¿Y si el FBI tuviera que acceder a un Android?

Todos conocemos a estas alturas el caso que Apple y el FBI han mantenido en los juzgados, a causa del iPhone cifrado de uno de los responsables del ataque en San Bernardino. El FBI quería que Apple creara una versión que les permitiese acceder, y Apple se negó argumentando que crearía un precedente demasiado peligroso para los usuarios.

El FBI ha abandonado el caso después de contratar los servicios de una compañía de seguridad israelí, quienes accedieron al contenido del teléfono en menos de 24 horas a pesar de que el FBI dijera más de una decena de veces que «Apple es la única que puede hacerlo». Ahora la batalla está en saber el cómo se han conseguido esos datos, pero esa es otra historia.

La situación hizo que los gigantes tecnológicos se tuvieran que posicionar en una u otra parte: mientras que compañías como WhatsApp o Microsoft se han puesto detrás de Apple, otras como BlackBerry o Amazon han dado pasos atrás en favor del FBI. ¿Pero qué hubiese pasado si, en vez de un iPhone, hubiese sido un dispositivo equipado con Android?

Caso 1: un Android por debajo de Marshmallow, sin cifrado

Como ya hemos comentado en El Androide Libre, el cifrado supone uno de los grandes problemas de Android: mientras que los iPhone vienen con cifrado obligatorio -y sin posibilidad de desactivarlo- a partir de iOS 8, en Android este cifrado obligatorio ha llegado con Android Marshmallow. Y si combinamos todo eso con la falta de actualizaciones, nos encontramos con la tormenta perfecta para el FBI.

En caso de hablar de un dispositivo por debajo de Android Marshmallow, y contando con que el usuario no ha activado el cifrado por sí mismo, los especialistas del FBI lo tendrían muy sencillo para extraer los datos del teléfono. Todo sin que la agencia estadounidense tuviese que pedir nada a ninguna compañía, en realidad.

Caso 2: un Android con Marshmallow, o con cifrado

Los chicos de The Conversation han realizado un experimento para comprobar cuánto tardaríamos en caso de encontrar un Android cifrado. Para ello, han intentado asaltar un Nexus 4 con Android 5.1.1 Lollipop y cifrado activado, para después contarnos sus resultados en este artículo.

Android nos deja intentarlo todas las veces que queramos, poniendo 30 segundos de penalización por cada 5 intentos fallidos, y mantiene la cuenta de las veces aunque se restaure de fabrica tras varios intentos. Suponiendo que tenemos un PIN de 6 dígitos, llevaría 69 días encontrar con la contraseña correcta en el peor de los casos. Eso sí, el atacante no se llevará nuestros datos, el teléfono se borraría antes para evitarlo.

Por otra parte, el bloqueo en el arranque es mucho más duro porque se trata de una contraseña completa. También restaura de fábrica el teléfono, esta vez después de fallar 30 veces seguidas. Suponiendo que tenemos una de seis letras, todas minúsculas, tardaríamos más de 58 años en el peor de los casos.

También es curioso que Android restaura el teléfono tras varios intentos automáticamente, no tenemos la opción de desactivarlo, mientras que en iOS esta característica es opcional y debe ser activada por el usuario. Eso también significa que el FBI no podría acceder a nuestros datos sin conocer la contraseña.

¿Qué otras opciones existen?

Por suerte o por desgracia, el panorama de Android es diverso y esto hace que contemos con todo tipo de opciones. Algunas de estas posibilidades son las siguientes, aunque entramos en el resbaladizo terreno de la especulación:

• Google ya ha borrado aplicaciones en dispositivos Android sin previo aviso. Conocemos casos en los que esto ha ocurrido por culpa de amenazas de seguridad, ¿pero sería posible aprovechar esto con otros propósitos? Tampoco sabemos si Google puede hacerlo todavía.

• Como con la copia de seguridad de iCloud, Google también guarda muchos de nuestros datos en la nube, datos que podría ceder a las autoridades -como hizo Apple- para ayudar a continuar con la investigación.

• Si el teléfono tiene root hecho, permisos de administrador, se podría aprovechar para subir en la escala de permisos, y conseguir un acceso al sistema que no se puede conseguir de forma habitual.

• El iPhone de San Bernardino era de propiedad gubernamental; de haber utilizado una suite para controlar todos los teléfonos de los empleados podrían haber forzado un reseteo del bloqueo de pantalla sin más problemas. Esas suites también funcionan con Android.

• El Administrador de dispositivos de Google, para los casos en los que los perdamos, permite bloquear dispositivos con una nueva contraseña, forzando el cambio del bloqueo actual por un nuevo bloqueo.
  • Lo malo del asunto es que entrar en la cuenta de Google puede ser igual de complicado que entrar en el dispositivo, un problema diferente que ‘quizás’ Google no tendría.

Todo eso contando con que Google tenga una orden de un juez que le pide estos datos, y estos quieran colaborar con la justicia. Como hemos dicho antes, sólo estamos especulando, pero se tratan de diferentes maneras de atacar el problema.

¿Y si Google y el FBI fueran a juicio?

Supongamos que, en vez de un iPhone cifrado, nos encontramos un Android cifrado. Y en vez de Apple, la que se encuentra con todo este marrón es Mountain View. Ninguna forma ha funcionado, el FBI le hace la misma «sugerencia» a Google, y estos se niegan.

Tanto Apple como Google son grandes compañías, y ambas estarían preparadas para aguantar el asedio en los juzgados. En el caso de Apple podemos incluso afirmar que tenían mejores abogados y mejor defensa que el FBI. Este caso, de haber sido ganado por Apple, hubiera sentado un precedente que apoyaría a los usuarios ante un supuesto espionaje del gobierno.

Esto es algo que al FBI no le conviene para continuar con sus investigaciones, y posiblemente el motivo por el que han decidido rendirse; no han conseguido que Apple de su brazo a torcer y saldrían perdiendo. Más cuando, después de haber repetido y repetido que el caso estaba en manos de Apple, lo han soltado con facilidad anunciando que ya lo habían conseguido.

En cualquier caso, esto no es una cuestión de que «no escondemos nada» y «no tengamos nada de lo que tener miedo»: nuestra privacidad es importante. Y puede que el próximo «iPhone de San Bernardino» sea contra una pequeña empresa, y esta empresa no pueda defenderse como lo ha hecho Apple.