Philipp von Styp-Rekowsky y su 'caja de arena'. Imagen: Oliver Dietze. Fuente: AlphaGalileo.
Científicos de la Universidad del Sarre (Alemania) han desarrollado una cápsula de arena para ejecutar aplicaciones para móviles sin riesgo de que éstas infecten al sistema operativo.
"Con nuestro método se pueden descargar juegos sin dudarlo", afirma Philipp von Styp-Rekowsky, científico de la computación y doctorando en la Universidad del Sarre, en la nota de prensa de la universidad, recogida por AlphaGalileo.
Lo que Von Styp-Rekowsky ha desarrollado para dispositivos móviles con sistema operativo Android ya existe para los sistemas operativos de los ordenadores personales: se trata de "Aplicaciones Virtuales" o "Cajas de arena". Se trata de zonas especialmente aisladas en las que los cálculos de un programa no pueden tener ningún efecto en su entorno.
La nueva aplicación actúa como una especie de "centro de cuarentena", aislando aplicaciones sospechosas instaladas en dispositivos como teléfonos inteligentes y tabletas.
"Esto tiene algunas ventajas significativas en comparación con los métodos anteriores", asegura von Styp-Rekowsky. "Hasta ahora, este tipo de ejecución controlada al ejecutar aplicaciones sospechosas sólo se podría lograr interfiriendo con el sistema operativo, o modificando el código ejecutable de la aplicación. En el primer caso, los usuarios debían instalar una versión especial del sistema operativo, pero en el segundo caso, tan pronto como cambiaban el código, ya no están en un terreno legal firme, y perdían los datos de la aplicación, así como la función de actualización automática".
Además, estos dos métodos no sólo son complejos para los usuarios menos experimentados, sino que en el peor de los casos, pueden hacer incluso que el dispositivo no funcione.
"El proceso de instalación de aplicaciones es el mismo que antes", asegura el investigador. "Los usuarios sólo tienen que asegurarse de que tiene lugar dentro de la caja de arena".
Además, su sistema no sólo sirve como protección contra el robo de datos, sino que también es útil para los empleados que utilizan sus dispositivos personales para trabajos de empresa. "Una empresa podría configurar una parte del dispositivo personal para las actividades relacionadas con el trabajo, lo que protegería mejor los intereses, tanto de empleador como de empleado".
La aplicación es todavía un prototipo en la actualidad, pero se convertirá en una aplicación comercial en los próximos meses.
Datos
Según informa también la Universidad de Sarre a través de AlphaGalileo, científicos del Centro de Seguridad-TI, Privacidad y Confidencialidad (Cispa), de Saarbrücken (Alemania), han desarrollado un programa que puede mostrar a los usuarios si las aplicaciones de sus teléfonos inteligentes están accediendo a información privada, y qué hacen con esos datos.
RiskIQ, una compañía de software de seguridad para TI, examinó recientemente 350.000 aplicaciones que ofrecen transacciones monetarias, y encontró que más de 40.000 eran poco más que estafas. Descargaron las aplicaciones de alrededor de 90 tiendas de aplicaciones reconocidas de todo el mundo, y descubrieron que un 11 por ciento de ellas contenía funciones ejecutables maliciosas: podían leer mensajes personales, o eliminar las protecciones de contraseña. Y todo esto por lo general pasaba desapercibido para el usuario.
"Con nuestro método se pueden descargar juegos sin dudarlo", afirma Philipp von Styp-Rekowsky, científico de la computación y doctorando en la Universidad del Sarre, en la nota de prensa de la universidad, recogida por AlphaGalileo.
Lo que Von Styp-Rekowsky ha desarrollado para dispositivos móviles con sistema operativo Android ya existe para los sistemas operativos de los ordenadores personales: se trata de "Aplicaciones Virtuales" o "Cajas de arena". Se trata de zonas especialmente aisladas en las que los cálculos de un programa no pueden tener ningún efecto en su entorno.
La nueva aplicación actúa como una especie de "centro de cuarentena", aislando aplicaciones sospechosas instaladas en dispositivos como teléfonos inteligentes y tabletas.
"Esto tiene algunas ventajas significativas en comparación con los métodos anteriores", asegura von Styp-Rekowsky. "Hasta ahora, este tipo de ejecución controlada al ejecutar aplicaciones sospechosas sólo se podría lograr interfiriendo con el sistema operativo, o modificando el código ejecutable de la aplicación. En el primer caso, los usuarios debían instalar una versión especial del sistema operativo, pero en el segundo caso, tan pronto como cambiaban el código, ya no están en un terreno legal firme, y perdían los datos de la aplicación, así como la función de actualización automática".
Además, estos dos métodos no sólo son complejos para los usuarios menos experimentados, sino que en el peor de los casos, pueden hacer incluso que el dispositivo no funcione.
"El proceso de instalación de aplicaciones es el mismo que antes", asegura el investigador. "Los usuarios sólo tienen que asegurarse de que tiene lugar dentro de la caja de arena".
Además, su sistema no sólo sirve como protección contra el robo de datos, sino que también es útil para los empleados que utilizan sus dispositivos personales para trabajos de empresa. "Una empresa podría configurar una parte del dispositivo personal para las actividades relacionadas con el trabajo, lo que protegería mejor los intereses, tanto de empleador como de empleado".
La aplicación es todavía un prototipo en la actualidad, pero se convertirá en una aplicación comercial en los próximos meses.
Datos
Según informa también la Universidad de Sarre a través de AlphaGalileo, científicos del Centro de Seguridad-TI, Privacidad y Confidencialidad (Cispa), de Saarbrücken (Alemania), han desarrollado un programa que puede mostrar a los usuarios si las aplicaciones de sus teléfonos inteligentes están accediendo a información privada, y qué hacen con esos datos.
RiskIQ, una compañía de software de seguridad para TI, examinó recientemente 350.000 aplicaciones que ofrecen transacciones monetarias, y encontró que más de 40.000 eran poco más que estafas. Descargaron las aplicaciones de alrededor de 90 tiendas de aplicaciones reconocidas de todo el mundo, y descubrieron que un 11 por ciento de ellas contenía funciones ejecutables maliciosas: podían leer mensajes personales, o eliminar las protecciones de contraseña. Y todo esto por lo general pasaba desapercibido para el usuario.
Los informáticos han desarrollado un sistema de software que permite a los usuarios detectar aplicaciones maliciosas en una etapa temprana. Esto se logra mediante el escaneo del código del programa, con énfasis en aquellas partes donde la aplicación de marras está accediendo o transmitiendo información personal. Una característica importante del software es su capacidad para controlar con precisión los sitios web a los que está accediendo una aplicación, o a qué número de teléfono se envió el mensaje de texto.
Dado que el método es computacionalmente exigente, y requiere una gran cantidad de espacio de memoria, el software se ejecuta en un servidor específico. Se requiere un promedio de 25 minutos por cada aplicación, y hasta el momento, el equipo ha probado alrededor de 23.000 aplicaciones de esta manera.
Los usuarios podrían analizar las aplicaciones de forma remota, y los resultados se mostrarían en su teléfono inteligente. Idealmente, el proceso de evaluación podría integrarse directamente en los sitios web de tiendas de aplicaciones, señalan los investigadores, que ya están en conversaciones con Amazon, y podrían intentarlo con Google.
Evitar los fraudes
Detectar un fraude por internet es especialmente difícil porque no vemos la cara de la otra persona, ni oímos su voz, según Joey George, catedrático de Empresa y profesor de Sistemas de información en la Universidad Estatal de Iowa (EE.UU.),
Indicadores tradicionales, como cambios en el tono o largas pausas en la conversación, son de poca ayuda con los correos electrónicos o mensajes de texto. Hay algunos indicadores textuales, tales como el uso de no u otros términos negativos, que pueden ayudar a detectar el engaño, señala George en una nota de prensa de su universidad. Los errores en el lenguaje, las respuestas breves y el uso excesivo de la voz pasiva son otros indicadores de falta de honradez. Sin embargo, si el mensaje parece creíble, a menudo pesa más que cualquier bandera roja del texto, añade George.
La selección de personal en línea también plantea problemas. Según un estudio de George, los empleadores son más propensos a cuestionar la credibilidad del remitente cuando se comunica por correo electrónico, y eso aumenta el número de falsas alarmas, según George. Y formar a la gente para que detecte mejor el fraude puede ser más costoso que el propio fraude, reconoce.
Las respuestas a preguntas específicas acerca de la experiencia laboral o ejemplos de dilemas éticos pueden dar una idea de si una persona está diciendo la verdad. George dice que si un entrevistado intenta distanciarse de un asunto o desvía la responsabilidad, es una bandera roja.
Por ejemplo, un entrevistador puede preguntar al solicitante si nunca ha sentido la tentación de cometer fraude. Si el entrevistado no da una respuesta directa, sino que hace una declaración general, puede ser un indicio de engaño, según George.
Dado que el método es computacionalmente exigente, y requiere una gran cantidad de espacio de memoria, el software se ejecuta en un servidor específico. Se requiere un promedio de 25 minutos por cada aplicación, y hasta el momento, el equipo ha probado alrededor de 23.000 aplicaciones de esta manera.
Los usuarios podrían analizar las aplicaciones de forma remota, y los resultados se mostrarían en su teléfono inteligente. Idealmente, el proceso de evaluación podría integrarse directamente en los sitios web de tiendas de aplicaciones, señalan los investigadores, que ya están en conversaciones con Amazon, y podrían intentarlo con Google.
Evitar los fraudes
Detectar un fraude por internet es especialmente difícil porque no vemos la cara de la otra persona, ni oímos su voz, según Joey George, catedrático de Empresa y profesor de Sistemas de información en la Universidad Estatal de Iowa (EE.UU.),
Indicadores tradicionales, como cambios en el tono o largas pausas en la conversación, son de poca ayuda con los correos electrónicos o mensajes de texto. Hay algunos indicadores textuales, tales como el uso de no u otros términos negativos, que pueden ayudar a detectar el engaño, señala George en una nota de prensa de su universidad. Los errores en el lenguaje, las respuestas breves y el uso excesivo de la voz pasiva son otros indicadores de falta de honradez. Sin embargo, si el mensaje parece creíble, a menudo pesa más que cualquier bandera roja del texto, añade George.
La selección de personal en línea también plantea problemas. Según un estudio de George, los empleadores son más propensos a cuestionar la credibilidad del remitente cuando se comunica por correo electrónico, y eso aumenta el número de falsas alarmas, según George. Y formar a la gente para que detecte mejor el fraude puede ser más costoso que el propio fraude, reconoce.
Las respuestas a preguntas específicas acerca de la experiencia laboral o ejemplos de dilemas éticos pueden dar una idea de si una persona está diciendo la verdad. George dice que si un entrevistado intenta distanciarse de un asunto o desvía la responsabilidad, es una bandera roja.
Por ejemplo, un entrevistador puede preguntar al solicitante si nunca ha sentido la tentación de cometer fraude. Si el entrevistado no da una respuesta directa, sino que hace una declaración general, puede ser un indicio de engaño, según George.