m´as popula es basados en BLE y p opo ciona unciones adicionales adem´as de ellos.
Tales p o ocolos incluyen DP-3T, Google/Apple, Exposu e No i ica ion y BlueT ace.
Sigue las especi icaciones DP-3T o iginales [MKHR+20].
Whispe T acing: Las iden i icaciones empo ales se gene an pe i´odicamen e en
el sma phone del usua io y se in e cambia con sma phones ce canos a a ´es de
BLE. Cuando un usua io es ´a in ec ado, la aplicaci´on ca ga a un se ido cen al
las semillas que se u iliza on pa a p oduci los Iden i icado (ID) empo ales de las
´ul imas dos semanas.
2.4. Modelos Cen alizados
Al con a io que en el modelo descen alizado, es el se ido cen al el que es ima la
p obabilidad de exposici´on, en luga de se el sma phone localmen e. Es el se ido el que
no i ica a los usua ios del iesgo o ´es os consul an el se ido sob e su es ado. El se ido
cen al iene un pseudo-iden i icado a la go plazo pa a cada usua io y lo usa pa a de i a
los EphID que se en ´ıan a los sma phones. En caso de un diagn´os ico posi i o, los usua ios
pueden da pe miso pa a que su m´o il en ´ıe la lis a egis ada de obse aciones al se ido
pa a pe mi i el as eo de p oximidad. A con inuaci´on se desc iben los p o ocolos m´as
conocidos [TPH+20]:
Pan-Eu opean P i acy-P ese ing P oximi y T acing Need To Know
(PEPP-PT-NTK) y OpenT ace: Ejecu an el p oceso de as eo de p oximidad
despu´es de que un usua io diagnos icado haya subido su lis a de obse aciones
[(EphID, iempo, du aci´on)] pa a la en ana con agiosa. El backend ecupe a los
pseudo-iden i icado es a la go plazo de los usua ios en iesgo de los EphID in o mados
y ac i a un p oceso pa a no i ica les si su exposici´on es lo su icien emen e al a, como
se mues a en la Figu a 2.1.
8Cap
´
ı ulo 2. Aplicaciones de Ras eo de Con ac os
Figu a 2.1: Ras eo de p oximidad pa a dise˜nos cen alizados PEPP-PT-NTK y
OpenT ace.
ROBus and p i acy-p esER ing p oximi y T acing (ROBERT): El
backend as ea la exposici´on de cada usua io del sis ema. El se ido asocia es os
EphID obse ados a la go plazo con pseudo-iden i icado es de usua ios en iesgo. No
no i ica a los pacien es, los usua ios deben consul a el se ido egula men e pa a
sabe su es ado de exposici´on.
DESIRE[CBB+20]: Gene an iden i icado es en el sma phone, sin deja de es ima
la exposici´on de o ma cen alizada. En luga de ansmi i iden i icado es e ´ıme os
e independien es, los sma phones en DESIRE ansmi en cla es p´ublicas e ´ıme as
que, cuando se combinan con las cla es p´ublicas de o os sma phones, p oducen el
EphID. En caso de un diagn´os ico posi i o, los usua ios pueden da pe miso pa a que
su sma phone en ´ıe una e si´on de los EphID obse ados al backend pa a pe mi i
el as eo de p oximidad.
2.5. Tipos de Ad e sa ios
Los ad e sa ios son pe sonas, g upos u o ganizaciones que in en an comp ome e la
segu idad/p i acidad del se icio de as eo de con ac os o in e umpi su uncionamien o.
Los ad e sa ios pod ´ıan in en a las siguien es acciones pa a a aca un sis ema de as eo
de con a os digi ales [MKHR+20]:
In e cep a , bloquea , modi ica , inyec a o ep oduci cualquie mensaje en el canal
de comunicaci´on p´ublica.
U iliza la aplicaci´on m´o il pa a accede al sis ema y habili a o deshabili a el
se icio de no i icaci´on de la aplicaci´on a olun ad.
2.5. Tipos de Ad e sa ios 9
Cuando co esponda, el mismo ad e sa io puede in en a egis a se en el se icio
a ias eces, es deci , c ea a ios pe iles.
El mismo ad e sa io puede lle a a ios disposi i os e ins ala la(s) aplicaci´on(es)
en cada uno de ellos.
El mismo ad e sa io puede in en a ins ala la aplicaci´on leg´ı ima jun o con las
pe sonalizadas en el mismo disposi i o.
Ins ala an enas de al a po encia pa a ampli ica su se˜nal de ecepci´on y ansmisi´on
pa a cub i un ´a ea m´as amplia con el p op´osi o de aumen a su capacidad de
seguimien o o ansmisi´on.
Accede a los da os almacenados en el disposi i o.
Causa Denial o Se ice (DoS), conmoci´on en el sis ema, acoso al usua io inal o
con amina los da os p opo cionados al sis ema.
Con igu a y ope a su p opio se ido backend malicioso.
Tene acceso al c´odigo uen e del se ido backend.
Alia se con o os usua ios inales, pe sonas que abajan pa a las au o idades
sani a ias o policiales, o adminis ado es del backend.
Comp ome e un se ido backend y la in aes uc u a de la Tecnolog´ıa de la
In o maci´on (TI) subyacen e.
Enga˜na /a ae a los usua ios inales pa a que ins alen malwa e en sus disposi i os.
Tan o en los modelos cen alizados como en los modelos descen alizados se pueden
encon a di e en es ipos de ad e sa ios maliciosos que se desc iben a con inuaci´on
[TPH+20]:
Usua ios egula es: Mi an exclusi amen e la in o maci´on disponible a a ´es de
la in e az de usua io de la aplicaci´on pa a in e i in o maci´on p i ada sob e o os
usua ios.
Tech-sa y use : Tiene acceso al sis ema a a ´es de la aplicaci´on m´o il. Adem´as,
puede con igu a (BT, WiFi y sma phones) pa a escucha a escondidas localmen e.
Finalmen e, puede descompila /modi ica la aplicaci´on y ene acceso al c´odigo
uen e del backend.
Esp´
ıa: Puede obse a la comunicaci´on de la ed y/o mensajes de di usi´on e in en a
as ea a las pe sonas.
Au o idad sani a ia: Tienen in o maci´on de pe sonas en iesgo s´olo cuando la
misma pe sona en iesgo lo no i ica.
16
Cap
´
ı ulo 3. P o ocolo de Ras eo de P oximidad Descen alizado pa a
P ese a la P i acidad
3.2.2. An´alisis de Segu idad
Las p incipales p eocupaciones sob e la segu idad son [TPH+20]:
E en os de exposici´
on alsa: Pod ´ıa hace c ee a un usua io que es ´a en iesgo.
Sup imi con ac os de iesgo: Que un usua io posi i o o el backend e i en que
o as pe sonas se en e en de que es ´an en iesgo.
E i a el descub imien o de con ac os: Un a acan e pod ´ıa pe u ba el sis ema
y e i a el descub imien o de con ac os.
3.2.2.1. Segu idad del Dise˜
no de Bajo Consumo
A con inuaci´on se analiza la segu idad del dise˜no de bajo consumo a pa i de las
p eocupaciones is as an e io men e.
E en os de exposici´
on alsa. Un a acan e con una an ena po en e puede
desencadena alsas ale as de exposici´on. Como esul ado, o os disposi i os
ce canos pueden in e ac ua con el disposi i o del a acan e. Pa a comple a el a aque,
el a acan e debe asegu a se que ´es as in e acciones se ma quen como e en os de
exposici´on. Pa a ello, el a acan e puede:
1) ´
El mismo da posi i o y lle a su disposi i o al hospi al.
2) Sobo na a una pe sona posi i a pa a que lle e el disposi i o del a acan e al
hospi al.
3) Secues a /sobo na a la au o idad sani a ia que au o iza a los posi i os ac i a
el as eo.
4) Comp ome e el se ido backend.
Como los EphID de i an de una semilla usando una unci´on hash y una unci´on
pseudoalea o ia, es in iable que un a acan e sepa la semilla del usua io al obse a
sus ansmisiones.
Sup imi con ac os de iesgo. Los usua ios in ec ados pueden decidi no in o ma
de su posi i o o deja de ansmi i las
E i a el descub imien o de con ac os. Cualquie sis ema con es e dise˜no es
suscep ible a a aques de bloqueo, haciendo deja de unciona el sis ema.
3.2.2.2. Segu idad del Dise˜
no no Vinculable
A con inuaci´on se analiza la segu idad del dise˜no no inculable a pa i de las
p eocupaciones is as an e io men e.

3.2. Riesgos de P i acidad y Segu idad 17
Sup imi con ac os de iesgo y e i a el descub imien o de con ac os. Tiene
las mismas p opiedades que el dise˜no de bajo consumo espec o a sup imi con ac os
de iesgo y e i a el descub imien o de con ac os.
E en os de exposici´
on alsa. Un a acan e puede causa alsas ala mas median e
a aques de ex ensi´on de ango BLE. Pa a c ea e en os alsos, el a acan e debe
ecibi y ansmi i los EphID den o del mismo iempo. Como en el dise˜no de bajo
consumo, la gene aci´on del EphID es des inculable y e i a que un a acan e eclame
como p opio el EphID de o o usua io.
3.2.2.3. Segu idad del Dise˜
no H´
ıb ido
A con inuaci´on se analiza la segu idad del dise˜no h´ıb ido a pa i de las p eocupaciones
is as an e io men e.
Sup imi con ac os de iesgo y e i a el descub imien o de con ac os. Tiene
las mismas p opiedades que el dise˜no de bajo consumo espec o a sup imi con ac os
de iesgo y e i a el descub imien o de con ac os.
E en os de exposici´
on alsa. Un a acan e puede causa alsas ala mas median e
a aques de ex ensi´on de ango BLE. Pa a c ea e en os alsos, el a acan e debe ecibi
y ansmi i los EphID den o de la misma en ana de iempo. Como en el dise˜no
de bajo consumo, la gene aci´on del EphID es des inculable y e i a que un a acan e
eclame como p opio el EphID de o o usua io.
3.2.3. P i acidad en Modelos Cen alizados s Descen alizados
A con inuaci´on se compa an los esul ados del an´alisis de la p i acidad en e el modelo
cen alizado y el modelo descen alizado.
G ´
a ico social. El se ido backend puede econs ui el g ´a ico social de los usua ios
a pa i de la in o maci´on compa ida po los usua ios posi i os. El se ido puede
uni subg a os de di e en es casos posi i os pa a ob ene una imagen comple a del
e dade o g ´a ico social. ROBERT y DESIRE p oponen e i a la il aci´on del
g ´a ico social median e el uso de una ed de comunicaci´on an´onima pa a ca ga
iden i icado es obse ados de una mane a no inculable.
G ´
a ico de in e acci´
on. En un sis ema en el que an o los iden i icado es como
la exposici´on al COVID-19 se calculan de o ma cen alizada y los iden i icado es
obse ados ca gados es ´an inculados, el se ido backend siemp e puede
asocia iden i icado es de ansmisi´on e ´ıme os ca gados a pseudo-iden i icado es
pe manen es pa a disposi i os indi iduales. En PEPP-PT-NTK, OpenT ace y
ROBERT, los iden i icado es obse ados ienen una ma ca de iempo. Po lo an o,
18
Cap
´
ı ulo 3. P o ocolo de Ras eo de P oximidad Descen alizado pa a
P ese a la P i acidad
el se ido backend no solo puede econs ui un g ´a ico social, sino que ambi´en
puede econs ui un g ´a ico de in e acci´on.
T azabilidad de la ubicaci´
on. El dise˜no descen alizado limi a el po encial de
seguimien o de la ubicaci´on a los usua ios que han ecibido un diagn´os ico posi i o y
du an e el anscu so del pe ´ıodo con agioso. En los sis emas cen alizados en los que
las cla es se gene an en el se ido , el acceso a las cla es del lado del se ido pe mi e
incula los EphID al iden i icado pe manen e de la aplicaci´on co espondien e.
Es o pe mi e as ea /iden i ica pe sonas en unci´on de los EphID obse ados en el
pasado, as´ı como as ea los mo imien os u u os de las pe sonas.
Es ado del posi i o en COVID-19. Los sis emas de as eo de p oximidad
cen alizados y descen alizados compa en la limi aci´on de p i acidad inhe en e de
que pueden se explo ados po un usua io expe o en ecnolog´ıa pa a e ela qu´e
pe sonas de su lis a de con ac os pod ´ıan es a in ec adas. Sin emba go, los dise˜nos
cen alizados ocul an cu´ando y con qu´e ecuencia el usua io es u o en con ac o
con un pacien e con COVID-19 posi i o. Como esul ado, los a acan es expe os en
ecnolog´ıa no pueden bene icia se de la inculaci´on en e EphID y la in o maci´on de
iempo pa a ampli ica su a aque. En cambio, necesi an depende de a ias cuen as.
3.2.4. Segu idad en Modelos Cen alizados s Modelo Descen alizados
A con inuaci´on se compa a el an´alisis de la segu idad en e el modelo cen alizado y el
modelo descen alizado.
E en os de exposici´
on alsa. Desencadena alsas ala mas es ´acil en odos los
dise˜nos cen alizados excep o DESIRE. DESIRE equie e un in e cambio ac i o en e
usua ios pa a desencadena un e en o de exposici´on also
Sup imi con ac os en iesgo. Es posible en cualquie sis ema.
E i a el descub imien o de con ac os. Todos los sis emas son suscep ibles a
a aques de bloqueo.
Cap´ı ulo 4
T´ecnicas de An´alisis de
Vulne abilidades
Pa a consegui mi iga el impac o de los cibe a aques, a ias emp esas c ea on una
mul i ud de ´ecnicas y es ´anda es con las que consegui dis in a in o maci´on sob e las
ulne abilidades en dis in os sis emas. En es e cap´ı ulo explo a emos que son y como se
lle an acabo los a aques simulados en la Secci´on 4.1 y algunos de los es ´anda es mas usados
pa a las ulne abilidades en aplicaciones m´o iles en la Secci´on 4.3.
4.1. P ueba de Pene aci´on
La p ueba de pene aci´on, conocida como “pen es ” es un cibe a aque simulado con a u
p opio equipo pa a comp oba si exis en ulne abilidades que se pudie an explo a . Es o
mi iga las debilidades po enciales del sis ema an es de que ocu a un a aque eal.
4.1.1. Fases
Las ases de es a p ueba, como apa ecen en la Figu a 4.1, son las siguien es [IMP]:
1. Plani icaci´
on y econocimien o: Se de ine el alcance de al p ueba y sus obje i os,
adem´as de gana comp ensi´on del sis ema que se a a p oba , pa a pode in ui
posibles ulne abilidades.
2. Escaneado: En ende como esponde ´a la aplicaci´on a dis in os in en os de
in usi´on. Es o se hace median e dos ipos de an´alisis:
An´
alisis es ´
a ico: Consis e en analiza el c´odigo uen e pa a comp oba como
se compo a la aplicaci´on cuando es ´e en uncionamien o.
An´
alisis din´
amico: Tambi´en se analiza el c´odigo uen e, pe o es a ez mien as
es ´a en ejecuci´on, siendo es a una mane a m´as p ´ac ica de escanea la aplicaci´on,
pues p o ee al “pen es e ” de una isi´on a iempo eal de su uncionamien o.
19
20 Cap
´
ı ulo 4. T´
ecnicas de An´
alisis de Vulne abilidades
3. Acceso: Se u ilizan a aques del ipo inyecciones S uc u ed Que y Languaje (SQL),
pue as ase as o C oss-Si e Sc ip ing (XSS) pa a gana p i ilegios, in e cep a
´a ico, oba da os pa a en ende el da˜no que se puede hace a la aplicaci´on.
4. Pe sis encia del acceso: La me a de la ase es comp oba si se puede u iliza
alguna ulne abilidad pa a man ene el acceso en el sis ema el iempo su icien e
como pa a pode accede a las zonas con los da os mas sensibles. La idea es imi a
una amenaza Ad anced Pe sis en Th ea (APT).
5. An´
alisis de esul ados: Los esul ados del es se de allan en un in o me que
con iene las ulne abilidades espec´ı icas explo adas, los da os sensibles a los que se
ha enido acceso y el iempo que el “pen es e ” ha es ado en el sis ema sin se
de ec ado.
Figu a 4.1: Fases del An´alisis de Pene aci´on
4.2. Tipos de P uebas
Las p uebas se clasi ican dependiendo del obje i o y del escena io inicial [LR]:
Tes ex e no: Los obje i os son las pa es del sis ema que son isibles en in e ne ,
como pueden se la aplicaci´on web, el email o el Domain Name Se ice (DNS).
Tes in e no: El obje i o es gana acceso al sis ema mas all´a del i ewall del sis ema,
simulando un a acan e con acceso p i ilegiado, no iene que simula necesa iamen e
a un abajado , pe o si un a acan e que haya obado las c edenciales de un empleado
median e un a aque de phishing.
Tes ciego: En es e ipo de es ex e no solo se le p opo ciona al “pen es e ” el
nomb e de la emp esa que iene que a aca , lo que p opo ciona da os eales del
iempo que a da ´ıa un a acan e en pe pe ua un asal o a la aplicaci´on.
4.3. Es ´
anda es 21
Doble es ciego: El es es simila al es ciego, pe o con la di e encia de que
el pe sonal de segu idad no es in o mado de que el a aque simulado a a ene
luga . Es e ipo de es iene algunos iesgos, como que se pongan a ios sis emas en
cua en ena con in enci´on de pa a el ‘a aque’.
Tes de caja neg a: Es un escena io simila al es ciego, en le que el es e iene
algo m´as de in o maci´on sob e el sis ema que iene que a aca , como la Uni o m
Resou ce Loca o (URL) de la web de la compa˜n´ıa, o su di ecci´on IP, como se
mues a en la Figu a 4.2(a).
Tes de caja blanca: Se a a de un escena io en le que el “ es e ” iene in o maci´on
de allada, como el c´odigo uen e, con igu aciones o documen aci´on del sis ema pa a
se encuen e la mayo can idad de ulne abilidades en el meno iempo como se
mues a en la Figu a 4.2(b). La di e encia undamen al con el es in e no es que no
se dispone ning´un ipo de c edencial pa a ninguna cuen a de la emp esa.
Tes di igido: En es e escena io, an o el es e , como el equipo de segu idad
abajan jun os, man eni´endose in o mados de sus mo imien os. Es e eje cicio de
p ueba, da una isi´on al equipo de segu idad del pun o de is a de un a acan e
po encial a iempo eal.
(a) Tes de Caja Neg a (b) Tes de Caja Blanca
Figu a 4.2: Diag ama de uncionamien o de los es de caja neg a y de caja blanca
4.3. Es ´anda es
Pa a ayuda a cuan i ica la se e idad y el impac o de las ulne abilidades, algunas
o ganizaciones han elabo ado unos es ´anda es de clasi icaci´on. Algunos de ellos son: El

22 Cap
´
ı ulo 4. T´
ecnicas de An´
alisis de Vulne abilidades
Sis ema de Pun uaci´on de Vulne abilidades Comunes, los Es ´anda es de Ve i icaci´on de
Segu idad en Aplicaciones M´o iles y la Enume aci´on de Debilidades Comunes.
4.3.1. Sis ema de Pun uaci´on de Vulne abilidades Comunes
La m´e ica de e aluaci´on po sis ema de pun uaci´on de ulne abilidades comunes (del
ingl´es, Common Vulne abili y Sco ing Sys em (CVSS)) es un amewo k abie o c eada
po la o ganizaci´on Fo um o Inciden Response and Secu i y Teams (FIRST) que es una
asociaci´on de en idades que p opo cionan mecanismos de buenas p ´ac icas, he amien as
y elemen os pa a la clasi icaci´on y espues a a inciden es de segu idad [PM07]. FIRST ha
es ado abajando en la eno aci´on del sis ema CVSS desde su lanzamien o en eb e o de
2005 has a la salida de su ´ul ima e si´on en junio de 2019. El sis ema de pun uaci´on CVSS
se compone de es g upos p incipales de m´e icas (Base, Tempo al y de En ono) Que, a
su ez, con ienen o os conjun os de m´e icas [PM07].
Las m´e icas usadas en la e si´on 2.0 se e´unen en es g upos [PM07]:
1. M´
e icas Base: Con iene las cualidades in ´ınsecas de una ulne abilidad, desc i as
en la Tabla 4.2.
2. M´
e icas empo ales: Con iene las ca ac e ´ıs icas de la ulne abilidad que
cambian con el iempo, lis adas en la Tabla 4.3.
3. M´
e icas En o no: Con iene las ca ac e ´ıs icas que se elacionan con el usua io,
mos adas en la Tabla 4.4.
En las Tablas 4.1 se desc iben los g upos de m´e icas mencionadas an e io men e y
en las Tablas 4.2,4.3 y4.4 los alo es que pueden oma dichas m´e icas. Es os se usan
como se indica en la Figu a 4.3 pa a calcula el alo inal [PM07]. Como se obse a
en la igu a, el CVSS se calcula dando un alo a cada m´e ica expues a an e io men e.
Adem´as, la ´unica m´e ica obliga o ia es la Base y opcionalmen e se pueden e alua las
m´e icas empo ales y de en o no.
Figu a 4.3: Uso de m´e icas pa a el c´alculo del alo CVSS
4.3. Es ´
anda es 23
Tabla 4.1: Desc ipci´on de los g upos de m´e icas de CVSS V2
G upo M´
e ica Desc ipci´
on Valo es
Vec o de
acceso (AV)
Re leja como se explo a la ulne abilidad, cuan o mas
emo o pueda es a el a acan e, mayo se ´a la pun uaci´on
- Local
- Red Adyacen e
- Red
Complejidad
de acceso (AC)
Mide la complejidad de a aque necesa ia pa a explo a una
ulne abilidad cuando el a acan e ya ha ob enido acceso al
sis ema. Cuan o meno sea la complejidad necesa ia, mayo
la pun uaci´on
- Al o
- Medio
- Bajo
Au en i icaci´on
(Au)
Mide la can idad de eces que un a acan e necesi a
au en i ica se pa a ap o echa la ulne abilidad. Cuan as
menos au en i icaciones sean necesa ias, mayo se ´a la
pun uaci´on
- M´ul iple
-´
Unico
- Ninguno
Impac o de
con idencialidad
(C)
Mide el impac o de con idencialidad de un a aque ealizado
con ´exi o. La con idencialidad se e ie e a la di ulgaci´on de
in o maci´on solo a los usua ios au o izados
- Ninguno
- Pa cial
- Comple o
M´e icas Base
Impac o de
in eg idad (I)
Mide el impac o en la in eg idad del sis ema despu´es de una
ulne abilidad explo ada con ´exi o. La in eg idad se e ie e a
la e acidad de la in o maci´on
- Ninguno
- Pa cial
- Comple o
Impac o de
disponibilidad
(A)
Mide el impac o en la disponibilidad del sis ema despu´es de
una ulne abilidad explo ada con ´exi o. La disponibilidad se
e ie e a la accesibilidad de los ecu sos. Los a aques
consumen ancho de banda en la ed, ciclos de eloj o espacio
en el disco
- Ninguno
- Pa cial
- Comple o
Explo abilidad
(E)
Mide el es ado ac ual de las ´ecnicas de explo aci´on o la
disponibilidad del c´odigo. Cuan o m´as disponible es ´a el
c´odigo de explo aci´on, mas aumen a el nume o de a acan es
po enciales, incluso aquellos que no es ´an cali icados.
- No p obado
- P ueba de concep o
- Funcional
- Al o
- No de inido
Ni el de
emedio (RL)
Mide la u gencia con la que a a la ulne abilidad, cuan o
menos o icial y pe manen e sea una soluci´on, mayo se ´a su
pun uaci´on.
- A eglo o icial
- A eglo empo al
- Soluci´on al e na i a
- No disponible
- No de inido
M´e icas Tempo ales
In o me de
con ianza (RC)
Mide le g ado de con ianza en la exis encia de la
ulne abilidad y de la c edibilidad de los de alles ´ecnicos
conocidos. Cuan o mas alida sea po el p o eedo u o as
uen es ac edi adas, mayo es su pun uaci´on.
- Sin con i ma
- Sin co obo a
- Con i mado
- No de inido
Da˜no cola e al
po encial
(CDP)
Mide el po encial de pe dida de idas o ac i os ´ısicos po
da˜no o obo. Es a m´e ica puede medi la p´e dida econ´omica
de p oduc i idad o ing esos.
- Ninguno
- Bajo
- Bajo-Medio
- Medio-Al o
- Al o
- No de inido
Dis ibuci´on de
obje i o (TD)
Mide la p opo ci´on de sis emas ulne ables, ac ´ua como
indicado del en o no pa a ap oxima el po cen aje de
sis emas que pod ´ıan e se a ec ados.
- Ninguno
- Bajo
- Medio
- Al o
- No de inido
M´e icas de En o no
Requisi os de
segu idad
Es a m´e ica si e a los analis as pa a ma ca la impo ancia
de los Requisi os de Con idencialidad (CR), In eg idad (IR)
y Disponibilidad (AR) aumen ando o disminuyendo su peso
en la pun uaci´on inal.
- Bajo
- Medio
- Al o
- No de inido
24 Cap
´
ı ulo 4. T´
ecnicas de An´
alisis de Vulne abilidades
Tabla 4.2: M´e icas del g upo Base
M´
e ica Valo Desc ipci´
on
Local (L) Solo se puede explo a con acceso ´ısico al sis ema o una cuen a local
Vec o de acceso
(AV)
Red Adyacen e
(A)
Se equie e que el a acan e enga acceso al dominio de colisi´on (di usi´on) del
so wa e ulne able
Red (N) El so wa e ulne able es a inculado a la pila de ed y el a acan e no equie e
acceso local o a la ed local
Al o (H) Exis en condiciones de acceso espec´ı icas. Como puede se que el a acan e
pueda ene p i ilegios ele ados, la con igu aci´on ulne able se e a amen e
en la p ac ica o que el a acan e dependa de m´e odos de ingenie ´ıa social
´acilmen e de ec ables po pe sonas con conocimien os
Complejidad de
acceso (AC)
Medio (M) Las condiciones de acceso son algo espec´ı icas. Como que la pa e a acan e es a
limi ada a un g upo de sis emas o usua ios con alg´un ni el de au o izaci´on,
se deba ecopila cie a in o maci´on p e ia al a aque o que el a aque equie a
ingenie ´ıa social que pod ´ıa enga˜na a algunos usua ios
Bajo (L) No exis en condiciones de acceso espec´ı icas. Como que el a aque se pueda
ealiza manualmen e y sin necesidad de ecopila in o maci´on adicional o
que el p oduc o a ec ado equie a acceso a una amplia gama de sis emas y
usua ios, p obablemen e an´onimos y poco con iables
Au en icaci´on (Au)
M´ul iple (M) Se equie e que se el a acan e se iden i ique dos o mas eces, incluso si son
las mismas c edenciales
´
Unico (S) La ulne abilidad equie e que se inicie sesi´on en el sis ema
Ninguno (N) No se equie e ninguna au en icaci´on pa a ap o echa la ulne abilidad
Impac o de
con idencialidad
(C)
Ninguno (N) No hay impac o en la con idencialidad del sis ema
Pa cial (P) Es posible accede a algunos a chi os del sis ema, pe o el a acan e no iene
con ol del alcance de la in o maci´on que se ob iene
Comple o (C) Exis e una di ulgaci´on o al, el a acan e puede accede a odos los da os del
sis ema
Impac o de
in eg idad (I)
Ninguno (N) No hay impac o en la in eg idad del sis ema
Pa cial (P) Es posible modi ica algunos a chi os del sis ema, pe o el a acan e no iene
con ol sob e que a chi os se puede sob esc ibi o modi ica , po lo que el
alcance es limi ado
Comple o (C) Exis e una p´e dida o al de p o ecci´on del sis ema, el a acan e puede modi ica
cualquie a chi o el sis ema
Impac o de
disponibilidad (A)
Ninguno (N) No hay impac o en la disponibilidad del sis ema
Pa cial (P) El endimien o es a educido o exis en in e upciones en la disponibilidad de
los ecu sos
Comple o (C) Hay un cie e o al de los ecu sos a ec ados, el a acan e puede hace que los
ecu sos no es ´en disponibles po comple o
4.3. Es ´
anda es 25
Tabla 4.3: M´e icas del g upo Tempo al
M´
e ica Valo Desc ipci´
on
Explo abilidad
(E)
No p obado (U) No exis e c´odigo de la explo aci´on, o es solamen e e´o ico
P ueba de concep o (POC) Exis e un c´odigo de explo aci´on de una demos aci´on del a aque, pe o al
no se uncional en odos los en o nos o si uaciones, puede eque i una
modi icaci´on sus ancial po pa e de un a acan e expe o
Funcional (F) El c´odigo de la explo aci´on es a disponible y es uncional en la mayo ´ıa
de las si uaciones
Al o (H) El c´odigo unciona en odas las si uaciones o se en ega de o ma ac i a
a a ´es de un agen e au ´onomo m´o il ( i us o gusano)
No de inido (ND) Es e alo si e pa a omi i es a m´e ica cuando se calcule la pun uaci´on
Ni el de
emedio (RL)
A eglo O icial (OF) El p o eedo ha emi ido un pa che o icial con una soluci´on comple a
A eglo empo al (TF) Hay una soluci´on o icial de mane a empo al
Soluci´on al e na i a (W) Hay una soluci´on no o icial. En la mayo ´ıa de casos, la en idad a ec ada
c ea ´a un pa che p opio pa a mi iga la ulne abilidad
No disponible (U) No hay una soluci´on disponible, o es imposible de aplica
No de inido (ND) Es e alo si e pa a omi i es a m´e ica cuando se calcule la pun uaci´on
In o me de
con ianza (RC)
Sin con i ma (UC) Exis e una ´unica uen e no con i mada, o a ios in o mes con adic o ios
Sin co obo a (UR) Hay a ias uen es no o iciales. Puede habe de alles ´ecnicos
con adic o ios o hay alguna ambig¨uedad
Con i mado (C) La ulne abilidad ha sido econocida po el p o eedo o au o de la
ecnolog´ıa a ec ada
No de inido (ND) Es e alo si e pa a omi i es a m´e ica cuando se calcule la pun uaci´on
Tabla 4.4: M´e icas del g upo de En o no
M´
e ica Valo Desc ipci´
on
Da˜no cola e al
po encial
(CDP)
Ninguno (N) No hay posibilidad de pe dida de idas, ac i os ´ısicos, p oduc i idad o ing eso
Bajo (L) Una explo aci´on exi osa puede esul a en da˜nos ´ısicos o ma e iales le es
Bajo-medio (LM) Una explo aci´on exi osa puede esul a en da˜nos ´ısicos o ma e iales
mode ados
Medio-al o (MH) Una explo aci´on exi osa puede esul a en da˜nos ´ısicos o ma e iales
signi ica i os
Al o (H) Una explo aci´on exi osa puede esul a en da˜nos ´ısicos o ma e iales
ca as ´o icos
No de inido (ND) Es e alo si e pa a omi i es a m´e ica cuando se calcule la pun uaci´on
Dis ibuci´on de
obje i o (TD)
Ninguno (N) No exis en sis emas obje i os, solo el 0 % es ´a en iesgo
Bajo (L) Exis en sis emas obje i os, pe o a peque˜na escala, solo en e el 1 % y el 25 %
es ´a en iesgo
Medio (M) Exis en sis emas obje i os, pe o a peque˜na escala, solo en e el 26 % y el 75 %
es ´a en iesgo
Al o (H) Exis en sis emas obje i os, pe o a peque˜na escala, solo en e el 76 % y el 100 %
es ´a en iesgo
No de inido (ND) Es e alo si e pa a omi i es a m´e ica cuando se calcule la pun uaci´on
Requisi os de
segu idad
Bajo (L) La p´e dida de la m´e ica asociada enga solo un e ec o ad e so limi ado en la
o ganizaci´on
Medio (M) La p´e dida de la m´e ica asociada enga solo un e ec o ad e so g a e en la
o ganizaci´on
Al o (H) La p´e dida de la m´e ica asociada enga solo un e ec o ad e so ca as ´o ico
en la o ganizaci´on
No de inido (ND) Es e alo si e pa a omi i es a m´e ica cuando se calcule la pun uaci´on

Cap´ı ulo 5
T abajos elacionados
En [G i20], se analiza la segu idad de la ecnolog´ıa de as eo de p oximidad que
desa olla on Google Inc. y Apple Inc. inspi ada en el p o ocolo DP-3T. Es e abajo se
cen a en el an´alisis de segu idad con las especi icaciones de ´es a ecnolog´ıa, analizan los
a aques m´as comunes, sus consecuencias y p oponen nue as es a egias pa a la mi igaci´on
de los mismos. Los a aques que analizan son:
A aques de consumo de ene g´
ıa y almacenamien o: El a acan e a aca a un
disposi i o ce cano en iando un g an olumen de mensajes. Si el mensaje no es
´alido, el disposi i o lo desca a, pe o gas ando ene g´ıa (a aque de consumo de
ene g´ıa). Si el mensaje es ´alido, la aplicaci´on de as eo almacena el id (a aque de
consumo de almacenamien o), como se mues a en la Figu a 5.1.
Figu a 5.1: (a) A aque de consumo de ene g´ıa. (b) A aque de consumo de almacenamien o.
A aques de e ansmisi´
on y epe ici´
on: En un a aque de e ansmisi´on, el
a acan e u iliza dos disposi i os en dos ubicaciones dis in as y ansmi e desde
un disposi i o cualquie mensaje e ansmi ido desde el o o. En un a aque de
epe ici´on, el a acan e usa uno o dos disposi i os en di e en es momen os y ansmi e
en el momen o pos e io un mensaje g abado en el momen o an e io , como se
mues a en la Figu a 5.2.
33
34 Cap
´
ı ulo 5. T abajos elacionados
Figu a 5.2: (a) A aque de e ansmisi´on. (b) A aque de epe ici´on.
A aques de olling: El a acan e es una pe sona que ha sido diagnos icada o espe a
se diagnos icada posi i a en COVID-19 p on o, y es ´a in e esada en hace que las
pe sonas desp e enidas eman habe es ado expues as al i us. El a acan e conec a
su disposi i o m´o il a un anspo e (como un pe o, un au om´o il o un d on), que
co e y anuncia id de p oximidad a disposi i os de pe sonas desp e enidas, como se
mues a en la Figu a 5.3.
Figu a 5.3: A aque de olling.
A aques de enlace: El a acan e expone dos mensajes como p o enien es del mismo
disposi i o obje i o. El a acan e pe manece en una ubicaci´on ija du an e un iempo
su icien e pa a ecibi mensajes de cualquie disposi i o ce cano. En un a aque de
enlace basado en el iempo, el a acan e in ie e que es p obable que dos mensajes es ´en
35
inculados cuando su di e encia de iempo es consis en e con la ecuencia egula
de mensajes.
A aques de localizaci´
on de se˜
nales: : El a acan e es ´a in e esado en expone la
iden idad de una o a ias pe sonas en una euni´on, cuyo disposi i o anuncia mensajes
que incluyen ID de p oximidad pa icula es. Con es e in, el a acan e as ea la
in ensidad de la se˜nal de Blue oo h, jun o con el campo de ni el de po encia de
ansmisi´on y la ubicaci´on del disposi i o m´o il del a acan e cuando se ecibi´o cada
mensaje, y usa es a in o maci´on pa a in e i ubicaciones sob e el iempo de la pe sona
obje i o con buena p ecisi´on. El a acan e puede iden i ica a la pe sona obje i o
obse ando ´ısicamen e qui´en es ´a p esen e en las ubicaciones in e idas a lo la go del
iempo.
A aques de singula izaci´
on: El a acan e ace ca un disposi i o a la pe sona
obje i o, egis a el ID de p oximidad ecibido jun o con cu´ando y d´onde, y deja
de g aba en ese disposi i o. Si la pe sona obje i o es diagnos icada posi i a, las
cla es de diagn´os ico de la pe sona obje i o pe mi i ´an al a acan e hace coincidi
los ID egis ados en el disposi i o y se˜nala a la pe sona obje i o.
Es a in es igaci´on demues a que las especi icaciones en el momen o de la in es igaci´on
pueden in oduci iesgos impo an es pa a la sociedad, como iolaciones de p i acidad y
p´e dida de con ianza en el sis ema. Las es a egias de mi igaci´on que p oponen pa a los
a aques desc i os no equie en cambios a qui ec ´onicos en las especi icaciones y son ´aciles
de adop a .
En el a ´ıculo [MKHR+20], se de allan las p incipales a qui ec u as usadas pa a el
desa ollo de as eo de con ac os(cen alizadas y descen alizadas), que ecnolog´ıas usan
y c´omo uncionan, como se mues a en la Tabla 5.1. El a ´ıculo ambi´en analiza di e en es
ipos de posibles a aques y p opone ´ecnicas de mi igaci´on.
Po ´ul imo, el a ´ıculo habla sob e a ias aplicaciones m´o iles de as eo del COVID-19
eu opeas, nos in o ma sob e como se llaman, que ipo de a qui ec u a usan, que ecnolog´ıa
usan (BLE,Global Posi ioning Sys em (GPS), e c.), como ges ionan los da os y como
uncionan ´es as aplicaciones m´o iles. En el a ´ıculo [HWMF21] analizan la p i acidad y
segu idad de 28 aplicaciones And oid de as eo de con ac os, que se mues an en la Tabla
5.2. Analizan los p i ilegios de su c´odigo, las pol´ı icas de p i acidad y el desempe˜no es ´a ico
y din´amico. Tambi´en ecopilan solici udes de pe misos, ex os de pol´ı icas de p i acidad,
accesos a ecu sos en iempo de ejecuci´on y ulne abilidades de segu idad exis en es y
con ´es os da os e al´uan el impac o sob e la p i acidad de los usua ios. La in es igaci´on
concluye que muchas de las aplicaciones se dise˜na on de mane a ´apida, no ienen en
cuen a la egulaci´on de la p i acidad y su documen aci´on y pol´ı icas pa ecen incomple as.
36 Cap
´
ı ulo 5. T abajos elacionados
Los p incipales hallazgos son:
Las pol´ı icas de p i acidad pa a muchas aplicaciones se encon a on incomple as o
inexis en es.
Muchas aplicaciones mos a on un compo amien o de acceso a los pe misos que
in ad´ıa la p i acidad, especialmen e los elacionados con la ubicaci´on.
Va ias aplicaciones comenza on a accede a los pe misos de ubicaci´on an es de
pe sonaliza los y egis a los.
Las aplicaciones de la UE mos a on, en gene al, menos iesgos de p i acidad que
las aplicaciones ue a de la UE. A´un as´ı, la mayo ´ıa de las aplicaciones no cumplen
con uno o m´as p incipios de p i acidad.
El an´alisis de ulne abilidades de c´odigo mos ´o a ias ulne abilidades en los c´odigos
de las aplicaciones.
Es os hallazgos indican un es ado muy inmadu o de las aplicaciones de as eo.
Tabla 5.1: P incipales ca ac e ´ıs icas de los amewo ks de as eo de con ac os.
F amewo k En oque C´
odigo Au o idad Ubicaci´
on Au o epo e
uen e sani a ia ecopilados
DP-3T Descen alizado Abie o SI NO NO
Google/Apple Descen alizado P opiedad SI NO NO
PEPP-PT-NTK Cen alizado Abie o SI NO NO
ROBERT Cen alizado Abie o SI NO NO
BlueT ace Cen alizado Abie o SI NO NO
T aceSecu e Cen alizado No disponible SI NO NO
DESIRE Hib ido No disponible SI NO NO
PACT(UW) Descen alizado Abie o SI NO NO
PACT(MIT) Descen alizado No disponible SI Opcional NO
TCN Descen alizado Abie o Opcional NO SI
Open Co id T ace Descen alizado Abie o SI SI NO
Whispe T acing Descen alizado No disponible NO Opcional SI
37
Tabla 5.2: Tabla de las 28 aplicaciones analizadas.
Pa
´
ıs App Tecnolog
´
ıa Tecnolog
´
ıa Tecnolog
´
ıa
GPS BLE Senso s
Aus alia COVIDSa e X
Aus ia S opp Co ona X
B asil Co ona i us-SUS X
Colombia Co onApp X
Rep. Checa eRouska X
Alemania I o X
Hung ´ıa Vi usRada X
Geo gia S op Co id X X X
Islandia Ranking C-19 X
India Mahaka ach X
India COVA Punjab X
India Aa ogya Se u X X
Is ael Hamagen X
I alia SM-Co id19 X X
I alia diA y X X X
Jo dania Aman X
Malasia Ge ak X
Malasia MyT ace X
Macedonia del No e S opKo ona! X
No uega Smi es opp X X
Rusia Con ac T ace X X
Singapu T ace Toge he X
Sud´a ica Co i-ID X
UK COVID Symp om S udy X
US COVID Sa e X
US P i a eKi X
US NOVID X X
Global Coali ion X

Cap´ı ulo 6
An´alisis de Vulne abilidades en
Aplicaciones Eu opeas de Ras eo
de Co id-19 basadas en el
P o ocolo DP3T
En es e cap´ı ulo desc ibimos de alladamen e los esul ados ob enidos de nues o an´alisis
sob e algunas de las aplicaciones m´o iles eu opeas de as eo de p oximidad pa a el
COVID-19. Pa a ealiza el an´alisis es ´a ico y din´amico de las aplicaciones se ha u ilizado
una he amien a au om´a ica como es Mobile Secu i y F amewo k (MobSF) y un emulado
de And oid pa a simula un sma phone And oid como es Genymo ion. Se empeza ´a
explicando como se p epa ´o el labo a o io de abajo en la Secci´on 6.1, a con inuaci´on se
de alla ´a la in o maci´on sob e las aplicaciones analizadas en la Secci´on 6.2 y se e mina ´a
con el an´alisis de las ulne abilidades de dichas aplicaciones en la Secci´on 6.3.
6.1. P epa aci´on del labo a o io de abajo
Pa a el desa ollo del an´alisis de las ulne abilidades en las aplicaciones de as eo de
p oximidad de la COVID-19 se ha u ilizado un o denado po ´a il con conexi´on a in e ne
en el que se ha ins alado una he amien a au om´a ica de an´alisis de aplicaciones m´o iles
y un emulado And oid pa a ealiza el an´alisis din´amico de las aplicaciones. Dado que las
aplicaciones ienen p o ecci´on con a las m´aquinas i uales obligando al uso de blue oo h
y pol´ı icas de as eo de Google ha esul ado m´as di ´ıcil emula lo. Po sue e con el en o no
de p uebas de MobSF no se ha enido mayo complicaci´on pa a ealiza el an´alisis an o
es ´a ico como din´amico.
An es de decidi po u iliza el en o no de MobSF se ba aja on m´as opciones, como
una m´aquina i ual especializada pa a el an´alisis de ulne abilidades en disposi i os
m´o iles llamado San oku. Se explo ´o como p ime a opci´on es a dis ibuci´on de Linux po
39
40
Cap
´
ı ulo 6. An´
alisis de Vulne abilidades en Aplicaciones Eu opeas de
Ras eo de Co id-19 basadas en el P o ocolo DP3T
su in eg aci´on con el emulado de disposi i os m´o iles que se conside ´o mejo (Genymo ion
p esen ado en la Figu a 6.1) adem´as de po la g an can idad de he amien as que en´ıa
p eins aladas, como Wi esha k, Me cu y, Nmap, OWASP ZAP, D oze o TCPDUMP en e
muchas o as. Al inal se acab´o desca ando es e en o no po la imposibilidad de emula
las aplicaciones y usa las he amien as e icien emen e.
(a) In e az del emulado de And oid Genymo ion (b) Emulaci´on de sma phone
Xiaomi Redmi No e 7
Figu a 6.1: Emulado Genymo ion
La siguien e dis ibuci´on de Linux que se p ob´o ue And ol4b, que cuen a ambi´en con
una g an can idad de he amien as pa a el an´alisis de pene aci´on, lo m´as ele an e es que
iene ins alada la he amien a que iene mejo ama, MobSF (Figu a 6.2).
Figu a 6.2: In e az de la he amien a MobSF.
6.2. Aplicaciones 41
Con es e en o no se consigui´o lanza an´alisis es ´a icos sob e las And oid Applica ion
Package (APK) de las aplicaciones, pe o en la m´aquina i ual no se pod´ıan lanza an´alisis
din´amicos, po lo que ambi´en se acab´o desca ando es e en o no. El en o no inal se
mon ´o con MobSF ins alado de o ma na i a en Windows que, adem´as de pe mi i ealiza
an´alisis din´amicos, daba in o maci´on ex a en los an´alisis es ´a icos como, po ejemplo, la
localizaci´on de los se ido es que se usan en las aplicaciones.
6.2. Aplicaciones
Pa a ealiza los an´alisis se ha escogido 18 aplicaciones Eu opeas que usan la Tecnolog´ıa
desa ollada po Google y Apple, que se basa en el p o ocolo DP-3T. La Tabla 6.1 se
mues an las aplicaciones analizadas.
Tabla 6.1: Aplicaciones analizadas
Pais Aplicaci´
on Ve si´
on
Alemania Co ona-Wa n 1.13.2
Chip e Co T ace 2.0.2
Dinama ca Smi e — s op 2.3.3
Eslo aquia Zos anZd a y 1.0.1
Eslo enia Os aniZd a 1.10.1
Espa˜na Rada Co id 1.3.0
Es onia Hoia 1.0.9
Finlandia Ko ona ilkku 2.2.0
F ancia S op Co id-19 2.2.0
Holanda Co onaMelde 1.2.3
Hung ´ıa Vi usRada 1.0.0
I alia Immuni 2.2.1
Le onia Ap u i Co id 1.0.52
Macedonia S opKo ona! 1.1.0
Polonia STOP COVID-P o eGO Sa e 4.9.1
Po ugal STAYAWAY 1.1.3
Rep. Checa eRouska 2.2.687
Suiza SwissCo id 1.4.0
Es impo an e no a la e si´on que se ha u ilizado pa a ealiza los an´alisis. Los e o es
desc i os m´as adelan e pueden habe sido co egidos en e siones pos e io es. Pa a ob ene
las APK de es as aplicaciones se consiguie on en la web APKPu e pues no hay una mane a
o icial de consegui las.
6.3. An´alisis de Resul ados
Una ez conocidos el en o no de abajo y las aplicaciones analizadas, se a a explo a
cada ez m´as en p o undidad los da os que ha p opo cionado el analizado MobSF con
una isi´on gene al en la Secci´on 6.3.1, un an´alisis de los pe misos en la Secci´on 6.3.2 y un
48
Cap
´
ı ulo 6. An´
alisis de Vulne abilidades en Aplicaciones Eu opeas de
Ras eo de Co id-19 basadas en el P o ocolo DP3T
Tabla 6.4: P oblemas de c´odigo de ec ados en las aplicaciones po MobSF
P oblema Se e idad CVSS CWE OWASP OWASP
V2 Top 10 MASVS
1. U iliza un gene ado de n´ume os alea o ios insegu o al o 7.5 CWE-330 M5: C ip oga ´ıa insu icien e MSTG-CRYPTO-6
2. Los iche os pueden con ene in o maci´on codi icada al o 7.4 CWE-312 M9: Ingenie ´ıa in e sa MSTG-STORAGE-14
3. Implemen aci´on insegu a de SSL al o 7.4 CWE-295 M3: Comunicaci´on insegu a MSTG-NETWORK-3
4. SHA-1 es una hash con colisiones hash al o 5.9 CWE-327 M5: C ip oga ´ıa insu icien e MSTG-CRYPTO-4
5. U iliza una BD SQLi e y ejecu a consul as SQL sin o ma o al o 5.9 CWE-89 M7: Calidad del c´odigo del clien e NA
6. C ea a chi os empo ales al o 5.5 CWE-276 M2: Almacenamien o MSTG-STORAGE-2
7. Puede lee /esc ibi desde almacenamien o ex e no al o 5.5 CWE-276 M2: Almacenamien o de da os insegu o MSTG-STORAGE-2
8. MD5 es un hash con colisiones hash al o 4.4 CWE-327 M5: C ip oga ´ıa insu icien e MSTG-CRYPTO-4
9. Implemen aci´on insegu a de WebView a iso 8.8 CWE-749 M1: Uso inadecuado de la pla a o ma MSTG-PLATAFORM-7
10. Di ulgaci´on de di ecciones IP a iso 4.3 CWE-200 NA MSTG-CODE-2
11. Escucha cambios en el po apapeles a iso 0 NA NA MSTG-STORAGE-2
12. Se esc ibe in o maci´on sensible en los egis os de la aplicaci´on in o maci´on 7.5 CWE-532 NA MSTG-STORAGE-3
13. Puede esc ibi en el di ec o io de la aplicaci´on in o maci´on 3.9 CWE-276 NA MSTG-STORAGE-14
14. Copia da os al po apapeles in o maci´on 0 NA NA MSTG-STORAGE-10
15. U iliza ci ado SQL in o maci´on 0 NA NA MSTG-CRYPTO-1

6.3. An´
alisis de Resul ados 49
Figu a 6.4: N´ume o de p oblemas de c´odigo po aplicaci´on
Los e o es m´as g a es que ienen algunas aplicaciones son e e en es al a amien o de
in o maci´on sensible. Como se indica en la Tabla 6.5 el 100 % de las aplicaciones esc iben
es e ipo de in o maci´on en los egis os de la aplicaci´on (logs) Lo que ulne a g a emen e
la p i acidad del usua io de la misma y, adem´as, un 72 % de las aplicaciones con ienen
iche os con in o maci´on codi icada. Un 61 % de las aplicaciones ienen p oblemas con la
di ulgaci´on de di ecciones IP, lo que conlle a ´ıa una exposici´on de in o maci´on que no
debe ´ıa llega a pe sonas no au o izadas [PLO21].
Aunque el p oblema m´as p eocupan e se encuen a en el gene ado de n´ume os
alea o ios insegu o (1), es el m´as g a e po que oda la in aes uc u a de gene aci´on de
EphID se basa en n´ume os alea o ios, si su gene aci´on es insegu a y se pueden p edeci
los EphID quie e deci que alguien con ese conocimien o pod ´ıa suplan a la iden idad de
o o usua io con el in de a aca el sis ema.
50
Cap
´
ı ulo 6. An´
alisis de Vulne abilidades en Aplicaciones Eu opeas de
Ras eo de Co id-19 basadas en el P o ocolo DP3T
Tabla 6.5: Aplicaciones con los p oblemas de c´odigo de la Tabla 6.4
Aplicaci´
on 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15
Co ona-Wa n
Co T ace
Smi e — s op
Zos anZd a y
Os aniZd a
Rada Co id
Hoia
Ko ona ilkku
S op Co id-19
Co onaMelde
Vi usRada
Immuni
Ap u i Co id
S opKo ona!
STOP COVID-P o eGO Sa e
STAYAWAY
eRouska
SwissCo id
Cap´ı ulo 7
Con ibuciones Indi iduales
7.1. Pablo Izquie do Ga bajosa
El p ime paso al comenza es e abajo ue ecopila oda la in o maci´on posible de
abajos y a ´ıculos elacionados p incipalmen e con el p o ocolo DP-3T, pe o ambi´en
in o maci´on sob e los di e en es ipos de modelos y p o ocolos que exis en ace ca del
as eo de con ac os. Pa a la ecopilaci´on de la in o maci´on se u iliz´o el buscado de Google
Schola . En es e paso ap end´ı a hace uso del buscado Google Schola pa a busca los
a ´ıculos elacionados con el desa ollo del abajo. Al se ´es e p o ocolo bas an e ecien e,
la ecopilaci´on de la in o maci´on ele an e pa a el abajo ha sido un poco complicada,
con lo que ambi´en se ha ap endido a il a la in o maci´on m´as ele an e pa a nues o
abajo. Con el paso de los meses se ue on publicando ambi´en a ´ıculos elacionados
con el an´alisis de ulne abilidades de las aplicaciones de as eo del COVID-19 que usan
di e en es pa´ıses del mundo que nos ayuda on mucho en nues o p oceso de ecopilaci´on
de in o maci´on. Tambi´en des aca que p ´ac icamen e odos los a ´ıculos elacionados con
nues o abajo es ´an esc i os en ingl´es, es o me ha ayudado a mejo a mi lec u a y mi
ocabula io de dicho idioma.
El segundo paso ue busca las aplicaciones m´o iles de as eo de con ac os y la
p epa aci´on del labo a o io de abajo pa a ealiza el an´alisis de dichas aplicaciones.
De la in o maci´on ecopilada an e io men e se eligie on las aplicaciones Eu opeas que se
basaban en el p o ocolo DP-3T y desca gamos sus APK de la web APKPu e.
Pa a la c eaci´on del labo a o io buscamos in o maci´on sob e las he amien as m´as
u ilizadas a la ho a de ealiza es de pene aci´on en aplicaciones m´o iles And oid, con
lo que ap end´ı a mon a mi p opio labo a o io de p uebas pa a analiza ulne abilidades
en aplicaciones m´o iles And oid. Ins alamos y p obamos a ios en o nos i uales c eados
pa a el ipo de an´alisis que necesi ´abamos hace pe o ninguno pe mi ´ıa ealiza an o
an´alisis es ´a ico como din´amico, has a que encon amos la he amien a MobSF que se
pod´ıa ins ala de o ma na i a en Windows y pe mi ´ıa hace el an´alisis es ´a ico y pe mi ´ıa
hace el an´alisis din´amico a a ´es de Genymo ion, que ue la he amien a elegida pa a
51
52 Cap
´
ı ulo 7. Con ibuciones Indi iduales
emula un disposi i o And oid.
En ´es e paso, a pa e de ap ende el uso de la he amien a MobSF, du an e la b´usqueda
de las he amien as que nos si ie an pa a el an´alisis de aplicaciones ap end´ı el uso de
o as he amien as de an´alisis de ulne abilidades, como D oze , que es un amewo k
pa a es ea ulne abilidades de aplicaciones haciendo uso ambi´en de la he amien a
Genymo ion, pe o no nos p opo cionaba la in o maci´on que busc´abamos. Tambi´en ap end´ı
ace ca de en o nos i uales como And ol4b, que es una dis ibuci´on de Linux que e´une
he amien as de an´alisis de ulne abilidades y de hacking ´e ico, una de esas he amien as
es MobSF, que es la he amien a que elegimos inalmen e pa a nues os an´alisis, pe o ´es a
dis ibuci´on no pe mi ´ıa hace el an´alisis din´amico de la aplicaci´on, po que la desca amos.
O a dis ibuci´on que ap end´ı ue San oku, que incluye he amien as como Wi esha k y
la ya mencionada D oze , pe o ambi´en la desca amos ya que no nos p opo cionaba las
he amien as de an´alisis que necesi abamos.
El siguien e paso ue analiza las aplicaciones seleccionadas a a ´es del labo a o io
c eado. Pasamos odas las aplicaciones po el analizado y ecabamos oda la in o maci´on
que nos daba la he amien a MobSF. La he amien a nos dio in o maci´on de odo ipo
como el pa´ıs y la e si´on de And oid de la aplicaci´on, localizaci´on de los se ido es que
u ilizan, las API de Google y los pe misos que solici an cada aplicaci´on pa a unciona .
Pa a el apa ado de los pe misos, la he amien a hace uso de es ´anda es como CWE y
OWASP MASVS, con los que hace una pun uaci´on de se e idad sob e cada pe miso,
pa a en ende el signi icado de dichas pun uaciones u imos que consul a sus espec i as
p´aginas web y es udia su signi icado. En es e p oceso, desca amos una g an can idad de
da os que la he amien a no iden i icaba como pelig osos y nos cen amos en aquellos da os
en los que la he amien a daba una pun uaci´on de pelig o po encial. Toda es a in o maci´on
la ecopilamos en ablas que luego ue on plasmadas en la memo ia.
En es e paso ap end´ı a ealiza un an´alisis es ´a ico y din´amico de una aplicaci´on m´o il
y cosas como e y en ende que ipos de pe misos solici an las aplicaciones y si suponen
un pelig o pa a el usua io, y el uncionamien o de los di e en es es ´anda es usados en el
an´alisis de ulne abilidades.
Po ´ul imo pasamos a ealiza la memo ia y plasma en ella oda la in o maci´on
es udiada y los expe imen os ealizados sob e las aplicaciones de as eo de con ac os.
Pa a la ealizaci´on de la memo ia nues os u o es nos ecomenda on el uso de la
he amien a LaTeX, he amien a que us´abamos po p ime a ez. Du an e la elabo aci´on
de la memo ia he ap endido a hace uso de la he amien a LaTeX y he comp obado que
es una he amien a muy ´u il pa a la ealizaci´on de es e ipo de abajos, ayudando a
man ene un o ma o adecuado y acili ando la inse ci´on de im´agenes y ablas.
7.2. Alonso Ma
´
ın Zu do 53
7.2. Alonso Ma ´ın Zu do
Du an e los p ime os meses el p ime o obje i o ue la de ecopila in o maci´on en
dis in os abajos sob e el p o ocolo DP-3T, las ulne abilidades que se pueden ealiza y
como se pod ´ıan mi iga adem´as de dis in os modelos de as eo de con ac os, as´ı como las
en ajas de cada uno de ellos. Como es e p o ocolo es ela i amen e nue o, ha sido m´as
complicado encon a in o maci´on ele an e pa a el abajo, aun con odo ap endiendo a
usa el mo o de busqueda de Google Schola pa a encon a dis in os pape s ambi´en se
ha ap endido a il a la in o maci´on ele an e y esumi la de o ma que sea m´as en endible
a la ho a de que alguien ex e no al ema lo lea m´as adelan e.
No ue has a mas adelan e que se publica on a ios pape s sob e el an´alisis de
ulne abilidades en el p o ocolo DP-3T en los que analizaban aplicaciones de odos los
pa´ıses, pe o cen ´andose en el eglamen o gene al de p o ecci´on de da os y compa ando
as´ı las aplicaciones que es aban den o de la UE con las que se desa olla on ue a de
ella. Es e abajo ue cla e pa a en oca el p oyec o y, en conc e o como gu´ıa pa a pode
in e p e a los da os ob enidos po el analizado .
El plan eamien o inicial e a ejecu a dis in os a aques sob e las aplicaciones basados
en BLE que, si no es a bien implemen ado puede da luga a se ios huecos en la segu idad
del sis ema. Todo es e plan eamien o equi i´o un es udio del p o ocolo de Blue oo h en
p o undidad que mas adelan e se acab´o desca ando po un en oque m´as gene al con un
analizado au om´a ico de ulne abilidades.
M´as adelan e empez´o la b´usqueda de he amien as pa a ealiza un en o no de abajo
´alido, en o al se ba aja on 3 en o nos, empezando po la he amien a MobSF ins alado
en Windows de mane a na i a. Es e p ime ace camien o al analizado dio bas an es
p oblemas al ejecu a lo po , como se sab ´ıa mas adelan e una ins alaci´on co up a de
Py hon en el disposi i o.
A con inuaci´on se op ´o po el sis ema Linux San oku, que es a especializado pa a hace
an´alisis sob e disposi i os m´o iles, en especial se ap endi´o a u iliza Wi esha k que si e
pa a hace un an´alisis de los paque es en iados a una ed, conec ´andolo al emulado de
And oid se p e end´ıa analiza el ´a ico de las aplicaciones de o ma manual. La o a
aplicaci´on que ap endi´o en p o undidad ue D oze , que se a a de un amewo k que
u iliza un APK ins alado en el m´o il pa a hace una conexi´on en e el m´o il (emulado ) y
la m´aquina an i iona de San oku pa a ejecu a a aques como inyecciones SQL. Todo es e
ap endizaje se hizo de o ma e´o ica pues cuando se ue a ejecu a la he amien a se acab´o
descub iendo la p o ecci´on con a la emulaci´on de las aplicaciones y se u o que desca a
es e en o no.
Lo siguien e que se p ob´o ue la dis ibuci´on de Linux And ol4b que, aunque en´ıa
menos he amien as pa a la simulaci´on de a aques, con en´ıa la he amien a que es aba
mejo alo ada, que e a MobSF. Con es a he amien a se pudie on ealiza los an´alisis
es ´a icos de las aplicaciones sin necesidad de u iliza un disposi i o ´ısico conec ado. Aun

54 Cap
´
ı ulo 7. Con ibuciones Indi iduales
as´ı es e en o no en´ıa la limi aci´on de solo pode ealiza an´alisis es ´a ico. Al e es o se
op ´o po ins ala la he amien a de o ma na i a en Windows, lo que esul ´o, jun o al
emulado de And oid Genymo ion en el en o no de abajo inal.
Has a encon a una combinaci´on de emulado And oid y analizado que pe mi ie a
busca e o es en las aplicaciones el iempo in e ido en ap ende a maneja los en o nos
an e io es si i´o m´as adelan e pa a en ende mejo la he amien a inal MobSF.
Las aplicaciones que se u iliza on pa a el an´alisis se ob u ie on a a ´es de la p´agina
web APKPu e debido a que muchos p oyec os o iciales no daban acilidades pa a compila
el c´odigo.
Pa a agiliza la b´usqueda de in o maci´on se di idi´o el abajo de documen aci´on y la
especializaci´on ue la b´usqueda y en endimien o del uncionamien o de las he amien as
de an´alisis, as´ı como el uncionamien o in e no de las mismas. Es o incluye los es ´anda es
u ilizados po la he amien a MobSF as´ı como las dis in as ases y ipos de an´alisis
u ilizados po las emp esas de so wa e. Es e conocimien o es ´a plasmado en el Cap´ı ulo 4.
Es e abajo de documen aci´on si i´o pa a en ende de mane a m´as c ´ı ica las pun uaciones
que daba la he amien a MobSF.
T as analiza las aplicaciones se con igu a on dis in as ablas ecabando los esul ados
ob enidos al ejecu a el analizado MobSF. Dichas ablas ag upa on los esul ados seg´un
el luga donde se ob u ie on los e o es, como en el c´odigo o en los pe misos.
Debido al g an olumen de da os que se es aban manejando, se acab´o po desca a
los da os que el analizado de ec aba con ninguna se e idad o da os de la es uc u a. Es a
c iba edujo los da os en un 40 % del o al, lo que hizo el es udio m´as manejable y, po
an o, m´as sencillo.
Una ez clasi icados los e o es se busc´o la se e idad eal de los mismos pa a comp oba
como de g a e e an los esul ados que es aban ma cados como se e os o desconocidos.
Pa a es e p oceso de comp obaci´on se consul a on las p´aginas web de dis in os es ´anda es
como CWE oOWASP MASVS, as´ı como ambi´en la API de Google pa a e el uso de
los pe misos as´ı como las p econdiciones y usos de los mismos. Es o ´ul imo acab´o dando
mucha pe spec i a con lo que espec a a los da os ob enidos y, sob e odo una isi´on de
como se es aban u ilizando cie os pe misos en con a de lo que indicaba la API.
Con oda la in o maci´on con as ada se esc ibi´o la memo ia haciendo uso po p ime a
ez del lenguaje de edici´on LaTeX haciendo hincapi´e en la ealizaci´on de ablas y igu as
adem´as de plasma los esul ados de los an´alisis y las conclusiones de los mismos. El abajo
m´as du o ue el de la o ganizaci´on de la in o maci´on en el documen o, pues debido al g an
olumen de in o maci´on empezaba a se ca´o ica. Las ablas mencionadas an e io men e
si ie on mucho a la ho a de compac a y o ganiza los da os.
Pa a la ealizaci´on de las igu as mencionadas an e io men e se u iliz´o la web d aw.io
que al se la p ime a ez que se mon aba una igu a que compac aba in o maci´on ayud´o
la simplicidad de la he amien a pa a acos umb a se al en o no. Se hizo una excepci´on
con el diag ama de Gan que se hizo uso de la web Lucidcha que hab´ıa sido u ilizada
7.2. Alonso Ma
´
ın Zu do 55
an e io men e pa a asigna u as donde se hab´ıan hecho p oyec os que eque ´ıan de es e
ipo de diag amas.
Todo el uso de la he amien a LaTeX supuso un es ue zo ex a ya que, como se ha
comen ado an e io men e, ha sido la p ime a oma de con ac o con el en o no y ha sido
necesa io un ap endizaje de la ealizaci´on de ablas, el uso de glosa ios y la adecuada
u ilizaci´on de e e encias pa a da una es uc u a adecuada al documen o inal.
Cap´ı ulo 8
Conclusiones y T abajo Fu u o
8.1. Conclusiones
El obje i o de es e abajo e a la comp obaci´on de segu idad en dis in as aplicaciones
eu opeas de as eo de con ac os basadas en el p o ocolo DP-3T median e he amien as
au om´a icas de an´alisis de ulne abilidades. Es o se ha is o alen izado po a ios ac o es.
El p ime o de esos ac o es es la no edad del p o ocolo. Es o p o oca que la in o maci´on
sob e la misma sea educida. El siguien e ac o es la inexpe iencia en el ´ambi o del
an´alisis de ulne abilidades. Es o aumen ´o la cu a de di icul ad de en ada a la ho a
de ealiza los expe imen os como de in e p e a los esul ados de uel os po la misma. El
´ul imo de los ac o es es la p o ecci´on con a emulaciones de las aplicaciones. Como se ha
mencionado en cap´ı ulos an e io es, es as aplicaciones ienen c´odigo que impide emula lo
en una pla a o ma como Genymo ion. Al p incipio ue una g an ba e a pa a ejecu a
los an´alisis, pe o g acias a la he amien a MobSF acab´o po no se m´as p oblema que la
si uaci´on inicial.
Aun as´ı, el esul ado ue sa is ac o io y se pudo encon a la mane a de ejecu a los
an´alisis sob e las aplicaciones. Es os an´alisis se ejecu a on con la ayuda de un analizado
au om´a ico llamado MobSF que ejecu aba sob e un emulado de And oid, Genymo ion,
las aplicaciones que usan el p o ocolo DP-3T con la in enci´on de encon a b echas en la
segu idad y con ellas hace un in o me, pun uando seg´un los es ´anda es de la he amien a,
es ableciendo as´ı un g ado de se e idad de los e o es encon ados. Los es ´anda es de
es a he amien a se de alla su uncionamien o ´ın eg amen e en el Cap´ı ulo 4, es os son
CVSS que ayuda a pun ua de o ma num´e ica la g a edad de los esul ados, OWASP
MASVS que de alla los equisi os m´ınimos de cibe segu idad eque idos en una aplicaci´on
con ca ac e ´ıs icas simila es, y CWE que de alla los a aques que se pueden ealiza con
de e minados e o es en la segu idad.
El esul ado inal de los an´alisis han sido nega i os en cuan o a los pe misos o o gados,
e o es de c´odigo en e o os. Como se de alla en el Cap´ı ulo 6las pun uaciones po pa e
del analizado MobSF han sido bajas en gene al, con una media de 47.7 de pun uaci´on
57
64 Cap
´
ı ulo 9. In oduc ion
9.4. S uc u e O This Pape
The es o he wo k is o ganized in se en chap e s wi h he s uc u e ha is commen ed
below:
Chap e 2con ex ualizes and b ie ly in oduces he o igins, concep s and heo e ical
bases o con ac acing applica ions in a gene al way.
In Chap e 3 he decen alized p oximi y acking p o ocol is discussed in mo e de ail.
Thei ypes and hei ope a ion a e desc ibed, as well as analyzing and compa ing hei
p i acy and secu i y be ween he di e en models ha exis .
Chap e 4con ex ualizes he ope a ion o ulne abili y analysis ools. The di e en
ypes a e e iewed and he s anda ds used by he ool used o analyze he applica ions
a e explained in de ail.
Chap e 5p esen s di e en wo ks ela ed o his, explaining he esul s ob ained.
Chap e 6de ails he esul s o he analyzes ca ied ou on he di e en Eu opean
applica ions and how he analysis labo a o y is con igu ed.
Chap e 7summa izes he indi idual con ibu ions o each membe o he wo k eam.
Chap e 8concludes his wo k: b ie ly summa izing he p ojec expe ience and
analyzing he esul s o he analyzes. Fu u e wo k and possible lines o esea ch a e
p esen ed.
Chap e s 9and 10 a e English ansla ions o Chap e s 1and 8, espec i ely.

Cap´ı ulo 10
Conclusions and Fu u e Wo ks
10.1. Conclusions
The objec i e o his wo k was o e i y secu i y in di e en Eu opean con ac acing
applica ions based on he DP-3T p o ocol using au oma ic ulne abili y analysis ools.
This has been slowed down by se e al ac o s.
The i s o hese ac o s is he no el y o he p o ocol. This causes he in o ma ion on
i o be educed. The nex ac o is inexpe ience in he ield o ulne abili y analysis. This
inc eased he en y di icul y cu e when pe o ming he expe imen s and in e p e ing he
esul s e u ned by i . The las ac o is p o ec ion agains applica ion emula ions. As
men ioned in p e ious chap e s, hese applica ions ha e code ha p e en s emula ion on
a pla o m like Genymo ion. A i s i was a big ba ie o un he analyzes, bu hanks
o he MobSF ool i ended up being no mo e o a p oblem han he ini ial si ua ion.
E en so, he esul was sa is ac o y and a way could be ound o un he scans on he
applica ions. These analyzes we e execu ed wi h he help o an au oma ic analyze called
MobSF ha an on an And oid emula o , Genymo ion, he applica ions ha use he
DP-3T p o ocol wi h he in en ion o inding secu i y gaps and wi h hem make a epo ,
sco ing acco ding o he s anda ds o he ool, hus es ablishing a deg ee o se e i y o he
e o s ound. The s anda ds o his ool a e ully de ailed in Chap e e Chap e 4, hese
a e CVSS which helps o nume ically sco e he se e i y o he esul s, OWASP MASVS
which de ails he minimum cybe secu i y equi emen s equi ed in an applica ion wi h
simila cha ac e is ics, and CWE which de ails he a acks ha can be ca ied ou wi h
ce ain secu i y e o s.
The inal esul o he analysis has been nega i e in e ms o he pe missions g an ed,
code e o s among o he s. As de ailed in Chap e 6, he sco es om he MobSF analyze
ha e been low in gene al, wi h an a e age sco e o 47.7 and 6.56 poin s acco ding o
he CVSS s anda d, which indica es ha hey a e in medium se e i y, only 0.44 poin s
om s a ing o be conside ed high se e i y. This is due o he mishandling o sensi i e
in o ma ion ha has been de ec ed and he use o enc yp ion algo i hms known o ha e
65
66 Cap
´
ı ulo 10. Conclusions and Fu u e Wo ks
secu i y p oblems, which causes hei use o be discou aged.
The mos c i ical e o s a e he use o he SHA-1 and MD5 c yp og aphic algo i hms
ha a e known o ha e hash collisions, his means ha se e al inpu s o he hash unc ion
can achie e he same ou pu , c ea ing a secu i y b each. Ano he c i ical e o is he use
o se e al ypes o localiza ion (p ecise and app oxima e) When he Google API explici ly
s a es ha one o he o he should be used i necessa y, bu no bo h.
All his can be imp o ed wi h new e sions o he applica ions whe e all hese aspec s
a e deal wi h. I is also unde s ood ha he ime ha he de elopmen eams o
hese applica ions may ha e had may ha e been e y educed aking in o accoun he
spon anei y o he COVID-19 pandemic, which may ha e led o subop imal decisions
du ing de elopmen o mo e ocused on unc ionali y a he han p o ec ing he p i acy
and secu i y o end use s. All his does no mean ha he lack o he a o emen ioned
secu i y elemen s is due o he ac ha hey did no ind i ele an o ein o ce secu i y,
bu a he ha hey may ha e ein o ced o he s ha ha e no been de ec ed as e o s o
ha eason.
10.2. Fu u e Wo ks
As possible u u e wo ks, i could be in e es ing o ca y ou he ollowing ac ions:
Analyze he la es e sions o mobile applica ions o see i hey ha e imp o ed
applica ion secu i y.
Analyze, apa om Eu opean applica ions, applica ions om he es o he wo ld.
Analyze mobile con ac acing applica ions ha use cen alized models.
Use o he ypes o mobile applica ion analyze s ha use mo e upda ed and mode n
s anda ds.
Take a close look a he andom numbe gene a o o see o wha ex en i a ec s
he ope a ion o EphID c ea ion.
Simula e a eal a ack on a mobile de ice ha has a con ac acing applica ion
ins alled, such as a DoS Blue oo h a ack.
Bibliog a ´ıa
[CBB+20] Claude Cas elluccia, Na aliia Bielo a, An oine Bou e , Ma hieu Cunche,
C´ed ic Lau adoux, Daniel Le M´e aye , and Vincen Roca. Desi e: A hi d
way o a eu opean exposu e no i ica ion sys em. h ps://gi hub.com/
3 d-ways- o -EU-exposu e-no i ica ion/p ojec -DESIRE/blob/mas e /
DESIRE-speci ica ion-EN- 1_0.pd , May 2020.
[CIY20] Hyunghoon Cho, Daphne Ippoli o, and Yun William Yu. Con ac acing mobile
apps o co id-19: P i acy conside a ions and ela ed ade-o s. a Xi p ep in
a Xi :2003.11511, 2020.
[De 15] And oid De elope s. C2d dep eca ed. h ps://de elope s.google.com/and oid/
c2dm, Jul 2015.
[De 19] And oid De elope s. Pe misos ble. h ps://de elope .and oid.com/guide/
opics/connec i i y/blue oo h-le#pe missions, Dec 2019.
[De 20a] And oid De elope s. Funciones de ha dwa e pa a la iu del disposi i o. h ps:
//de elope .and oid.com/guide/ opics/mani es /uses- ea u e-elemen ?
hl=es-419#loca ion-hw- ea u es, Ap 2020.
[De 20b] And oid De elope s. Pe misos que implican equisi os de unciones. h ps:
//de elope .and oid.com/guide/ opics/mani es /uses- ea u e-elemen ?
hl=es-419#pe missions, Ap 2020.
[Goo15] Google. Ac i i y ecogni ion api. h ps://de elope s.google.com/
loca ion-con ex /ac i i y- ecogni ion, Jun 2015.
[Goo21] Google. Pe misos de ubicaci´on. h ps://de elope s.google.com/maps/
documen a ion/and oid-sdk/loca ion?hl=es-419#loca ion_pe missions, Ap
2021.
[G i20] Ya on G ili. Secu i y analysis o he co id-19 con ac acing speci ica ions by apple
inc. and google inc. IACR C yp ol. eP in A ch., 2020:428, 2020.
[HWMF21] Majid Ha amian, Samuel Wai imu, Nu ul Momen, and Lo ha F i sch. A p i acy and
secu i y analysis o ea ly-deployed co id-19 con ac acing and oid apps. Empi ical
So wa e Enginee ing, 26(3):1–51, 2021.
[IMP] IMPERVA. Pene a ion es ing. h ps://www.impe a.com/lea n/
applica ion-secu i y/pene a ion- es ing/.
67
68 BIBLIOGRAF´
IA
[JD20] Nele Quas Jenny Wange Samee Halai And eas Gebha d Ka e Gallaghe
Jason D’O azio, Ch is oph S einlehne . Tcn ux ecommenda ions
whi epape . h ps://gi hub.com/TCNCoali ion/whi epape s/blob/mas e /
cn-ux- ecommenda ions-whi epape - 1.pd , June 2020.
[LR] Punee Meh a Linda Rosenc ance. pen es (pene a ion es ing). h ps://
sea chsecu i y. ech a ge .com/de ini ion/pene a ion- es ing.
[MKHR+20] Tania Ma in, Geo gios Ka opoulos, Jos´e L He n´andez-Ramos, Geo gios
Kambou akis, and Igo Nai Fo ino. Demys i ying co id-19 digi al con ac
acing: A su ey on amewo ks and mobile apps. Wi eless Communica ions and
Mobile Compu ing, 2020, 2020.
[OWA17] OWASP. Owasp op en. h ps://owasp.o g/www-p ojec - op- en/, 2017.
[PLO21] MITRE PLOVER, E ic Dalci. Cwe-200: Exposu e o sensi i e in o ma ion o an
unau ho ized ac o . h ps://cwe.mi e.o g/da a/de ini ions/200.h ml, Ma
2021.
[PM07] Sasha Romanosky Pe e Mell, Ka en Sca one. A comple e guide o he common
ulne abili y sco ing sys em. h ps://www. i s .o g/c ss/ 2/guide, Jun 2007.
[RWI+20] Ronald L Ri es , DJ Wei zne , LC I e s, Is ael Soibelman, and MA Zissman. Pac :
P i a e au oma ed con ac acing. Re ie ed Decembe , 2:2020, 2020.
[SS20] Ca los Holgue a S en Schlei e, Je oen Willemsen. Mobile Applica ion Secu i y
Ve i ica ion S anda d. In Mobile Applica ion Secu i y Ve i ica ion S anda d, pages 4
– 17, Ma ch 2020.
[TPH+20] Ca mela T oncoso, Ma hias Paye , Jean-Pie e Hubaux, Ma cel Sala h´e, James
La us, Edoua d Bugnion, Wou e Lueks, The esa S adle , Apos olos Py gelis, Daniele
An onioli, e al. Decen alized p i acy-p ese ing p oximi y acing. a Xi p ep in
a Xi :2005.12273, 2020.
[Vau20] Se ge Vaudenay. Cen alized o decen alized? he con ac acing dilemma. Technical
epo , 2020.