Investigadores del IIIT Hyderabad han descubierto una vulnerabilidad relacionada con el autocompletado de contraseñas en Android. El fallo, denominado AutoSpill, puede provocar que una aplicación maliciosa acceda a credenciales gestionadas por determinadas aplicaciones de contraseñas.
El problema aparece al utilizar el autocompletado dentro de aplicaciones que muestran páginas de inicio de sesión mediante WebView. En determinadas circunstancias, las credenciales pueden acabar expuestas a la aplicación que contiene esa página.
Cómo funciona la vulnerabilidad AutoSpill
Los gestores de contraseñas permiten guardar credenciales y utilizarlas posteriormente sin necesidad de escribirlas de forma manual. En Android, la función de autocompletado puede utilizarse tanto en páginas web como dentro de otras aplicaciones.
AutoSpill aprovecha precisamente la interacción entre el sistema de autocompletado de Android y las aplicaciones que cargan páginas web mediante WebView.
Cuando una aplicación abre una página de inicio de sesión dentro de un WebView, el gestor de contraseñas debe determinar dónde introducir las credenciales. Los investigadores comprobaron que, en determinados escenarios, este proceso puede provocar que los datos se faciliten a la aplicación que aloja el contenido en lugar de quedar limitados al sitio web esperado.
Una aplicación diseñada con fines maliciosos podría aprovechar este comportamiento para intentar obtener las credenciales cuando el usuario utiliza el autocompletado.
Qué gestores de contraseñas pueden verse afectados
Los investigadores probaron AutoSpill con diferentes gestores de contraseñas para Android. Entre las aplicaciones analizadas se encuentran 1Password, LastPass, Enpass y Keeper, además de otros gestores.
Los resultados no son idénticos en todos los casos. El comportamiento depende del gestor utilizado y del método empleado para cargar o ejecutar el contenido dentro de la aplicación.
Por tanto, AutoSpill no debe interpretarse como una filtración general de todas las contraseñas almacenadas en Android. El riesgo aparece en situaciones concretas relacionadas con el proceso de autocompletado.
Cómo proteger las contraseñas en Android
Ante vulnerabilidades de este tipo, una de las principales medidas es mantener Android y el gestor de contraseñas actualizados. Las nuevas versiones pueden incorporar correcciones para vulnerabilidades y cambios en el funcionamiento del autocompletado.
También es importante controlar las aplicaciones instaladas. AutoSpill requiere la intervención de una aplicación que aproveche este comportamiento, por lo que conviene evitar aplicaciones de procedencia desconocida o desarrolladores que no sean de confianza.
- Mantén actualizado Android siempre que el fabricante publique nuevas versiones de seguridad.
- Instala las actualizaciones disponibles para tu gestor de contraseñas.
- Descarga aplicaciones desde fuentes de confianza.
- Comprueba qué aplicación estás utilizando antes de autocompletar credenciales sensibles.
Los gestores de contraseñas siguen siendo una herramienta útil para utilizar credenciales diferentes y complejas en cada servicio. AutoSpill muestra, sin embargo, que su seguridad también depende de la interacción entre el gestor, Android y las aplicaciones donde se utilizan las credenciales.
Fuente: ADSLZone.