Análisis de Vulnerabilidades en Aplicaciones de Rastreo de Covid-19 basadas en el Protocolo DP3T

An´alisis de Vulne abilidades en Aplicaciones de Ras eo de Co id-19 basadas en el P o ocolo DP3T Vulne abili ies Analysis in COVID-19 T acking Applica ions based on he DP3T P o ocol TRABAJO FIN DE GRADO GRADO EN INGENIER´ IA DE COMPUTADORES CURSO 2020–2021 Alonso Ma ´ın Zu do Pablo Izquie do Ga bajosa Di ec o es F ancisco Ja ie C espo Y´a˜nez Luis Ja ie Ga c´ıa Villalba Depa amen o de Sis emas In o m´a icos y Compu aci´on Facul ad de In o m´a ica Uni e sidad Complu ense de Mad id Mad id, Junio de 2021 ´ Indice Gene al ´ Indice de Figu as VII ´ Indice de Tablas IX Lis a de Ac ´ onimos XI Abs ac XIII Resumen XV 1. In oducci´ on 1 1.1. Mo i aci´on .................................... 1 1.2. Obje i os ..................................... 1 1.3. Plan de T abajo ................................. 2 1.4. Es uc u a del T abajo .............................. 4 2. Aplicaciones de Ras eo de Con ac os 5 2.1. O igen ....................................... 5 2.2. Tipos de Aplicaciones de Ras eo ........................ 6 2.3. Modelos Descen alizados ............................ 6 2.4. Modelos Cen alizados .............................. 7 2.5. Tipos de Ad e sa ios ............................... 8 3. P o ocolo de Ras eo de P oximidad Descen alizado pa a P ese a la P i acidad 11 3.1. Funcionamien o de DP-3T ............................ 11 3.1.1. Ras eo de P oximidad Descen alizado de Bajo Consumo ...... 12 3.1.2. Ra eo de P oximidad Descen alizado no Vinculable ......... 12 3.1.3. Ras eo de P oximidad Descen alizado H´ıb ido ............ 13 3.2. Riesgos de P i acidad y Segu idad ....................... 13 3.2.1. An´alisis de P i acidad .......................... 13 3.2.1.1. P i acidad del Dise˜no de Bajo Consumo ........... 14 3.2.1.2. P i acidad del Dise˜no no Vinculable ............. 14 iii i ´ INDICE GENERAL 3.2.1.3. P i acidad del Dise˜no H´ıb ido ................ 15 3.2.2. An´alisis de Segu idad .......................... 16 3.2.2.1. Segu idad del Dise˜no de Bajo Consumo ........... 16 3.2.2.2. Segu idad del Dise˜no no Vinculable ............. 16 3.2.2.3. Segu idad del Dise˜no H´ıb ido ................. 17 3.2.3. P i acidad en Modelos Cen alizados s Descen alizados ...... 17 3.2.4. Segu idad en Modelos Cen alizados s Modelo Descen alizados . . 18 4. T´ ecnicas de An´ alisis de Vulne abilidades 19 4.1. P ueba de Pene aci´on .............................. 19 4.1.1. Fases .................................... 19 4.2. Tipos de P uebas ................................. 20 4.3. Es ´anda es .................................... 21 4.3.1. Sis ema de Pun uaci´on de Vulne abilidades Comunes ......... 22 4.3.2. Es ´anda es de Ve i icaci´on de Segu idad en Aplicaciones M´o iles del P oyec o Abie o de Segu idad de Aplicaciones Web ......... 29 4.3.3. Enume aci´on de Debilidades Comunes ................. 31 5. T abajos elacionados 33 6. An´ alisis de Vulne abilidades en Aplicaciones Eu opeas de Ras eo de Co id-19 basadas en el P o ocolo DP3T 39 6.1. P epa aci´on del labo a o io de abajo ..................... 39 6.2. Aplicaciones .................................... 41 6.3. An´alisis de Resul ados .............................. 41 6.3.1. An´alisis Gene al ............................. 42 6.3.2. An´alisis de Pe misos ........................... 42 6.3.3. An´alisis de C´odigo ............................ 47 7. Con ibuciones Indi iduales 51 7.1. Pablo Izquie do Ga bajosa ............................ 51 7.2. Alonso Ma ´ın Zu do ............................... 53 8. Conclusiones y T abajo Fu u o 57 8.1. Conclusiones ................................... 57 8.2. T abajo Fu u o .................................. 58 9. In oduc ion 61 9.1. Mo i a ion .................................... 61 9.2. Objec i es ..................................... 61 9.3. Wo kplan ..................................... 62 9.4. S uc u e O This Pape ............................. 64 ´ INDICE GENERAL 10.Conclusions and Fu u e Wo ks 65 10.1. Conclusions .................................... 65 10.2. Fu u e Wo ks ................................... 66 Bibliog a ´ ıa 67 ´ Indice de Figu as 1.1. Diag ama de Gan ................................ 3 2.1. Ras eo de p oximidad pa a dise˜nos cen alizados PEPP-PT-NTK y OpenT ace. .................................... 8 3.1. P oceso de as eo de p oximidad ........................ 12 4.1. Fases del An´alisis de Pene aci´on ........................ 20 4.2. Diag ama de uncionamien o de los es de caja neg a y de caja blanca . . . 21 4.3. Uso de m´e icas pa a el c´alculo del alo CVSS ................ 22 4.4. ´ A bol de decisi´on pa a calcula en alo CVSS Final ............. 27 4.5. Con oles de segu idad MASVS ......................... 31 5.1. (a) A aque de consumo de ene g´ıa. (b) A aque de consumo de almacenamien o. 33 5.2. (a) A aque de e ansmisi´on. (b) A aque de epe ici´on. ............ 34 5.3. A aque de olling. ................................ 34 6.1. Emulado Genymo ion .............................. 40 6.2. In e az de la he amien a MobSF. ....................... 40 6.3. Tipos de pe misos po aplicaci´on ........................ 46 6.4. N´ume o de p oblemas de c´odigo po aplicaci´on ................ 49 9.1. Gan Diag am .................................. 63 ii ´ Indice de Tablas 1.1. Ta eas Realizadas a lo la go del P oyec o ................... 2 4.1. Desc ipci´on de los g upos de m´e icas de CVSS V2 .............. 23 4.2. M´e icas del g upo Base ............................. 24 4.3. M´e icas del g upo Tempo al .......................... 25 4.4. M´e icas del g upo de En o no ......................... 25 4.5. Valo de las m´e icas de En o no ........................ 27 4.6. Valo de las m´e icas Base ............................ 28 4.7. Valo de las m´e icas de En o no ........................ 28 4.8. Vulne abilidades m´as impo an es de CWE .................. 31 5.1. P incipales ca ac e ´ıs icas de los amewo ks de as eo de con ac os. . . . . 36 5.2. Tabla de las 28 aplicaciones analizadas. .................... 37 6.1. Aplicaciones analizadas ............................. 41 6.2. Pun uaciones de MobSF ............................. 44 6.3. Pe misos de las aplicaciones de la Tabla 6.1 .................. 45 6.4. P oblemas de c´odigo de ec ados en las aplicaciones po MobSF ....... 48 6.5. Aplicaciones con los p oblemas de c´odigo de la Tabla 6.4 ........... 50 9.1. Tasks Pe o med h oughou he P ojec .................... 62 ix Cap´ı ulo 1 In oducci´on 1.1. Mo i aci´on Debido a la pandemia mundial p o ocada po el COVID-19 a p incipios de 2020, imos como el n´ume o de pe sonas con agiadas po es e i us c ec´ıa a una elocidad muy al a, causando la sa u aci´on de los hospi ales, muchos allecimien os y lle ando a muchos pa´ıses a impone un con inamien o domicilia io du an e meses. Pa a con ola los con agios y ac ua de mane a ´apida an e un caso de una pe sona con agiada po el i us y e i a su expansi´on, su ge un abajo cla e que es el as eado , que es una pe sona que se dedica a in es iga los con ac os ce canos que ha enido una pe sona que ha dado posi i o en COVID-19 pa a a isa les y que hagan una cua en ena domicilia ia y se ealicen las p uebas co espondien es. Debido a la ´apida expansi´on del i us, el as eo manual se uel e un abajo muy a duo e imposible de consegui , po lo que deja de se e ec i o, ya que, po ejemplo, si una pe sona con agiada ha es ado usando el anspo e p´ublico es imposible con ac a con odas esas pe sonas con las que ha compa ido ag´on. Po es e mo i o su ge la idea de c ea una aplicaci´on m´o il pa a hace un as eo digi al de con ac o m´as e ec i o. Pe o con el as eo median e una aplicaci´on m´o il, su ge, en las pe sonas, la p eocupaci´on y el emo de que con es e sis ema se iole su p i acidad e in imidad y sus da os queden expues os a posibles hacke s, p o ocando que los usua ios no hagan uso del sis ema y con ello se pie da la e ec i idad del as eo de con ac os. 1.2. Obje i os El obje i o de es e abajo es analiza que ipo de ulne abilidades pueden ene las aplicaciones m´o iles pa a el as eo de con ac os que se basan en el p o ocolo DP-3T. Pa a ello se hace uso de una he amien a de an´alisis au om´a ico de ulne abilidades pa a aplicaciones m´o iles, con la que se hace un an´alisis es ´a ico y din´amico de las aplicaciones que nos ayuda ´a a comp oba los di e en es ipos de ulne abilidades que pueden ene 1 2Cap ´ ı ulo 1. In oducci´ on dichas aplicaciones y si se pone en iesgo la segu idad y p i acidad de los usua ios que las usan. 1.3. Plan de T abajo En la Tabla 1.1 se esumen las a eas ealizadas a lo la go del desa ollo del p oyec o. Adicionalmen e, se adjun a en la Figu a 1.1 un diag ama de Gan que ilus a las a eas y su empo alidad. Iden i icado Ta ea 1 In es igaci´on 1.1 Lec u a e In es igaci´on de a ´ıculos acad´emicos 2 Documen aci´on 2.1 Busqueda de in o maci´on sob e el p o ocolo DP-3T 2.2 Busqueda de in o maci´on sob e el an´alisis de pene aci´on y dis in as he amien as 3 Busqueda del en ono de abajo 3.1 P ueba de dis in as he amien as 3.2 Con igu aci´on del en o no de abajo inal 4 Expe imen aci´on 4.1 Ob enci´on de APK de las aplicaciones 4.2 An´alisis es ´a ico 4.3 An´alisis de los esul ados 5 Memo ia 5.1 Ano aciones, ci as y ecopilaci´on de a ´ıculos 5.2 Redacci´on de la memo ia Tabla 1.1: Ta eas Realizadas a lo la go del P oyec o 1.3. Plan de T abajo 3 Figu a 1.1: Diag ama de Gan 4Cap ´ ı ulo 1. In oducci´ on 1.4. Es uc u a del T abajo El es o del abajo es ´a o ganizado en sie e cap´ı ulos con la es uc u a que se comen a a con inuaci´on: El Cap´ı ulo 2con ex ualiza e in oduce b e emen e los o ´ıgenes, concep os y bases e´o icas de las aplicaciones de as eo de con ac os de mane a gene al. En el Cap´ı ulo 3se habla m´as en de alle del p o ocolo de as eo de p oximidad descen alizado. Se desc iben sus ipos y su uncionamien o adem´as de analiza y compa a su p i acidad y segu idad en e los dis in os modelos que exis en. En el Cap´ı ulo 4con ex ualiza al uncionamien o de las he amien as de an´alisis de ulne abilidades. Se epasan los dis in os ipos y se explican en de alle los es ´anda es que usa la he amien a u ilizada pa a hace el an´alisis de las aplicaciones. El Cap´ı ulo 5p esen a dis in os abajos elacionados con es e, explicando los esul ados que se ob u ie on. En el Cap´ı ulo 6se de allan los esul ados de los an´alisis ealizados a las dis in as aplicaciones eu opeas y como es ´a con igu ado el labo a o io de an´alisis. El Cap´ı ulo 7 esume las apo aciones indi iduales de cada in eg an e del equipo de abajo. El Cap´ı ulo 8concluye es e abajo: esumiendo b e emen e la expe iencia del p oyec o y analizando los esul ados de los an´alisis. Se p esen a el abajo u u o y las posibles l´ıneas de in es igaci´on. Los Cap´ı ulos 9y10 son aducciones al ingl´es de los Cap´ı ulos 1y8, espec i amen e. Cap´ı ulo 2 Aplicaciones de Ras eo de Con ac os El as eo de con ac os es uno de los m´e odos u ilizados pa a con ene una epidemia m´edica. Al as ea a los humanos expues os a una pe sona in ec ada, se puede educi la p opagaci´on de in ecciones si esas pe sonas po encialmen e in ec adas pueden aisla se de la poblaci´on es an e. Adem´as, el as eo de con ac os ayuda a as ea las ´a eas que es ´an expues as a una in ecci´on [HWMF21]. A a´ız del b o e pand´emico de la COVID-19 su gie on di e en es en oques que p esen aban soluciones ecnol´ogicas pa a mejo a la de ecci´on y as eo emp ano de posibles b o es de COVID-19. Sob e ´es as ecnolog´ıas su gie on muchas dudas sob e la segu idad y la p i acidad de los usua ios. Es o ab i´o un deba e sob e el ipo de modelo a segui , po una pa e un modelo cen alizado y po o a pa e un modelo descen alizado. En la Secci´on 2.1 se habla del o igen de las aplicaciones de as eo de con ac o, en la Secci´on 2.2 se desc ibe el obje i o y los ipos de aplicaciones de as eo de con ac os, las ca ac e ´ıs icas de los modelos descen alizados de las aplicaciones de as eo de con ac os se desc ibe en la Secci´on 2.3, las ca ac e ´ıs icas de los modelos cen alizados se desc iben en la Secci´on 2.4. Finalmen e, en la Secci´on 2.5, se p esen an los p incipales ipos de ad e sa ios que se pueden encon a . 2.1. O igen La pandemia de la COVID-19 se ha ex endido muy ´apidamen e. Muy pocos pa´ıses han log ado man ene lo bien con olado, pe o una de las p incipales he amien as que u ilizan a ios de es os pa´ıses es el as eo de con ac os. Espec´ı icamen e, siemp e que una pe sona es diagnos icada de COVID-19, cada pe sona que es u o en con ac o con esa pe sona in ec ada es a isada y se le dice que se ponga en cua en ena. Al p incipio el as eo de con ac os pod´ıa hace se manualmen e, pe o con miles de casos el as eo de con ac os manual se uel e mucho m´as di ´ıcil [CIY20]. A a´ız de es a di icul ad, los gobie nos de los pa´ıses, pa a ayuda a las au o idades sani a ias nacionales, decidie on implemen a 5 6Cap ´ ı ulo 2. Aplicaciones de Ras eo de Con ac os aplicaciones m´o iles de as eo de con ac os pa a au oma iza y acili a la labo de as ea a las pe sonas que hayan es ado en con ac o con una pe sona con agiada. 2.2. Tipos de Aplicaciones de Ras eo El p incipal obje i o de es e ipo de aplicaciones es de ec a lo an es posible nue as uen es po enciales de in ecci´on, de modo que la p opagaci´on de COVID-19 pueda mi iga se ´apidamen e. Has a aho a se pueden encon a dos ipos de aplicaciones m´o iles [MKHR+20]. Aplicaci´ on de seguimien o de con ac os: Se basa en los ma cos de as eo de con ac os digi ales descen alizados y cen alizados que se basan en ecnolog´ıa inal´amb ica de p oximidad como Blue oo h Low Ene gy (BLE). Cuando dos usua ios es ´an ´ısicamen e ce ca, los sma phones se en ´ıan su iden idad en ´e minos de Ephime al Iden i ie (EphID) en e s´ı. Cada sma phone egis a odos sus encuen os que ocu ie on den o de un pe ´ıodo de iempo. Aplicaci´ on pa a compa i ubicaci´ on: Se basa en la in o maci´on de posicionamien o del sma phone, es deci , median e as eo GPS o mapeo de o es de ele on´ıa m´o il. Pa a una aplicaci´on de es e ipo, el usua io debe acep a que su sma phone en ´ıe de o ma egula su posici´on a un se ido cen al, que puede asigna , du an e un pe ´ıodo de iempo ilimi ado, a cada usua io. Si un usua io in o ma una in ecci´on po COVID-19, en onces se ad ie e de la si uaci´on a odos los usua ios que es u ie on ce ca del usua io in ec ado. 2.3. Modelos Descen alizados Ac ualmen e el deba e sob e los sis emas de as eo de con ac os se cen a en soluciones basadas en ecnolog´ıa Blue oo h. En odos los sis emas, la aplicaci´on emi e ecuen emen e un EphID, al mismo iempo, la aplicaci´on ecopila los EphID que ecibe de la aplicaci´on de o os usua ios ce canos, ges ionando dos lis as de iden i icado es, los en iados y los ecibidos. Los iden i icado es se almacenan indicando cu´ando se en ia on y ecibie on, con bas an e ecuencia, los iden i icado es an iguos son eliminados de las lis as [Vau20]. En los modelos descen alizados odo se gene a localmen e en el sma phone del usua io. Cuando un usua io es diagnos icado, ecibe de la au o idad sani a ia un oken que le pe mi e ca ga in o maci´on en un backend cen al. Es a ope aci´on equie e su consen imien o y el usua io puede ene un con ol sob e qu´e ca ga [Vau20]. Algunos de los m´e odos descen alizados son: P i a e Au oma ed Con ac T acing (PACT)(MIT):PACT es una colabo aci´on lide ada po el Labo a o io de Ciencias de la Compu aci´on e In eligencia 2.4. Modelos Cen alizados 7 A i icial del MIT. Es un en oque simple y descen alizado pa a el uso de disposi i os de comunicaci´on digi al pe sonal pa a la au oma izaci´on de la de ecci´on de exposici´on median e la se˜nalizaci´on BLE [RWI+20]. Tempo a y Con ac Numbe s (TCN) Coali ion: Es una comunidad global de ecn´ologos unidos po la misi´on de apoya aplicaciones de no i icaci´on de exposici´on du an e la pandemia de COVID-19 [JD20]. DP-3T: Es e sis ema p opo ciona una base ecnol´ogica pa a ayuda a ena la p opagaci´on del COVID-19 simpli icando y acele ando el p oceso de no i icaci´on de pe sonas que pod ´ıan habe es ado expues as al i us pa a que puedan oma las medidas pa a ompe su cadena de ansmisi´on [TPH+20]. Es e p o ocolo se de alla m´as ampliamen e en el cap´ı ulo 3. OpenCo idT ace: Su obje i o es in eg a los p o ocolos de as eo de con ac os m´as popula es basados en BLE y p opo ciona unciones adicionales adem´as de ellos. Tales p o ocolos incluyen DP-3T, Google/Apple, Exposu e No i ica ion y BlueT ace. Sigue las especi icaciones DP-3T o iginales [MKHR+20]. Whispe T acing: Las iden i icaciones empo ales se gene an pe i´odicamen e en el sma phone del usua io y se in e cambia con sma phones ce canos a a ´es de BLE. Cuando un usua io es ´a in ec ado, la aplicaci´on ca ga a un se ido cen al las semillas que se u iliza on pa a p oduci los Iden i icado (ID) empo ales de las ´ul imas dos semanas. 2.4. Modelos Cen alizados Al con a io que en el modelo descen alizado, es el se ido cen al el que es ima la p obabilidad de exposici´on, en luga de se el sma phone localmen e. Es el se ido el que no i ica a los usua ios del iesgo o ´es os consul an el se ido sob e su es ado. El se ido cen al iene un pseudo-iden i icado a la go plazo pa a cada usua io y lo usa pa a de i a los EphID que se en ´ıan a los sma phones. En caso de un diagn´os ico posi i o, los usua ios pueden da pe miso pa a que su m´o il en ´ıe la lis a egis ada de obse aciones al se ido pa a pe mi i el as eo de p oximidad. A con inuaci´on se desc iben los p o ocolos m´as conocidos [TPH+20]: Pan-Eu opean P i acy-P ese ing P oximi y T acing Need To Know (PEPP-PT-NTK) y OpenT ace: Ejecu an el p oceso de as eo de p oximidad despu´es de que un usua io diagnos icado haya subido su lis a de obse aciones [(EphID, iempo, du aci´on)] pa a la en ana con agiosa. El backend ecupe a los pseudo-iden i icado es a la go plazo de los usua ios en iesgo de los EphID in o mados y ac i a un p oceso pa a no i ica les si su exposici´on es lo su icien emen e al a, como se mues a en la Figu a 2.1. 8Cap ´ ı ulo 2. Aplicaciones de Ras eo de Con ac os Figu a 2.1: Ras eo de p oximidad pa a dise˜nos cen alizados PEPP-PT-NTK y OpenT ace. ROBus and p i acy-p esER ing p oximi y T acing (ROBERT): El backend as ea la exposici´on de cada usua io del sis ema. El se ido asocia es os EphID obse ados a la go plazo con pseudo-iden i icado es de usua ios en iesgo. No no i ica a los pacien es, los usua ios deben consul a el se ido egula men e pa a sabe su es ado de exposici´on. DESIRE[CBB+20]: Gene an iden i icado es en el sma phone, sin deja de es ima la exposici´on de o ma cen alizada. En luga de ansmi i iden i icado es e ´ıme os e independien es, los sma phones en DESIRE ansmi en cla es p´ublicas e ´ıme as que, cuando se combinan con las cla es p´ublicas de o os sma phones, p oducen el EphID. En caso de un diagn´os ico posi i o, los usua ios pueden da pe miso pa a que su sma phone en ´ıe una e si´on de los EphID obse ados al backend pa a pe mi i el as eo de p oximidad. 2.5. Tipos de Ad e sa ios Los ad e sa ios son pe sonas, g upos u o ganizaciones que in en an comp ome e la segu idad/p i acidad del se icio de as eo de con ac os o in e umpi su uncionamien o. Los ad e sa ios pod ´ıan in en a las siguien es acciones pa a a aca un sis ema de as eo de con a os digi ales [MKHR+20]: In e cep a , bloquea , modi ica , inyec a o ep oduci cualquie mensaje en el canal de comunicaci´on p´ublica. U iliza la aplicaci´on m´o il pa a accede al sis ema y habili a o deshabili a el se icio de no i icaci´on de la aplicaci´on a olun ad. 2.5. Tipos de Ad e sa ios 9 Cuando co esponda, el mismo ad e sa io puede in en a egis a se en el se icio a ias eces, es deci , c ea a ios pe iles. El mismo ad e sa io puede lle a a ios disposi i os e ins ala la(s) aplicaci´on(es) en cada uno de ellos. El mismo ad e sa io puede in en a ins ala la aplicaci´on leg´ı ima jun o con las pe sonalizadas en el mismo disposi i o. Ins ala an enas de al a po encia pa a ampli ica su se˜nal de ecepci´on y ansmisi´on pa a cub i un ´a ea m´as amplia con el p op´osi o de aumen a su capacidad de seguimien o o ansmisi´on. Accede a los da os almacenados en el disposi i o. Causa Denial o Se ice (DoS), conmoci´on en el sis ema, acoso al usua io inal o con amina los da os p opo cionados al sis ema. Con igu a y ope a su p opio se ido backend malicioso. Tene acceso al c´odigo uen e del se ido backend. Alia se con o os usua ios inales, pe sonas que abajan pa a las au o idades sani a ias o policiales, o adminis ado es del backend. Comp ome e un se ido backend y la in aes uc u a de la Tecnolog´ıa de la In o maci´on (TI) subyacen e. Enga˜na /a ae a los usua ios inales pa a que ins alen malwa e en sus disposi i os. Tan o en los modelos cen alizados como en los modelos descen alizados se pueden encon a di e en es ipos de ad e sa ios maliciosos que se desc iben a con inuaci´on [TPH+20]: Usua ios egula es: Mi an exclusi amen e la in o maci´on disponible a a ´es de la in e az de usua io de la aplicaci´on pa a in e i in o maci´on p i ada sob e o os usua ios. Tech-sa y use : Tiene acceso al sis ema a a ´es de la aplicaci´on m´o il. Adem´as, puede con igu a (BT, WiFi y sma phones) pa a escucha a escondidas localmen e. Finalmen e, puede descompila /modi ica la aplicaci´on y ene acceso al c´odigo uen e del backend. Esp´ ıa: Puede obse a la comunicaci´on de la ed y/o mensajes de di usi´on e in en a as ea a las pe sonas. Au o idad sani a ia: Tienen in o maci´on de pe sonas en iesgo s´olo cuando la misma pe sona en iesgo lo no i ica. 16 Cap ´ ı ulo 3. P o ocolo de Ras eo de P oximidad Descen alizado pa a P ese a la P i acidad 3.2.2. An´alisis de Segu idad Las p incipales p eocupaciones sob e la segu idad son [TPH+20]: E en os de exposici´ on alsa: Pod ´ıa hace c ee a un usua io que es ´a en iesgo. Sup imi con ac os de iesgo: Que un usua io posi i o o el backend e i en que o as pe sonas se en e en de que es ´an en iesgo. E i a el descub imien o de con ac os: Un a acan e pod ´ıa pe u ba el sis ema y e i a el descub imien o de con ac os. 3.2.2.1. Segu idad del Dise˜ no de Bajo Consumo A con inuaci´on se analiza la segu idad del dise˜no de bajo consumo a pa i de las p eocupaciones is as an e io men e. E en os de exposici´ on alsa. Un a acan e con una an ena po en e puede desencadena alsas ale as de exposici´on. Como esul ado, o os disposi i os ce canos pueden in e ac ua con el disposi i o del a acan e. Pa a comple a el a aque, el a acan e debe asegu a se que ´es as in e acciones se ma quen como e en os de exposici´on. Pa a ello, el a acan e puede: 1) ´ El mismo da posi i o y lle a su disposi i o al hospi al. 2) Sobo na a una pe sona posi i a pa a que lle e el disposi i o del a acan e al hospi al. 3) Secues a /sobo na a la au o idad sani a ia que au o iza a los posi i os ac i a el as eo. 4) Comp ome e el se ido backend. Como los EphID de i an de una semilla usando una unci´on hash y una unci´on pseudoalea o ia, es in iable que un a acan e sepa la semilla del usua io al obse a sus ansmisiones. Sup imi con ac os de iesgo. Los usua ios in ec ados pueden decidi no in o ma de su posi i o o deja de ansmi i las E i a el descub imien o de con ac os. Cualquie sis ema con es e dise˜no es suscep ible a a aques de bloqueo, haciendo deja de unciona el sis ema. 3.2.2.2. Segu idad del Dise˜ no no Vinculable A con inuaci´on se analiza la segu idad del dise˜no no inculable a pa i de las p eocupaciones is as an e io men e. 3.2. Riesgos de P i acidad y Segu idad 17 Sup imi con ac os de iesgo y e i a el descub imien o de con ac os. Tiene las mismas p opiedades que el dise˜no de bajo consumo espec o a sup imi con ac os de iesgo y e i a el descub imien o de con ac os. E en os de exposici´ on alsa. Un a acan e puede causa alsas ala mas median e a aques de ex ensi´on de ango BLE. Pa a c ea e en os alsos, el a acan e debe ecibi y ansmi i los EphID den o del mismo iempo. Como en el dise˜no de bajo consumo, la gene aci´on del EphID es des inculable y e i a que un a acan e eclame como p opio el EphID de o o usua io. 3.2.2.3. Segu idad del Dise˜ no H´ ıb ido A con inuaci´on se analiza la segu idad del dise˜no h´ıb ido a pa i de las p eocupaciones is as an e io men e. Sup imi con ac os de iesgo y e i a el descub imien o de con ac os. Tiene las mismas p opiedades que el dise˜no de bajo consumo espec o a sup imi con ac os de iesgo y e i a el descub imien o de con ac os. E en os de exposici´ on alsa. Un a acan e puede causa alsas ala mas median e a aques de ex ensi´on de ango BLE. Pa a c ea e en os alsos, el a acan e debe ecibi y ansmi i los EphID den o de la misma en ana de iempo. Como en el dise˜no de bajo consumo, la gene aci´on del EphID es des inculable y e i a que un a acan e eclame como p opio el EphID de o o usua io. 3.2.3. P i acidad en Modelos Cen alizados s Descen alizados A con inuaci´on se compa an los esul ados del an´alisis de la p i acidad en e el modelo cen alizado y el modelo descen alizado. G ´ a ico social. El se ido backend puede econs ui el g ´a ico social de los usua ios a pa i de la in o maci´on compa ida po los usua ios posi i os. El se ido puede uni subg a os de di e en es casos posi i os pa a ob ene una imagen comple a del e dade o g ´a ico social. ROBERT y DESIRE p oponen e i a la il aci´on del g ´a ico social median e el uso de una ed de comunicaci´on an´onima pa a ca ga iden i icado es obse ados de una mane a no inculable. G ´ a ico de in e acci´ on. En un sis ema en el que an o los iden i icado es como la exposici´on al COVID-19 se calculan de o ma cen alizada y los iden i icado es obse ados ca gados es ´an inculados, el se ido backend siemp e puede asocia iden i icado es de ansmisi´on e ´ıme os ca gados a pseudo-iden i icado es pe manen es pa a disposi i os indi iduales. En PEPP-PT-NTK, OpenT ace y ROBERT, los iden i icado es obse ados ienen una ma ca de iempo. Po lo an o, 18 Cap ´ ı ulo 3. P o ocolo de Ras eo de P oximidad Descen alizado pa a P ese a la P i acidad el se ido backend no solo puede econs ui un g ´a ico social, sino que ambi´en puede econs ui un g ´a ico de in e acci´on. T azabilidad de la ubicaci´ on. El dise˜no descen alizado limi a el po encial de seguimien o de la ubicaci´on a los usua ios que han ecibido un diagn´os ico posi i o y du an e el anscu so del pe ´ıodo con agioso. En los sis emas cen alizados en los que las cla es se gene an en el se ido , el acceso a las cla es del lado del se ido pe mi e incula los EphID al iden i icado pe manen e de la aplicaci´on co espondien e. Es o pe mi e as ea /iden i ica pe sonas en unci´on de los EphID obse ados en el pasado, as´ı como as ea los mo imien os u u os de las pe sonas. Es ado del posi i o en COVID-19. Los sis emas de as eo de p oximidad cen alizados y descen alizados compa en la limi aci´on de p i acidad inhe en e de que pueden se explo ados po un usua io expe o en ecnolog´ıa pa a e ela qu´e pe sonas de su lis a de con ac os pod ´ıan es a in ec adas. Sin emba go, los dise˜nos cen alizados ocul an cu´ando y con qu´e ecuencia el usua io es u o en con ac o con un pacien e con COVID-19 posi i o. Como esul ado, los a acan es expe os en ecnolog´ıa no pueden bene icia se de la inculaci´on en e EphID y la in o maci´on de iempo pa a ampli ica su a aque. En cambio, necesi an depende de a ias cuen as. 3.2.4. Segu idad en Modelos Cen alizados s Modelo Descen alizados A con inuaci´on se compa a el an´alisis de la segu idad en e el modelo cen alizado y el modelo descen alizado. E en os de exposici´ on alsa. Desencadena alsas ala mas es ´acil en odos los dise˜nos cen alizados excep o DESIRE. DESIRE equie e un in e cambio ac i o en e usua ios pa a desencadena un e en o de exposici´on also Sup imi con ac os en iesgo. Es posible en cualquie sis ema. E i a el descub imien o de con ac os. Todos los sis emas son suscep ibles a a aques de bloqueo. Cap´ı ulo 4 T´ecnicas de An´alisis de Vulne abilidades Pa a consegui mi iga el impac o de los cibe a aques, a ias emp esas c ea on una mul i ud de ´ecnicas y es ´anda es con las que consegui dis in a in o maci´on sob e las ulne abilidades en dis in os sis emas. En es e cap´ı ulo explo a emos que son y como se lle an acabo los a aques simulados en la Secci´on 4.1 y algunos de los es ´anda es mas usados pa a las ulne abilidades en aplicaciones m´o iles en la Secci´on 4.3. 4.1. P ueba de Pene aci´on La p ueba de pene aci´on, conocida como “pen es ” es un cibe a aque simulado con a u p opio equipo pa a comp oba si exis en ulne abilidades que se pudie an explo a . Es o mi iga las debilidades po enciales del sis ema an es de que ocu a un a aque eal. 4.1.1. Fases Las ases de es a p ueba, como apa ecen en la Figu a 4.1, son las siguien es [IMP]: 1. Plani icaci´ on y econocimien o: Se de ine el alcance de al p ueba y sus obje i os, adem´as de gana comp ensi´on del sis ema que se a a p oba , pa a pode in ui posibles ulne abilidades. 2. Escaneado: En ende como esponde ´a la aplicaci´on a dis in os in en os de in usi´on. Es o se hace median e dos ipos de an´alisis: An´ alisis es ´ a ico: Consis e en analiza el c´odigo uen e pa a comp oba como se compo a la aplicaci´on cuando es ´e en uncionamien o. An´ alisis din´ amico: Tambi´en se analiza el c´odigo uen e, pe o es a ez mien as es ´a en ejecuci´on, siendo es a una mane a m´as p ´ac ica de escanea la aplicaci´on, pues p o ee al “pen es e ” de una isi´on a iempo eal de su uncionamien o. 19 20 Cap ´ ı ulo 4. T´ ecnicas de An´ alisis de Vulne abilidades 3. Acceso: Se u ilizan a aques del ipo inyecciones S uc u ed Que y Languaje (SQL), pue as ase as o C oss-Si e Sc ip ing (XSS) pa a gana p i ilegios, in e cep a ´a ico, oba da os pa a en ende el da˜no que se puede hace a la aplicaci´on. 4. Pe sis encia del acceso: La me a de la ase es comp oba si se puede u iliza alguna ulne abilidad pa a man ene el acceso en el sis ema el iempo su icien e como pa a pode accede a las zonas con los da os mas sensibles. La idea es imi a una amenaza Ad anced Pe sis en Th ea (APT). 5. An´ alisis de esul ados: Los esul ados del es se de allan en un in o me que con iene las ulne abilidades espec´ı icas explo adas, los da os sensibles a los que se ha enido acceso y el iempo que el “pen es e ” ha es ado en el sis ema sin se de ec ado. Figu a 4.1: Fases del An´alisis de Pene aci´on 4.2. Tipos de P uebas Las p uebas se clasi ican dependiendo del obje i o y del escena io inicial [LR]: Tes ex e no: Los obje i os son las pa es del sis ema que son isibles en in e ne , como pueden se la aplicaci´on web, el email o el Domain Name Se ice (DNS). Tes in e no: El obje i o es gana acceso al sis ema mas all´a del i ewall del sis ema, simulando un a acan e con acceso p i ilegiado, no iene que simula necesa iamen e a un abajado , pe o si un a acan e que haya obado las c edenciales de un empleado median e un a aque de phishing. Tes ciego: En es e ipo de es ex e no solo se le p opo ciona al “pen es e ” el nomb e de la emp esa que iene que a aca , lo que p opo ciona da os eales del iempo que a da ´ıa un a acan e en pe pe ua un asal o a la aplicaci´on. 4.3. Es ´ anda es 21 Doble es ciego: El es es simila al es ciego, pe o con la di e encia de que el pe sonal de segu idad no es in o mado de que el a aque simulado a a ene luga . Es e ipo de es iene algunos iesgos, como que se pongan a ios sis emas en cua en ena con in enci´on de pa a el ‘a aque’. Tes de caja neg a: Es un escena io simila al es ciego, en le que el es e iene algo m´as de in o maci´on sob e el sis ema que iene que a aca , como la Uni o m Resou ce Loca o (URL) de la web de la compa˜n´ıa, o su di ecci´on IP, como se mues a en la Figu a 4.2(a). Tes de caja blanca: Se a a de un escena io en le que el “ es e ” iene in o maci´on de allada, como el c´odigo uen e, con igu aciones o documen aci´on del sis ema pa a se encuen e la mayo can idad de ulne abilidades en el meno iempo como se mues a en la Figu a 4.2(b). La di e encia undamen al con el es in e no es que no se dispone ning´un ipo de c edencial pa a ninguna cuen a de la emp esa. Tes di igido: En es e escena io, an o el es e , como el equipo de segu idad abajan jun os, man eni´endose in o mados de sus mo imien os. Es e eje cicio de p ueba, da una isi´on al equipo de segu idad del pun o de is a de un a acan e po encial a iempo eal. (a) Tes de Caja Neg a (b) Tes de Caja Blanca Figu a 4.2: Diag ama de uncionamien o de los es de caja neg a y de caja blanca 4.3. Es ´anda es Pa a ayuda a cuan i ica la se e idad y el impac o de las ulne abilidades, algunas o ganizaciones han elabo ado unos es ´anda es de clasi icaci´on. Algunos de ellos son: El 22 Cap ´ ı ulo 4. T´ ecnicas de An´ alisis de Vulne abilidades Sis ema de Pun uaci´on de Vulne abilidades Comunes, los Es ´anda es de Ve i icaci´on de Segu idad en Aplicaciones M´o iles y la Enume aci´on de Debilidades Comunes. 4.3.1. Sis ema de Pun uaci´on de Vulne abilidades Comunes La m´e ica de e aluaci´on po sis ema de pun uaci´on de ulne abilidades comunes (del ingl´es, Common Vulne abili y Sco ing Sys em (CVSS)) es un amewo k abie o c eada po la o ganizaci´on Fo um o Inciden Response and Secu i y Teams (FIRST) que es una asociaci´on de en idades que p opo cionan mecanismos de buenas p ´ac icas, he amien as y elemen os pa a la clasi icaci´on y espues a a inciden es de segu idad [PM07]. FIRST ha es ado abajando en la eno aci´on del sis ema CVSS desde su lanzamien o en eb e o de 2005 has a la salida de su ´ul ima e si´on en junio de 2019. El sis ema de pun uaci´on CVSS se compone de es g upos p incipales de m´e icas (Base, Tempo al y de En ono) Que, a su ez, con ienen o os conjun os de m´e icas [PM07]. Las m´e icas usadas en la e si´on 2.0 se e´unen en es g upos [PM07]: 1. M´ e icas Base: Con iene las cualidades in ´ınsecas de una ulne abilidad, desc i as en la Tabla 4.2. 2. M´ e icas empo ales: Con iene las ca ac e ´ıs icas de la ulne abilidad que cambian con el iempo, lis adas en la Tabla 4.3. 3. M´ e icas En o no: Con iene las ca ac e ´ıs icas que se elacionan con el usua io, mos adas en la Tabla 4.4. En las Tablas 4.1 se desc iben los g upos de m´e icas mencionadas an e io men e y en las Tablas 4.2,4.3 y4.4 los alo es que pueden oma dichas m´e icas. Es os se usan como se indica en la Figu a 4.3 pa a calcula el alo inal [PM07]. Como se obse a en la igu a, el CVSS se calcula dando un alo a cada m´e ica expues a an e io men e. Adem´as, la ´unica m´e ica obliga o ia es la Base y opcionalmen e se pueden e alua las m´e icas empo ales y de en o no. Figu a 4.3: Uso de m´e icas pa a el c´alculo del alo CVSS 4.3. Es ´ anda es 23 Tabla 4.1: Desc ipci´on de los g upos de m´e icas de CVSS V2 G upo M´ e ica Desc ipci´ on Valo es Vec o de acceso (AV) Re leja como se explo a la ulne abilidad, cuan o mas emo o pueda es a el a acan e, mayo se ´a la pun uaci´on - Local - Red Adyacen e - Red Complejidad de acceso (AC) Mide la complejidad de a aque necesa ia pa a explo a una ulne abilidad cuando el a acan e ya ha ob enido acceso al sis ema. Cuan o meno sea la complejidad necesa ia, mayo la pun uaci´on - Al o - Medio - Bajo Au en i icaci´on (Au) Mide la can idad de eces que un a acan e necesi a au en i ica se pa a ap o echa la ulne abilidad. Cuan as menos au en i icaciones sean necesa ias, mayo se ´a la pun uaci´on - M´ul iple -´ Unico - Ninguno Impac o de con idencialidad (C) Mide el impac o de con idencialidad de un a aque ealizado con ´exi o. La con idencialidad se e ie e a la di ulgaci´on de in o maci´on solo a los usua ios au o izados - Ninguno - Pa cial - Comple o M´e icas Base Impac o de in eg idad (I) Mide el impac o en la in eg idad del sis ema despu´es de una ulne abilidad explo ada con ´exi o. La in eg idad se e ie e a la e acidad de la in o maci´on - Ninguno - Pa cial - Comple o Impac o de disponibilidad (A) Mide el impac o en la disponibilidad del sis ema despu´es de una ulne abilidad explo ada con ´exi o. La disponibilidad se e ie e a la accesibilidad de los ecu sos. Los a aques consumen ancho de banda en la ed, ciclos de eloj o espacio en el disco - Ninguno - Pa cial - Comple o Explo abilidad (E) Mide el es ado ac ual de las ´ecnicas de explo aci´on o la disponibilidad del c´odigo. Cuan o m´as disponible es ´a el c´odigo de explo aci´on, mas aumen a el nume o de a acan es po enciales, incluso aquellos que no es ´an cali icados. - No p obado - P ueba de concep o - Funcional - Al o - No de inido Ni el de emedio (RL) Mide la u gencia con la que a a la ulne abilidad, cuan o menos o icial y pe manen e sea una soluci´on, mayo se ´a su pun uaci´on. - A eglo o icial - A eglo empo al - Soluci´on al e na i a - No disponible - No de inido M´e icas Tempo ales In o me de con ianza (RC) Mide le g ado de con ianza en la exis encia de la ulne abilidad y de la c edibilidad de los de alles ´ecnicos conocidos. Cuan o mas alida sea po el p o eedo u o as uen es ac edi adas, mayo es su pun uaci´on. - Sin con i ma - Sin co obo a - Con i mado - No de inido Da˜no cola e al po encial (CDP) Mide el po encial de pe dida de idas o ac i os ´ısicos po da˜no o obo. Es a m´e ica puede medi la p´e dida econ´omica de p oduc i idad o ing esos. - Ninguno - Bajo - Bajo-Medio - Medio-Al o - Al o - No de inido Dis ibuci´on de obje i o (TD) Mide la p opo ci´on de sis emas ulne ables, ac ´ua como indicado del en o no pa a ap oxima el po cen aje de sis emas que pod ´ıan e se a ec ados. - Ninguno - Bajo - Medio - Al o - No de inido M´e icas de En o no Requisi os de segu idad Es a m´e ica si e a los analis as pa a ma ca la impo ancia de los Requisi os de Con idencialidad (CR), In eg idad (IR) y Disponibilidad (AR) aumen ando o disminuyendo su peso en la pun uaci´on inal. - Bajo - Medio - Al o - No de inido 24 Cap ´ ı ulo 4. T´ ecnicas de An´ alisis de Vulne abilidades Tabla 4.2: M´e icas del g upo Base M´ e ica Valo Desc ipci´ on Local (L) Solo se puede explo a con acceso ´ısico al sis ema o una cuen a local Vec o de acceso (AV) Red Adyacen e (A) Se equie e que el a acan e enga acceso al dominio de colisi´on (di usi´on) del so wa e ulne able Red (N) El so wa e ulne able es a inculado a la pila de ed y el a acan e no equie e acceso local o a la ed local Al o (H) Exis en condiciones de acceso espec´ı icas. Como puede se que el a acan e pueda ene p i ilegios ele ados, la con igu aci´on ulne able se e a amen e en la p ac ica o que el a acan e dependa de m´e odos de ingenie ´ıa social ´acilmen e de ec ables po pe sonas con conocimien os Complejidad de acceso (AC) Medio (M) Las condiciones de acceso son algo espec´ı icas. Como que la pa e a acan e es a limi ada a un g upo de sis emas o usua ios con alg´un ni el de au o izaci´on, se deba ecopila cie a in o maci´on p e ia al a aque o que el a aque equie a ingenie ´ıa social que pod ´ıa enga˜na a algunos usua ios Bajo (L) No exis en condiciones de acceso espec´ı icas. Como que el a aque se pueda ealiza manualmen e y sin necesidad de ecopila in o maci´on adicional o que el p oduc o a ec ado equie a acceso a una amplia gama de sis emas y usua ios, p obablemen e an´onimos y poco con iables Au en icaci´on (Au) M´ul iple (M) Se equie e que se el a acan e se iden i ique dos o mas eces, incluso si son las mismas c edenciales ´ Unico (S) La ulne abilidad equie e que se inicie sesi´on en el sis ema Ninguno (N) No se equie e ninguna au en icaci´on pa a ap o echa la ulne abilidad Impac o de con idencialidad (C) Ninguno (N) No hay impac o en la con idencialidad del sis ema Pa cial (P) Es posible accede a algunos a chi os del sis ema, pe o el a acan e no iene con ol del alcance de la in o maci´on que se ob iene Comple o (C) Exis e una di ulgaci´on o al, el a acan e puede accede a odos los da os del sis ema Impac o de in eg idad (I) Ninguno (N) No hay impac o en la in eg idad del sis ema Pa cial (P) Es posible modi ica algunos a chi os del sis ema, pe o el a acan e no iene con ol sob e que a chi os se puede sob esc ibi o modi ica , po lo que el alcance es limi ado Comple o (C) Exis e una p´e dida o al de p o ecci´on del sis ema, el a acan e puede modi ica cualquie a chi o el sis ema Impac o de disponibilidad (A) Ninguno (N) No hay impac o en la disponibilidad del sis ema Pa cial (P) El endimien o es a educido o exis en in e upciones en la disponibilidad de los ecu sos Comple o (C) Hay un cie e o al de los ecu sos a ec ados, el a acan e puede hace que los ecu sos no es ´en disponibles po comple o 4.3. Es ´ anda es 25 Tabla 4.3: M´e icas del g upo Tempo al M´ e ica Valo Desc ipci´ on Explo abilidad (E) No p obado (U) No exis e c´odigo de la explo aci´on, o es solamen e e´o ico P ueba de concep o (POC) Exis e un c´odigo de explo aci´on de una demos aci´on del a aque, pe o al no se uncional en odos los en o nos o si uaciones, puede eque i una modi icaci´on sus ancial po pa e de un a acan e expe o Funcional (F) El c´odigo de la explo aci´on es a disponible y es uncional en la mayo ´ıa de las si uaciones Al o (H) El c´odigo unciona en odas las si uaciones o se en ega de o ma ac i a a a ´es de un agen e au ´onomo m´o il ( i us o gusano) No de inido (ND) Es e alo si e pa a omi i es a m´e ica cuando se calcule la pun uaci´on Ni el de emedio (RL) A eglo O icial (OF) El p o eedo ha emi ido un pa che o icial con una soluci´on comple a A eglo empo al (TF) Hay una soluci´on o icial de mane a empo al Soluci´on al e na i a (W) Hay una soluci´on no o icial. En la mayo ´ıa de casos, la en idad a ec ada c ea ´a un pa che p opio pa a mi iga la ulne abilidad No disponible (U) No hay una soluci´on disponible, o es imposible de aplica No de inido (ND) Es e alo si e pa a omi i es a m´e ica cuando se calcule la pun uaci´on In o me de con ianza (RC) Sin con i ma (UC) Exis e una ´unica uen e no con i mada, o a ios in o mes con adic o ios Sin co obo a (UR) Hay a ias uen es no o iciales. Puede habe de alles ´ecnicos con adic o ios o hay alguna ambig¨uedad Con i mado (C) La ulne abilidad ha sido econocida po el p o eedo o au o de la ecnolog´ıa a ec ada No de inido (ND) Es e alo si e pa a omi i es a m´e ica cuando se calcule la pun uaci´on Tabla 4.4: M´e icas del g upo de En o no M´ e ica Valo Desc ipci´ on Da˜no cola e al po encial (CDP) Ninguno (N) No hay posibilidad de pe dida de idas, ac i os ´ısicos, p oduc i idad o ing eso Bajo (L) Una explo aci´on exi osa puede esul a en da˜nos ´ısicos o ma e iales le es Bajo-medio (LM) Una explo aci´on exi osa puede esul a en da˜nos ´ısicos o ma e iales mode ados Medio-al o (MH) Una explo aci´on exi osa puede esul a en da˜nos ´ısicos o ma e iales signi ica i os Al o (H) Una explo aci´on exi osa puede esul a en da˜nos ´ısicos o ma e iales ca as ´o icos No de inido (ND) Es e alo si e pa a omi i es a m´e ica cuando se calcule la pun uaci´on Dis ibuci´on de obje i o (TD) Ninguno (N) No exis en sis emas obje i os, solo el 0 % es ´a en iesgo Bajo (L) Exis en sis emas obje i os, pe o a peque˜na escala, solo en e el 1 % y el 25 % es ´a en iesgo Medio (M) Exis en sis emas obje i os, pe o a peque˜na escala, solo en e el 26 % y el 75 % es ´a en iesgo Al o (H) Exis en sis emas obje i os, pe o a peque˜na escala, solo en e el 76 % y el 100 % es ´a en iesgo No de inido (ND) Es e alo si e pa a omi i es a m´e ica cuando se calcule la pun uaci´on Requisi os de segu idad Bajo (L) La p´e dida de la m´e ica asociada enga solo un e ec o ad e so limi ado en la o ganizaci´on Medio (M) La p´e dida de la m´e ica asociada enga solo un e ec o ad e so g a e en la o ganizaci´on Al o (H) La p´e dida de la m´e ica asociada enga solo un e ec o ad e so ca as ´o ico en la o ganizaci´on No de inido (ND) Es e alo si e pa a omi i es a m´e ica cuando se calcule la pun uaci´on Cap´ı ulo 5 T abajos elacionados En [G i20], se analiza la segu idad de la ecnolog´ıa de as eo de p oximidad que desa olla on Google Inc. y Apple Inc. inspi ada en el p o ocolo DP-3T. Es e abajo se cen a en el an´alisis de segu idad con las especi icaciones de ´es a ecnolog´ıa, analizan los a aques m´as comunes, sus consecuencias y p oponen nue as es a egias pa a la mi igaci´on de los mismos. Los a aques que analizan son: A aques de consumo de ene g´ ıa y almacenamien o: El a acan e a aca a un disposi i o ce cano en iando un g an olumen de mensajes. Si el mensaje no es ´alido, el disposi i o lo desca a, pe o gas ando ene g´ıa (a aque de consumo de ene g´ıa). Si el mensaje es ´alido, la aplicaci´on de as eo almacena el id (a aque de consumo de almacenamien o), como se mues a en la Figu a 5.1. Figu a 5.1: (a) A aque de consumo de ene g´ıa. (b) A aque de consumo de almacenamien o. A aques de e ansmisi´ on y epe ici´ on: En un a aque de e ansmisi´on, el a acan e u iliza dos disposi i os en dos ubicaciones dis in as y ansmi e desde un disposi i o cualquie mensaje e ansmi ido desde el o o. En un a aque de epe ici´on, el a acan e usa uno o dos disposi i os en di e en es momen os y ansmi e en el momen o pos e io un mensaje g abado en el momen o an e io , como se mues a en la Figu a 5.2. 33 34 Cap ´ ı ulo 5. T abajos elacionados Figu a 5.2: (a) A aque de e ansmisi´on. (b) A aque de epe ici´on. A aques de olling: El a acan e es una pe sona que ha sido diagnos icada o espe a se diagnos icada posi i a en COVID-19 p on o, y es ´a in e esada en hace que las pe sonas desp e enidas eman habe es ado expues as al i us. El a acan e conec a su disposi i o m´o il a un anspo e (como un pe o, un au om´o il o un d on), que co e y anuncia id de p oximidad a disposi i os de pe sonas desp e enidas, como se mues a en la Figu a 5.3. Figu a 5.3: A aque de olling. A aques de enlace: El a acan e expone dos mensajes como p o enien es del mismo disposi i o obje i o. El a acan e pe manece en una ubicaci´on ija du an e un iempo su icien e pa a ecibi mensajes de cualquie disposi i o ce cano. En un a aque de enlace basado en el iempo, el a acan e in ie e que es p obable que dos mensajes es ´en 35 inculados cuando su di e encia de iempo es consis en e con la ecuencia egula de mensajes. A aques de localizaci´ on de se˜ nales: : El a acan e es ´a in e esado en expone la iden idad de una o a ias pe sonas en una euni´on, cuyo disposi i o anuncia mensajes que incluyen ID de p oximidad pa icula es. Con es e in, el a acan e as ea la in ensidad de la se˜nal de Blue oo h, jun o con el campo de ni el de po encia de ansmisi´on y la ubicaci´on del disposi i o m´o il del a acan e cuando se ecibi´o cada mensaje, y usa es a in o maci´on pa a in e i ubicaciones sob e el iempo de la pe sona obje i o con buena p ecisi´on. El a acan e puede iden i ica a la pe sona obje i o obse ando ´ısicamen e qui´en es ´a p esen e en las ubicaciones in e idas a lo la go del iempo. A aques de singula izaci´ on: El a acan e ace ca un disposi i o a la pe sona obje i o, egis a el ID de p oximidad ecibido jun o con cu´ando y d´onde, y deja de g aba en ese disposi i o. Si la pe sona obje i o es diagnos icada posi i a, las cla es de diagn´os ico de la pe sona obje i o pe mi i ´an al a acan e hace coincidi los ID egis ados en el disposi i o y se˜nala a la pe sona obje i o. Es a in es igaci´on demues a que las especi icaciones en el momen o de la in es igaci´on pueden in oduci iesgos impo an es pa a la sociedad, como iolaciones de p i acidad y p´e dida de con ianza en el sis ema. Las es a egias de mi igaci´on que p oponen pa a los a aques desc i os no equie en cambios a qui ec ´onicos en las especi icaciones y son ´aciles de adop a . En el a ´ıculo [MKHR+20], se de allan las p incipales a qui ec u as usadas pa a el desa ollo de as eo de con ac os(cen alizadas y descen alizadas), que ecnolog´ıas usan y c´omo uncionan, como se mues a en la Tabla 5.1. El a ´ıculo ambi´en analiza di e en es ipos de posibles a aques y p opone ´ecnicas de mi igaci´on. Po ´ul imo, el a ´ıculo habla sob e a ias aplicaciones m´o iles de as eo del COVID-19 eu opeas, nos in o ma sob e como se llaman, que ipo de a qui ec u a usan, que ecnolog´ıa usan (BLE,Global Posi ioning Sys em (GPS), e c.), como ges ionan los da os y como uncionan ´es as aplicaciones m´o iles. En el a ´ıculo [HWMF21] analizan la p i acidad y segu idad de 28 aplicaciones And oid de as eo de con ac os, que se mues an en la Tabla 5.2. Analizan los p i ilegios de su c´odigo, las pol´ı icas de p i acidad y el desempe˜no es ´a ico y din´amico. Tambi´en ecopilan solici udes de pe misos, ex os de pol´ı icas de p i acidad, accesos a ecu sos en iempo de ejecuci´on y ulne abilidades de segu idad exis en es y con ´es os da os e al´uan el impac o sob e la p i acidad de los usua ios. La in es igaci´on concluye que muchas de las aplicaciones se dise˜na on de mane a ´apida, no ienen en cuen a la egulaci´on de la p i acidad y su documen aci´on y pol´ı icas pa ecen incomple as. 36 Cap ´ ı ulo 5. T abajos elacionados Los p incipales hallazgos son: Las pol´ı icas de p i acidad pa a muchas aplicaciones se encon a on incomple as o inexis en es. Muchas aplicaciones mos a on un compo amien o de acceso a los pe misos que in ad´ıa la p i acidad, especialmen e los elacionados con la ubicaci´on. Va ias aplicaciones comenza on a accede a los pe misos de ubicaci´on an es de pe sonaliza los y egis a los. Las aplicaciones de la UE mos a on, en gene al, menos iesgos de p i acidad que las aplicaciones ue a de la UE. A´un as´ı, la mayo ´ıa de las aplicaciones no cumplen con uno o m´as p incipios de p i acidad. El an´alisis de ulne abilidades de c´odigo mos ´o a ias ulne abilidades en los c´odigos de las aplicaciones. Es os hallazgos indican un es ado muy inmadu o de las aplicaciones de as eo. Tabla 5.1: P incipales ca ac e ´ıs icas de los amewo ks de as eo de con ac os. F amewo k En oque C´ odigo Au o idad Ubicaci´ on Au o epo e uen e sani a ia ecopilados DP-3T Descen alizado Abie o SI NO NO Google/Apple Descen alizado P opiedad SI NO NO PEPP-PT-NTK Cen alizado Abie o SI NO NO ROBERT Cen alizado Abie o SI NO NO BlueT ace Cen alizado Abie o SI NO NO T aceSecu e Cen alizado No disponible SI NO NO DESIRE Hib ido No disponible SI NO NO PACT(UW) Descen alizado Abie o SI NO NO PACT(MIT) Descen alizado No disponible SI Opcional NO TCN Descen alizado Abie o Opcional NO SI Open Co id T ace Descen alizado Abie o SI SI NO Whispe T acing Descen alizado No disponible NO Opcional SI 37 Tabla 5.2: Tabla de las 28 aplicaciones analizadas. Pa ´ ıs App Tecnolog ´ ıa Tecnolog ´ ıa Tecnolog ´ ıa GPS BLE Senso s Aus alia COVIDSa e X Aus ia S opp Co ona X B asil Co ona i us-SUS X Colombia Co onApp X Rep. Checa eRouska X Alemania I o X Hung ´ıa Vi usRada X Geo gia S op Co id X X X Islandia Ranking C-19 X India Mahaka ach X India COVA Punjab X India Aa ogya Se u X X Is ael Hamagen X I alia SM-Co id19 X X I alia diA y X X X Jo dania Aman X Malasia Ge ak X Malasia MyT ace X Macedonia del No e S opKo ona! X No uega Smi es opp X X Rusia Con ac T ace X X Singapu T ace Toge he X Sud´a ica Co i-ID X UK COVID Symp om S udy X US COVID Sa e X US P i a eKi X US NOVID X X Global Coali ion X Cap´ı ulo 6 An´alisis de Vulne abilidades en Aplicaciones Eu opeas de Ras eo de Co id-19 basadas en el P o ocolo DP3T En es e cap´ı ulo desc ibimos de alladamen e los esul ados ob enidos de nues o an´alisis sob e algunas de las aplicaciones m´o iles eu opeas de as eo de p oximidad pa a el COVID-19. Pa a ealiza el an´alisis es ´a ico y din´amico de las aplicaciones se ha u ilizado una he amien a au om´a ica como es Mobile Secu i y F amewo k (MobSF) y un emulado de And oid pa a simula un sma phone And oid como es Genymo ion. Se empeza ´a explicando como se p epa ´o el labo a o io de abajo en la Secci´on 6.1, a con inuaci´on se de alla ´a la in o maci´on sob e las aplicaciones analizadas en la Secci´on 6.2 y se e mina ´a con el an´alisis de las ulne abilidades de dichas aplicaciones en la Secci´on 6.3. 6.1. P epa aci´on del labo a o io de abajo Pa a el desa ollo del an´alisis de las ulne abilidades en las aplicaciones de as eo de p oximidad de la COVID-19 se ha u ilizado un o denado po ´a il con conexi´on a in e ne en el que se ha ins alado una he amien a au om´a ica de an´alisis de aplicaciones m´o iles y un emulado And oid pa a ealiza el an´alisis din´amico de las aplicaciones. Dado que las aplicaciones ienen p o ecci´on con a las m´aquinas i uales obligando al uso de blue oo h y pol´ı icas de as eo de Google ha esul ado m´as di ´ıcil emula lo. Po sue e con el en o no de p uebas de MobSF no se ha enido mayo complicaci´on pa a ealiza el an´alisis an o es ´a ico como din´amico. An es de decidi po u iliza el en o no de MobSF se ba aja on m´as opciones, como una m´aquina i ual especializada pa a el an´alisis de ulne abilidades en disposi i os m´o iles llamado San oku. Se explo ´o como p ime a opci´on es a dis ibuci´on de Linux po 39 40 Cap ´ ı ulo 6. An´ alisis de Vulne abilidades en Aplicaciones Eu opeas de Ras eo de Co id-19 basadas en el P o ocolo DP3T su in eg aci´on con el emulado de disposi i os m´o iles que se conside ´o mejo (Genymo ion p esen ado en la Figu a 6.1) adem´as de po la g an can idad de he amien as que en´ıa p eins aladas, como Wi esha k, Me cu y, Nmap, OWASP ZAP, D oze o TCPDUMP en e muchas o as. Al inal se acab´o desca ando es e en o no po la imposibilidad de emula las aplicaciones y usa las he amien as e icien emen e. (a) In e az del emulado de And oid Genymo ion (b) Emulaci´on de sma phone Xiaomi Redmi No e 7 Figu a 6.1: Emulado Genymo ion La siguien e dis ibuci´on de Linux que se p ob´o ue And ol4b, que cuen a ambi´en con una g an can idad de he amien as pa a el an´alisis de pene aci´on, lo m´as ele an e es que iene ins alada la he amien a que iene mejo ama, MobSF (Figu a 6.2). Figu a 6.2: In e az de la he amien a MobSF. 6.2. Aplicaciones 41 Con es e en o no se consigui´o lanza an´alisis es ´a icos sob e las And oid Applica ion Package (APK) de las aplicaciones, pe o en la m´aquina i ual no se pod´ıan lanza an´alisis din´amicos, po lo que ambi´en se acab´o desca ando es e en o no. El en o no inal se mon ´o con MobSF ins alado de o ma na i a en Windows que, adem´as de pe mi i ealiza an´alisis din´amicos, daba in o maci´on ex a en los an´alisis es ´a icos como, po ejemplo, la localizaci´on de los se ido es que se usan en las aplicaciones. 6.2. Aplicaciones Pa a ealiza los an´alisis se ha escogido 18 aplicaciones Eu opeas que usan la Tecnolog´ıa desa ollada po Google y Apple, que se basa en el p o ocolo DP-3T. La Tabla 6.1 se mues an las aplicaciones analizadas. Tabla 6.1: Aplicaciones analizadas Pais Aplicaci´ on Ve si´ on Alemania Co ona-Wa n 1.13.2 Chip e Co T ace 2.0.2 Dinama ca Smi e — s op 2.3.3 Eslo aquia Zos anZd a y 1.0.1 Eslo enia Os aniZd a 1.10.1 Espa˜na Rada Co id 1.3.0 Es onia Hoia 1.0.9 Finlandia Ko ona ilkku 2.2.0 F ancia S op Co id-19 2.2.0 Holanda Co onaMelde 1.2.3 Hung ´ıa Vi usRada 1.0.0 I alia Immuni 2.2.1 Le onia Ap u i Co id 1.0.52 Macedonia S opKo ona! 1.1.0 Polonia STOP COVID-P o eGO Sa e 4.9.1 Po ugal STAYAWAY 1.1.3 Rep. Checa eRouska 2.2.687 Suiza SwissCo id 1.4.0 Es impo an e no a la e si´on que se ha u ilizado pa a ealiza los an´alisis. Los e o es desc i os m´as adelan e pueden habe sido co egidos en e siones pos e io es. Pa a ob ene las APK de es as aplicaciones se consiguie on en la web APKPu e pues no hay una mane a o icial de consegui las. 6.3. An´alisis de Resul ados Una ez conocidos el en o no de abajo y las aplicaciones analizadas, se a a explo a cada ez m´as en p o undidad los da os que ha p opo cionado el analizado MobSF con una isi´on gene al en la Secci´on 6.3.1, un an´alisis de los pe misos en la Secci´on 6.3.2 y un 48 Cap ´ ı ulo 6. An´ alisis de Vulne abilidades en Aplicaciones Eu opeas de Ras eo de Co id-19 basadas en el P o ocolo DP3T Tabla 6.4: P oblemas de c´odigo de ec ados en las aplicaciones po MobSF P oblema Se e idad CVSS CWE OWASP OWASP V2 Top 10 MASVS 1. U iliza un gene ado de n´ume os alea o ios insegu o al o 7.5 CWE-330 M5: C ip oga ´ıa insu icien e MSTG-CRYPTO-6 2. Los iche os pueden con ene in o maci´on codi icada al o 7.4 CWE-312 M9: Ingenie ´ıa in e sa MSTG-STORAGE-14 3. Implemen aci´on insegu a de SSL al o 7.4 CWE-295 M3: Comunicaci´on insegu a MSTG-NETWORK-3 4. SHA-1 es una hash con colisiones hash al o 5.9 CWE-327 M5: C ip oga ´ıa insu icien e MSTG-CRYPTO-4 5. U iliza una BD SQLi e y ejecu a consul as SQL sin o ma o al o 5.9 CWE-89 M7: Calidad del c´odigo del clien e NA 6. C ea a chi os empo ales al o 5.5 CWE-276 M2: Almacenamien o MSTG-STORAGE-2 7. Puede lee /esc ibi desde almacenamien o ex e no al o 5.5 CWE-276 M2: Almacenamien o de da os insegu o MSTG-STORAGE-2 8. MD5 es un hash con colisiones hash al o 4.4 CWE-327 M5: C ip oga ´ıa insu icien e MSTG-CRYPTO-4 9. Implemen aci´on insegu a de WebView a iso 8.8 CWE-749 M1: Uso inadecuado de la pla a o ma MSTG-PLATAFORM-7 10. Di ulgaci´on de di ecciones IP a iso 4.3 CWE-200 NA MSTG-CODE-2 11. Escucha cambios en el po apapeles a iso 0 NA NA MSTG-STORAGE-2 12. Se esc ibe in o maci´on sensible en los egis os de la aplicaci´on in o maci´on 7.5 CWE-532 NA MSTG-STORAGE-3 13. Puede esc ibi en el di ec o io de la aplicaci´on in o maci´on 3.9 CWE-276 NA MSTG-STORAGE-14 14. Copia da os al po apapeles in o maci´on 0 NA NA MSTG-STORAGE-10 15. U iliza ci ado SQL in o maci´on 0 NA NA MSTG-CRYPTO-1 6.3. An´ alisis de Resul ados 49 Figu a 6.4: N´ume o de p oblemas de c´odigo po aplicaci´on Los e o es m´as g a es que ienen algunas aplicaciones son e e en es al a amien o de in o maci´on sensible. Como se indica en la Tabla 6.5 el 100 % de las aplicaciones esc iben es e ipo de in o maci´on en los egis os de la aplicaci´on (logs) Lo que ulne a g a emen e la p i acidad del usua io de la misma y, adem´as, un 72 % de las aplicaciones con ienen iche os con in o maci´on codi icada. Un 61 % de las aplicaciones ienen p oblemas con la di ulgaci´on de di ecciones IP, lo que conlle a ´ıa una exposici´on de in o maci´on que no debe ´ıa llega a pe sonas no au o izadas [PLO21]. Aunque el p oblema m´as p eocupan e se encuen a en el gene ado de n´ume os alea o ios insegu o (1), es el m´as g a e po que oda la in aes uc u a de gene aci´on de EphID se basa en n´ume os alea o ios, si su gene aci´on es insegu a y se pueden p edeci los EphID quie e deci que alguien con ese conocimien o pod ´ıa suplan a la iden idad de o o usua io con el in de a aca el sis ema. 50 Cap ´ ı ulo 6. An´ alisis de Vulne abilidades en Aplicaciones Eu opeas de Ras eo de Co id-19 basadas en el P o ocolo DP3T Tabla 6.5: Aplicaciones con los p oblemas de c´odigo de la Tabla 6.4 Aplicaci´ on 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 Co ona-Wa n Co T ace Smi e — s op Zos anZd a y Os aniZd a Rada Co id Hoia Ko ona ilkku S op Co id-19 Co onaMelde Vi usRada Immuni Ap u i Co id S opKo ona! STOP COVID-P o eGO Sa e STAYAWAY eRouska SwissCo id Cap´ı ulo 7 Con ibuciones Indi iduales 7.1. Pablo Izquie do Ga bajosa El p ime paso al comenza es e abajo ue ecopila oda la in o maci´on posible de abajos y a ´ıculos elacionados p incipalmen e con el p o ocolo DP-3T, pe o ambi´en in o maci´on sob e los di e en es ipos de modelos y p o ocolos que exis en ace ca del as eo de con ac os. Pa a la ecopilaci´on de la in o maci´on se u iliz´o el buscado de Google Schola . En es e paso ap end´ı a hace uso del buscado Google Schola pa a busca los a ´ıculos elacionados con el desa ollo del abajo. Al se ´es e p o ocolo bas an e ecien e, la ecopilaci´on de la in o maci´on ele an e pa a el abajo ha sido un poco complicada, con lo que ambi´en se ha ap endido a il a la in o maci´on m´as ele an e pa a nues o abajo. Con el paso de los meses se ue on publicando ambi´en a ´ıculos elacionados con el an´alisis de ulne abilidades de las aplicaciones de as eo del COVID-19 que usan di e en es pa´ıses del mundo que nos ayuda on mucho en nues o p oceso de ecopilaci´on de in o maci´on. Tambi´en des aca que p ´ac icamen e odos los a ´ıculos elacionados con nues o abajo es ´an esc i os en ingl´es, es o me ha ayudado a mejo a mi lec u a y mi ocabula io de dicho idioma. El segundo paso ue busca las aplicaciones m´o iles de as eo de con ac os y la p epa aci´on del labo a o io de abajo pa a ealiza el an´alisis de dichas aplicaciones. De la in o maci´on ecopilada an e io men e se eligie on las aplicaciones Eu opeas que se basaban en el p o ocolo DP-3T y desca gamos sus APK de la web APKPu e. Pa a la c eaci´on del labo a o io buscamos in o maci´on sob e las he amien as m´as u ilizadas a la ho a de ealiza es de pene aci´on en aplicaciones m´o iles And oid, con lo que ap end´ı a mon a mi p opio labo a o io de p uebas pa a analiza ulne abilidades en aplicaciones m´o iles And oid. Ins alamos y p obamos a ios en o nos i uales c eados pa a el ipo de an´alisis que necesi ´abamos hace pe o ninguno pe mi ´ıa ealiza an o an´alisis es ´a ico como din´amico, has a que encon amos la he amien a MobSF que se pod´ıa ins ala de o ma na i a en Windows y pe mi ´ıa hace el an´alisis es ´a ico y pe mi ´ıa hace el an´alisis din´amico a a ´es de Genymo ion, que ue la he amien a elegida pa a 51 52 Cap ´ ı ulo 7. Con ibuciones Indi iduales emula un disposi i o And oid. En ´es e paso, a pa e de ap ende el uso de la he amien a MobSF, du an e la b´usqueda de las he amien as que nos si ie an pa a el an´alisis de aplicaciones ap end´ı el uso de o as he amien as de an´alisis de ulne abilidades, como D oze , que es un amewo k pa a es ea ulne abilidades de aplicaciones haciendo uso ambi´en de la he amien a Genymo ion, pe o no nos p opo cionaba la in o maci´on que busc´abamos. Tambi´en ap end´ı ace ca de en o nos i uales como And ol4b, que es una dis ibuci´on de Linux que e´une he amien as de an´alisis de ulne abilidades y de hacking ´e ico, una de esas he amien as es MobSF, que es la he amien a que elegimos inalmen e pa a nues os an´alisis, pe o ´es a dis ibuci´on no pe mi ´ıa hace el an´alisis din´amico de la aplicaci´on, po que la desca amos. O a dis ibuci´on que ap end´ı ue San oku, que incluye he amien as como Wi esha k y la ya mencionada D oze , pe o ambi´en la desca amos ya que no nos p opo cionaba las he amien as de an´alisis que necesi abamos. El siguien e paso ue analiza las aplicaciones seleccionadas a a ´es del labo a o io c eado. Pasamos odas las aplicaciones po el analizado y ecabamos oda la in o maci´on que nos daba la he amien a MobSF. La he amien a nos dio in o maci´on de odo ipo como el pa´ıs y la e si´on de And oid de la aplicaci´on, localizaci´on de los se ido es que u ilizan, las API de Google y los pe misos que solici an cada aplicaci´on pa a unciona . Pa a el apa ado de los pe misos, la he amien a hace uso de es ´anda es como CWE y OWASP MASVS, con los que hace una pun uaci´on de se e idad sob e cada pe miso, pa a en ende el signi icado de dichas pun uaciones u imos que consul a sus espec i as p´aginas web y es udia su signi icado. En es e p oceso, desca amos una g an can idad de da os que la he amien a no iden i icaba como pelig osos y nos cen amos en aquellos da os en los que la he amien a daba una pun uaci´on de pelig o po encial. Toda es a in o maci´on la ecopilamos en ablas que luego ue on plasmadas en la memo ia. En es e paso ap end´ı a ealiza un an´alisis es ´a ico y din´amico de una aplicaci´on m´o il y cosas como e y en ende que ipos de pe misos solici an las aplicaciones y si suponen un pelig o pa a el usua io, y el uncionamien o de los di e en es es ´anda es usados en el an´alisis de ulne abilidades. Po ´ul imo pasamos a ealiza la memo ia y plasma en ella oda la in o maci´on es udiada y los expe imen os ealizados sob e las aplicaciones de as eo de con ac os. Pa a la ealizaci´on de la memo ia nues os u o es nos ecomenda on el uso de la he amien a LaTeX, he amien a que us´abamos po p ime a ez. Du an e la elabo aci´on de la memo ia he ap endido a hace uso de la he amien a LaTeX y he comp obado que es una he amien a muy ´u il pa a la ealizaci´on de es e ipo de abajos, ayudando a man ene un o ma o adecuado y acili ando la inse ci´on de im´agenes y ablas. 7.2. Alonso Ma ´ ın Zu do 53 7.2. Alonso Ma ´ın Zu do Du an e los p ime os meses el p ime o obje i o ue la de ecopila in o maci´on en dis in os abajos sob e el p o ocolo DP-3T, las ulne abilidades que se pueden ealiza y como se pod ´ıan mi iga adem´as de dis in os modelos de as eo de con ac os, as´ı como las en ajas de cada uno de ellos. Como es e p o ocolo es ela i amen e nue o, ha sido m´as complicado encon a in o maci´on ele an e pa a el abajo, aun con odo ap endiendo a usa el mo o de busqueda de Google Schola pa a encon a dis in os pape s ambi´en se ha ap endido a il a la in o maci´on ele an e y esumi la de o ma que sea m´as en endible a la ho a de que alguien ex e no al ema lo lea m´as adelan e. No ue has a mas adelan e que se publica on a ios pape s sob e el an´alisis de ulne abilidades en el p o ocolo DP-3T en los que analizaban aplicaciones de odos los pa´ıses, pe o cen ´andose en el eglamen o gene al de p o ecci´on de da os y compa ando as´ı las aplicaciones que es aban den o de la UE con las que se desa olla on ue a de ella. Es e abajo ue cla e pa a en oca el p oyec o y, en conc e o como gu´ıa pa a pode in e p e a los da os ob enidos po el analizado . El plan eamien o inicial e a ejecu a dis in os a aques sob e las aplicaciones basados en BLE que, si no es a bien implemen ado puede da luga a se ios huecos en la segu idad del sis ema. Todo es e plan eamien o equi i´o un es udio del p o ocolo de Blue oo h en p o undidad que mas adelan e se acab´o desca ando po un en oque m´as gene al con un analizado au om´a ico de ulne abilidades. M´as adelan e empez´o la b´usqueda de he amien as pa a ealiza un en o no de abajo ´alido, en o al se ba aja on 3 en o nos, empezando po la he amien a MobSF ins alado en Windows de mane a na i a. Es e p ime ace camien o al analizado dio bas an es p oblemas al ejecu a lo po , como se sab ´ıa mas adelan e una ins alaci´on co up a de Py hon en el disposi i o. A con inuaci´on se op ´o po el sis ema Linux San oku, que es a especializado pa a hace an´alisis sob e disposi i os m´o iles, en especial se ap endi´o a u iliza Wi esha k que si e pa a hace un an´alisis de los paque es en iados a una ed, conec ´andolo al emulado de And oid se p e end´ıa analiza el ´a ico de las aplicaciones de o ma manual. La o a aplicaci´on que ap endi´o en p o undidad ue D oze , que se a a de un amewo k que u iliza un APK ins alado en el m´o il pa a hace una conexi´on en e el m´o il (emulado ) y la m´aquina an i iona de San oku pa a ejecu a a aques como inyecciones SQL. Todo es e ap endizaje se hizo de o ma e´o ica pues cuando se ue a ejecu a la he amien a se acab´o descub iendo la p o ecci´on con a la emulaci´on de las aplicaciones y se u o que desca a es e en o no. Lo siguien e que se p ob´o ue la dis ibuci´on de Linux And ol4b que, aunque en´ıa menos he amien as pa a la simulaci´on de a aques, con en´ıa la he amien a que es aba mejo alo ada, que e a MobSF. Con es a he amien a se pudie on ealiza los an´alisis es ´a icos de las aplicaciones sin necesidad de u iliza un disposi i o ´ısico conec ado. Aun 54 Cap ´ ı ulo 7. Con ibuciones Indi iduales as´ı es e en o no en´ıa la limi aci´on de solo pode ealiza an´alisis es ´a ico. Al e es o se op ´o po ins ala la he amien a de o ma na i a en Windows, lo que esul ´o, jun o al emulado de And oid Genymo ion en el en o no de abajo inal. Has a encon a una combinaci´on de emulado And oid y analizado que pe mi ie a busca e o es en las aplicaciones el iempo in e ido en ap ende a maneja los en o nos an e io es si i´o m´as adelan e pa a en ende mejo la he amien a inal MobSF. Las aplicaciones que se u iliza on pa a el an´alisis se ob u ie on a a ´es de la p´agina web APKPu e debido a que muchos p oyec os o iciales no daban acilidades pa a compila el c´odigo. Pa a agiliza la b´usqueda de in o maci´on se di idi´o el abajo de documen aci´on y la especializaci´on ue la b´usqueda y en endimien o del uncionamien o de las he amien as de an´alisis, as´ı como el uncionamien o in e no de las mismas. Es o incluye los es ´anda es u ilizados po la he amien a MobSF as´ı como las dis in as ases y ipos de an´alisis u ilizados po las emp esas de so wa e. Es e conocimien o es ´a plasmado en el Cap´ı ulo 4. Es e abajo de documen aci´on si i´o pa a en ende de mane a m´as c ´ı ica las pun uaciones que daba la he amien a MobSF. T as analiza las aplicaciones se con igu a on dis in as ablas ecabando los esul ados ob enidos al ejecu a el analizado MobSF. Dichas ablas ag upa on los esul ados seg´un el luga donde se ob u ie on los e o es, como en el c´odigo o en los pe misos. Debido al g an olumen de da os que se es aban manejando, se acab´o po desca a los da os que el analizado de ec aba con ninguna se e idad o da os de la es uc u a. Es a c iba edujo los da os en un 40 % del o al, lo que hizo el es udio m´as manejable y, po an o, m´as sencillo. Una ez clasi icados los e o es se busc´o la se e idad eal de los mismos pa a comp oba como de g a e e an los esul ados que es aban ma cados como se e os o desconocidos. Pa a es e p oceso de comp obaci´on se consul a on las p´aginas web de dis in os es ´anda es como CWE oOWASP MASVS, as´ı como ambi´en la API de Google pa a e el uso de los pe misos as´ı como las p econdiciones y usos de los mismos. Es o ´ul imo acab´o dando mucha pe spec i a con lo que espec a a los da os ob enidos y, sob e odo una isi´on de como se es aban u ilizando cie os pe misos en con a de lo que indicaba la API. Con oda la in o maci´on con as ada se esc ibi´o la memo ia haciendo uso po p ime a ez del lenguaje de edici´on LaTeX haciendo hincapi´e en la ealizaci´on de ablas y igu as adem´as de plasma los esul ados de los an´alisis y las conclusiones de los mismos. El abajo m´as du o ue el de la o ganizaci´on de la in o maci´on en el documen o, pues debido al g an olumen de in o maci´on empezaba a se ca´o ica. Las ablas mencionadas an e io men e si ie on mucho a la ho a de compac a y o ganiza los da os. Pa a la ealizaci´on de las igu as mencionadas an e io men e se u iliz´o la web d aw.io que al se la p ime a ez que se mon aba una igu a que compac aba in o maci´on ayud´o la simplicidad de la he amien a pa a acos umb a se al en o no. Se hizo una excepci´on con el diag ama de Gan que se hizo uso de la web Lucidcha que hab´ıa sido u ilizada 7.2. Alonso Ma ´ ın Zu do 55 an e io men e pa a asigna u as donde se hab´ıan hecho p oyec os que eque ´ıan de es e ipo de diag amas. Todo el uso de la he amien a LaTeX supuso un es ue zo ex a ya que, como se ha comen ado an e io men e, ha sido la p ime a oma de con ac o con el en o no y ha sido necesa io un ap endizaje de la ealizaci´on de ablas, el uso de glosa ios y la adecuada u ilizaci´on de e e encias pa a da una es uc u a adecuada al documen o inal. Cap´ı ulo 8 Conclusiones y T abajo Fu u o 8.1. Conclusiones El obje i o de es e abajo e a la comp obaci´on de segu idad en dis in as aplicaciones eu opeas de as eo de con ac os basadas en el p o ocolo DP-3T median e he amien as au om´a icas de an´alisis de ulne abilidades. Es o se ha is o alen izado po a ios ac o es. El p ime o de esos ac o es es la no edad del p o ocolo. Es o p o oca que la in o maci´on sob e la misma sea educida. El siguien e ac o es la inexpe iencia en el ´ambi o del an´alisis de ulne abilidades. Es o aumen ´o la cu a de di icul ad de en ada a la ho a de ealiza los expe imen os como de in e p e a los esul ados de uel os po la misma. El ´ul imo de los ac o es es la p o ecci´on con a emulaciones de las aplicaciones. Como se ha mencionado en cap´ı ulos an e io es, es as aplicaciones ienen c´odigo que impide emula lo en una pla a o ma como Genymo ion. Al p incipio ue una g an ba e a pa a ejecu a los an´alisis, pe o g acias a la he amien a MobSF acab´o po no se m´as p oblema que la si uaci´on inicial. Aun as´ı, el esul ado ue sa is ac o io y se pudo encon a la mane a de ejecu a los an´alisis sob e las aplicaciones. Es os an´alisis se ejecu a on con la ayuda de un analizado au om´a ico llamado MobSF que ejecu aba sob e un emulado de And oid, Genymo ion, las aplicaciones que usan el p o ocolo DP-3T con la in enci´on de encon a b echas en la segu idad y con ellas hace un in o me, pun uando seg´un los es ´anda es de la he amien a, es ableciendo as´ı un g ado de se e idad de los e o es encon ados. Los es ´anda es de es a he amien a se de alla su uncionamien o ´ın eg amen e en el Cap´ı ulo 4, es os son CVSS que ayuda a pun ua de o ma num´e ica la g a edad de los esul ados, OWASP MASVS que de alla los equisi os m´ınimos de cibe segu idad eque idos en una aplicaci´on con ca ac e ´ıs icas simila es, y CWE que de alla los a aques que se pueden ealiza con de e minados e o es en la segu idad. El esul ado inal de los an´alisis han sido nega i os en cuan o a los pe misos o o gados, e o es de c´odigo en e o os. Como se de alla en el Cap´ı ulo 6las pun uaciones po pa e del analizado MobSF han sido bajas en gene al, con una media de 47.7 de pun uaci´on 57 64 Cap ´ ı ulo 9. In oduc ion 9.4. S uc u e O This Pape The es o he wo k is o ganized in se en chap e s wi h he s uc u e ha is commen ed below: Chap e 2con ex ualizes and b ie ly in oduces he o igins, concep s and heo e ical bases o con ac acing applica ions in a gene al way. In Chap e 3 he decen alized p oximi y acking p o ocol is discussed in mo e de ail. Thei ypes and hei ope a ion a e desc ibed, as well as analyzing and compa ing hei p i acy and secu i y be ween he di e en models ha exis . Chap e 4con ex ualizes he ope a ion o ulne abili y analysis ools. The di e en ypes a e e iewed and he s anda ds used by he ool used o analyze he applica ions a e explained in de ail. Chap e 5p esen s di e en wo ks ela ed o his, explaining he esul s ob ained. Chap e 6de ails he esul s o he analyzes ca ied ou on he di e en Eu opean applica ions and how he analysis labo a o y is con igu ed. Chap e 7summa izes he indi idual con ibu ions o each membe o he wo k eam. Chap e 8concludes his wo k: b ie ly summa izing he p ojec expe ience and analyzing he esul s o he analyzes. Fu u e wo k and possible lines o esea ch a e p esen ed. Chap e s 9and 10 a e English ansla ions o Chap e s 1and 8, espec i ely. Cap´ı ulo 10 Conclusions and Fu u e Wo ks 10.1. Conclusions The objec i e o his wo k was o e i y secu i y in di e en Eu opean con ac acing applica ions based on he DP-3T p o ocol using au oma ic ulne abili y analysis ools. This has been slowed down by se e al ac o s. The i s o hese ac o s is he no el y o he p o ocol. This causes he in o ma ion on i o be educed. The nex ac o is inexpe ience in he ield o ulne abili y analysis. This inc eased he en y di icul y cu e when pe o ming he expe imen s and in e p e ing he esul s e u ned by i . The las ac o is p o ec ion agains applica ion emula ions. As men ioned in p e ious chap e s, hese applica ions ha e code ha p e en s emula ion on a pla o m like Genymo ion. A i s i was a big ba ie o un he analyzes, bu hanks o he MobSF ool i ended up being no mo e o a p oblem han he ini ial si ua ion. E en so, he esul was sa is ac o y and a way could be ound o un he scans on he applica ions. These analyzes we e execu ed wi h he help o an au oma ic analyze called MobSF ha an on an And oid emula o , Genymo ion, he applica ions ha use he DP-3T p o ocol wi h he in en ion o inding secu i y gaps and wi h hem make a epo , sco ing acco ding o he s anda ds o he ool, hus es ablishing a deg ee o se e i y o he e o s ound. The s anda ds o his ool a e ully de ailed in Chap e e Chap e 4, hese a e CVSS which helps o nume ically sco e he se e i y o he esul s, OWASP MASVS which de ails he minimum cybe secu i y equi emen s equi ed in an applica ion wi h simila cha ac e is ics, and CWE which de ails he a acks ha can be ca ied ou wi h ce ain secu i y e o s. The inal esul o he analysis has been nega i e in e ms o he pe missions g an ed, code e o s among o he s. As de ailed in Chap e 6, he sco es om he MobSF analyze ha e been low in gene al, wi h an a e age sco e o 47.7 and 6.56 poin s acco ding o he CVSS s anda d, which indica es ha hey a e in medium se e i y, only 0.44 poin s om s a ing o be conside ed high se e i y. This is due o he mishandling o sensi i e in o ma ion ha has been de ec ed and he use o enc yp ion algo i hms known o ha e 65 66 Cap ´ ı ulo 10. Conclusions and Fu u e Wo ks secu i y p oblems, which causes hei use o be discou aged. The mos c i ical e o s a e he use o he SHA-1 and MD5 c yp og aphic algo i hms ha a e known o ha e hash collisions, his means ha se e al inpu s o he hash unc ion can achie e he same ou pu , c ea ing a secu i y b each. Ano he c i ical e o is he use o se e al ypes o localiza ion (p ecise and app oxima e) When he Google API explici ly s a es ha one o he o he should be used i necessa y, bu no bo h. All his can be imp o ed wi h new e sions o he applica ions whe e all hese aspec s a e deal wi h. I is also unde s ood ha he ime ha he de elopmen eams o hese applica ions may ha e had may ha e been e y educed aking in o accoun he spon anei y o he COVID-19 pandemic, which may ha e led o subop imal decisions du ing de elopmen o mo e ocused on unc ionali y a he han p o ec ing he p i acy and secu i y o end use s. All his does no mean ha he lack o he a o emen ioned secu i y elemen s is due o he ac ha hey did no ind i ele an o ein o ce secu i y, bu a he ha hey may ha e ein o ced o he s ha ha e no been de ec ed as e o s o ha eason. 10.2. Fu u e Wo ks As possible u u e wo ks, i could be in e es ing o ca y ou he ollowing ac ions: Analyze he la es e sions o mobile applica ions o see i hey ha e imp o ed applica ion secu i y. Analyze, apa om Eu opean applica ions, applica ions om he es o he wo ld. Analyze mobile con ac acing applica ions ha use cen alized models. Use o he ypes o mobile applica ion analyze s ha use mo e upda ed and mode n s anda ds. Take a close look a he andom numbe gene a o o see o wha ex en i a ec s he ope a ion o EphID c ea ion. Simula e a eal a ack on a mobile de ice ha has a con ac acing applica ion ins alled, such as a DoS Blue oo h a ack. Bibliog a ´ıa [CBB+20] Claude Cas elluccia, Na aliia Bielo a, An oine Bou e , Ma hieu Cunche, C´ed ic Lau adoux, Daniel Le M´e aye , and Vincen Roca. Desi e: A hi d way o a eu opean exposu e no i ica ion sys em. h ps://gi hub.com/ 3 d-ways- o -EU-exposu e-no i ica ion/p ojec -DESIRE/blob/mas e / DESIRE-speci ica ion-EN- 1_0.pd , May 2020. [CIY20] Hyunghoon Cho, Daphne Ippoli o, and Yun William Yu. Con ac acing mobile apps o co id-19: P i acy conside a ions and ela ed ade-o s. a Xi p ep in a Xi :2003.11511, 2020. [De 15] And oid De elope s. C2d dep eca ed. h ps://de elope s.google.com/and oid/ c2dm, Jul 2015. [De 19] And oid De elope s. Pe misos ble. h ps://de elope .and oid.com/guide/ opics/connec i i y/blue oo h-le#pe missions, Dec 2019. [De 20a] And oid De elope s. Funciones de ha dwa e pa a la iu del disposi i o. h ps: //de elope .and oid.com/guide/ opics/mani es /uses- ea u e-elemen ? hl=es-419#loca ion-hw- ea u es, Ap 2020. [De 20b] And oid De elope s. Pe misos que implican equisi os de unciones. h ps: //de elope .and oid.com/guide/ opics/mani es /uses- ea u e-elemen ? hl=es-419#pe missions, Ap 2020. [Goo15] Google. Ac i i y ecogni ion api. h ps://de elope s.google.com/ loca ion-con ex /ac i i y- ecogni ion, Jun 2015. [Goo21] Google. Pe misos de ubicaci´on. h ps://de elope s.google.com/maps/ documen a ion/and oid-sdk/loca ion?hl=es-419#loca ion_pe missions, Ap 2021. [G i20] Ya on G ili. Secu i y analysis o he co id-19 con ac acing speci ica ions by apple inc. and google inc. IACR C yp ol. eP in A ch., 2020:428, 2020. [HWMF21] Majid Ha amian, Samuel Wai imu, Nu ul Momen, and Lo ha F i sch. A p i acy and secu i y analysis o ea ly-deployed co id-19 con ac acing and oid apps. Empi ical So wa e Enginee ing, 26(3):1–51, 2021. [IMP] IMPERVA. Pene a ion es ing. h ps://www.impe a.com/lea n/ applica ion-secu i y/pene a ion- es ing/. 67 68 BIBLIOGRAF´ IA [JD20] Nele Quas Jenny Wange Samee Halai And eas Gebha d Ka e Gallaghe Jason D’O azio, Ch is oph S einlehne . Tcn ux ecommenda ions whi epape . h ps://gi hub.com/TCNCoali ion/whi epape s/blob/mas e / cn-ux- ecommenda ions-whi epape - 1.pd , June 2020. [LR] Punee Meh a Linda Rosenc ance. pen es (pene a ion es ing). h ps:// sea chsecu i y. ech a ge .com/de ini ion/pene a ion- es ing. [MKHR+20] Tania Ma in, Geo gios Ka opoulos, Jos´e L He n´andez-Ramos, Geo gios Kambou akis, and Igo Nai Fo ino. Demys i ying co id-19 digi al con ac acing: A su ey on amewo ks and mobile apps. Wi eless Communica ions and Mobile Compu ing, 2020, 2020. [OWA17] OWASP. Owasp op en. h ps://owasp.o g/www-p ojec - op- en/, 2017. [PLO21] MITRE PLOVER, E ic Dalci. Cwe-200: Exposu e o sensi i e in o ma ion o an unau ho ized ac o . h ps://cwe.mi e.o g/da a/de ini ions/200.h ml, Ma 2021. [PM07] Sasha Romanosky Pe e Mell, Ka en Sca one. A comple e guide o he common ulne abili y sco ing sys em. h ps://www. i s .o g/c ss/ 2/guide, Jun 2007. [RWI+20] Ronald L Ri es , DJ Wei zne , LC I e s, Is ael Soibelman, and MA Zissman. Pac : P i a e au oma ed con ac acing. Re ie ed Decembe , 2:2020, 2020. [SS20] Ca los Holgue a S en Schlei e, Je oen Willemsen. Mobile Applica ion Secu i y Ve i ica ion S anda d. In Mobile Applica ion Secu i y Ve i ica ion S anda d, pages 4 – 17, Ma ch 2020. [TPH+20] Ca mela T oncoso, Ma hias Paye , Jean-Pie e Hubaux, Ma cel Sala h´e, James La us, Edoua d Bugnion, Wou e Lueks, The esa S adle , Apos olos Py gelis, Daniele An onioli, e al. Decen alized p i acy-p ese ing p oximi y acing. a Xi p ep in a Xi :2005.12273, 2020. [Vau20] Se ge Vaudenay. Cen alized o decen alized? he con ac acing dilemma. Technical epo , 2020.