Según informes del sitio web de tecnología The Register un grupo de investigadores de la Universidad alemana de Ulm ha descubierto un problema de seguridad en el Sistema Operativo Android el cual podría ser utilizado para conseguir acceso no autorizado a las cuentas de los usuarios. El protocolo de autenticación ClientLogin, el cual se encuentra presente en la versión 2.2.3 del Android y en versiones anteriores, parece ser el responsable del inconveniente.

Cómo se supone que trabaja ClientLogin? Cuando un usuario introduce sus credenciales para acceder a servicios tales como Facebook, Twitter o Google Calender la interfaz de programación envía en forma de texto plano el token que recupera durante la autenticación. El problema radica, según lo dicho por los investigadores en que: “Debido a que el authtoken puede ser utilizado durante un máximo de 14 días en todas las solicitudes posteriores sobre el servicio, los atacantes pueden explotarlo y obtener acceso no deseado a las cuentas de los usuarios”.

Los investigadores estuvieron planteándose la idea de si podrían encontrar una forma de lanzar un ataque en busca de suplantar los servicios de Google y se dieron cuenta de que era posible y de una forma bastante sencilla.

Por el momento Google lanzó un parche de seguridad destinado a corregir los inconvenientes encontrados en el protocolo ClientLogin, sin embargo esta actualización sólo funciona en las versiones Android 2.3.4 y Android 3.0, dejando fuera de dicha solución a casi el 99 por ciento de los teléfonos que usan este Sistema Operativo.

Fuente: 99 Percent Of Android Devices Are Vulnerable To Password Theft (mobilecrunch)