Opinión experta de Caroline Borriello, COO de Pradeo
Detrás de este posicionamiento se encuentra la constatación de unos usos móviles cuyo crecimiento ha sido fulgurante, tanto en la esfera personal como profesional, y la voluntad del mercado de responder a esa demanda. Ya maduro y consciente de riesgos bien identificados, el mercado de las aplicaciones móviles debe reforzar su enfoque de security by design.
La increíble apetencia de los usuarios por las aplicaciones móviles
Fue hace solo 15 años: Steve Jobs presentaba el primer «smartphone». Muy lejos de los estándares de entonces, estos dispositivos de un nuevo género eran simplemente «pequeños ordenadores móviles». Apenas algo más de una década después, en 2019, los usos de internet móvil superaban incluso a los de los ordenadores clásicos. Hay que decir que el mercado de las aplicaciones móviles se desarrolló a la velocidad del rayo y que hoy existen aplicaciones para… ¡prácticamente todo!
El enfoque de desarrollo de estas aplicaciones se orientó, y es lógico, prioritariamente hacia la rapidez y la reducción drástica del time-to-market: hay que ir rápido para crear una aplicación (antes de que otro editor tenga la misma idea) y ofrecer actualizaciones funcionales con la mayor frecuencia posible para mantener el interés de los usuarios. Por ello, para simplificar la tarea a los desarrolladores, algunos componentes técnicos o funcionales, como las librerías, ya están disponibles en el mercado. ¿Pero son siempre fiables?
Ante la urgencia, la seguridad no siempre ha sido la primera prioridad. Hasta el 75 % de las aplicaciones móviles analizadas por Pradeo contienen vulnerabilidades, a veces incluso entre las más conocidas, o incorporan comportamientos abusivos en el uso de los datos, lo que provoca por ejemplo riesgos de robo o de fuga de información. Lejos de ser anecdótico para un usuario en su esfera privada, el riesgo es aún más crítico en los usos profesionales. Muy a menudo, estas amenazas provienen de librerías de terceros o de código open source integrados en las aplicaciones.
Aplicaciones móviles: riesgos conocidos pero exacerbados
Como auténticos ordenadores de bolsillo, los smartphones presentan prácticamente los mismos riesgos que cualquier terminal digital de tipo ordenador: compromiso de datos más o menos sensibles (datos personales, número de tarjeta bancaria, contraseñas diversas…), usurpación de la identidad del portador del smartphone, etc. Pero, precisamente por la ergonomía propia del móvil (pantalla más pequeña, uso en movilidad, aplicaciones en segundo plano…), las trampas no siempre son fáciles de identificar y pueden aparecer comportamientos de mayor riesgo.
Cuando además los smartphones disponen de accesos directos a los sistemas de una empresa, los resultados pueden ser catastróficos. Desde la fuga de datos, lamentable para la imagen de la empresa afectada, hasta el ransomware capaz de dejar totalmente inoperativo un sistema de información o incluso una cadena de producción industrial, y hasta de poner vidas en juego (sistema de información hospitalario), las consecuencias potenciales de una intrusión son tan graves como numerosos son los móviles que acceden a los sistemas de información de las organizaciones.
Un peligro que pesa igualmente sobre los propios editores de aplicaciones: en caso de compromiso constatado a causa de una aplicación que han publicado en las tiendas, los focos se dirigirán hacia ellos. Con una reputación dañada (para el conjunto de sus aplicaciones si editan varias), una pérdida de confianza de los usuarios y posiblemente el cuestionamiento de su responsabilidad civil o penal, según las consecuencias constatadas.
La seguridad: un elemento nativo
Igual que la sensibilización de los usuarios sobre la seguridad de sus datos personales, o sobre la seguridad de su empresa, ha permitido limitar cierto número de riesgos en el ordenador, la toma de conciencia de los peligros en el terminal móvil debería producir los mismos efectos positivos. Pero están lejos de ser suficientes, ya que resulta difícil e incluso imposible identificar determinadas amenazas.
Más que a los usuarios, corresponde por tanto sobre todo a los desarrolladores y editores la tarea de proteger las aplicaciones. Un esfuerzo que debe realizarse desde los primeros bocetos de la aplicación y a lo largo de todo su ciclo de vida, incluido el mantenimiento correctivo y funcional. En otras palabras, se trata de integrar la seguridad desde el diseño de los desarrollos aplicativos.
En concreto, el primer elemento de una aplicación segura es un código fiable: el uso de código de terceros es evidentemente posible, con la condición de verificarlo. Después, la aplicación debe ofuscarse, de modo que se evite la ingeniería inversa y se limiten así los riesgos de robo de propiedad intelectual o de usurpación de la aplicación con fines maliciosos. De forma complementaria, esta puede disponer de protecciones intrínsecas, del lado del cliente —por ejemplo mediante la desactivación de funcionalidades en un terminal comprometido— o del lado del servidor, con la identificación de posibles clones.
En resumen, ya es hora de aplicar al mundo del móvil los mismos principios de security by design admitidos desde hace tiempo en los usos de TI más tradicionales, en el ordenador.
La suite de seguridad aplicativa de Pradeo
Para facilitar la protección de las aplicaciones, Pradeo ofrece a las empresas que desarrollan aplicaciones, editoras y agencias, una suite de seguridad que garantiza la protección de las aplicaciones móviles y de sus servicios web asociados, desde las fases de desarrollo hasta las operaciones:
