Google le dice a Samsung que deje de hacer cambios en Android

Google ha criticado a algunos de los principales fabricantes móviles por alterar los códigos del kernel de Linux dentro de su plataforma Android.

Según el equipo de seguridad de Project Zero de Google, varios fabricantes de teléfonos han jugueteado con el software para hacer que sus dispositivos sean más seguros; sin embargo, en el proceso, en realidad han terminado haciendo que los teléfonos sean vulnerables a graves errores de seguridad.

Esto incluye a Samsung, cuyo jugueteo con el kernel de Android Linux ha resultado en exponer los dispositivos de la compañía a una serie de amenazas.

Creando vulnerabilidades

Google ha sugerido que los fabricantes deben usar las características de seguridad incorporadas de Android en lugar de realizar cambios innecesarios en el núcleo.

Citando un ejemplo del Galaxy A50 de Samsung, Jann Horn de Google reveló que al hacer estos cambios, Samsung agregó controladores personalizados, creando así acceso directo al núcleo. Aunque esto estaba destinado a mejorar la seguridad en el dispositivo, creó un error de corrupción de memoria.

Samsung describió el error como un problema moderado que consiste en vulnerabilidades de uso tras libre y doble libre en dispositivos que ejecutan Android 9 Pie y Android 10 y el subsistema de seguridad PROCA (Process Authenticator) de la compañía afectada. Este error fue parcheado con una actualización en la reciente actualización de febrero por parte de la empresa.

Las publicaciones de Horn también sugieren que los cambios en el kernel específicos del dispositivo son una fuente frecuente de vulnerabilidades y las denominan «innecesarias», lo que niega el trabajo de Google para asegurar el sistema operativo.

Destacó otro ejemplo de Samsung afirmando que uno de los cambios en un dispositivo estaba dirigido a restringir a un atacante que ganó «lectura/escritura arbitraria del kernel». Llamando a estos cambios como «inútiles», mencionó que los recursos de ingeniería podrían haberse utilizado mejor si hubiera asegurado que un hacker ni siquiera llegara a este punto.

Concluyó con un llamamiento en el sentido de que «idealmente, todos los proveedores deberían avanzar hacia el uso y la aplicación con frecuencia de actualizaciones desde los núcleos anteriores apoyados».

Fuente