La enorme escala del problema se ve agravada por el hecho de que estas vulnerabilidades no son difíciles de explotar. “No se necesitan enormes supercomputadoras procesando números para descifrar esto. No es necesario recopilar terabytes de datos para descifrarlo”, afirma Knockel. “Si simplemente eres una persona que quiere apuntar a otra persona en su Wi-Fi, puedes hacerlo una vez que comprendas la vulnerabilidad”.
La facilidad para explotar las vulnerabilidades y la enorme recompensa (saber todo lo que una persona escribe, incluyendo potencialmente contraseñas de cuentas bancarias o materiales confidenciales) sugieren que es probable que los piratas informáticos ya se hayan aprovechado de ellas, dicen los investigadores. Pero no hay pruebas de ello, aunque los piratas informáticos estatales que trabajan para los gobiernos occidentales apuntó a una laguna similar en una aplicación de navegador china en 2011
La mayoría de las lagunas encontradas en este informe están “tan por detrás de las mejores prácticas modernas” que es muy fácil descifrar lo que la gente escribe, dice Jedidiah Crandall, profesor asociado de seguridad y criptografía en la Universidad Estatal de Arizona, quien fue consultado en la redacción. de este informe. Como no requiere mucho esfuerzo descifrar los mensajes, este tipo de laguna puede ser un gran objetivo para la vigilancia a gran escala de grupos masivos, afirma.
Después de que los investigadores se pusieron en contacto con empresas que desarrollaron estas aplicaciones de teclado, se solucionaron la mayoría de las lagunas. Pero algunas empresas no han respondido y la vulnerabilidad aún existe en algunas aplicaciones y teléfonos, incluidos QQ Pinyin y Baidu, así como en cualquier aplicación de teclado que no se haya actualizado a la última versión. Baidu, Tencent, iFlytek y Samsung no respondieron de inmediato a las consultas de prensa enviadas por Revisión de tecnología del ..
Una posible causa de la ubicuidad de las lagunas es que la mayoría de estas aplicaciones de teclado se desarrollaron en la década de 2000, antes de que el protocolo TLS se adoptara comúnmente en el desarrollo de software. Aunque las aplicaciones han pasado por numerosas rondas de actualizaciones desde entonces, la inercia podría haber impedido a los desarrolladores adoptar una alternativa más segura.
El informe señala que las barreras del idioma y los diferentes ecosistemas tecnológicos impiden que los investigadores de seguridad de habla inglesa y china compartan información que podría solucionar problemas como este más rápidamente. Por ejemplo, debido a que la tienda Play de Google está bloqueada en China, la mayoría de las aplicaciones chinas no están disponibles en Google Play, donde los investigadores occidentales suelen buscar aplicaciones para analizar.
A veces todo lo que se necesita es un pequeño esfuerzo adicional. Después de que dos correos electrónicos sobre el tema enviados a iFlytek fueran recibidos en silencio, los investigadores de Citizen Lab cambiaron el título del correo electrónico a chino y agregaron un resumen de una línea en chino al texto en inglés. Solo tres días después, recibieron un correo electrónico de iFlytek informándoles que el problema se había resuelto.