El ecosistema Android se encuentra en un punto crítico al no poder hacer frente a sus graves problemas con la seguridad, especialmente con el “Android Stagefright”; que podría permitirle a atacantes, robar información de dispositivos a través de código ejecutado de manera remota con tan solo enviar un SMS preparado para tal fin. Hay estimaciones, que aseguran que casi 950 millones de dispositivos podrían ser vulnerables. Y mucho me temo que esta situación no cambiará hasta que sea demasiado tarde.
Debemos de recordar que Android fue originalmente diseñado, por encima de todo, para ser rápidamente implementado en todo tipo de dispositivos. Google partía en sus inicios con un desarrollo de Android de cero y con una cuota de mercado también del cero por ciento, como es lógico. Lo que provocó que desde el principio estuviesen dispuestos a ceder el control y permitir que las compañías tuviesen opinión sobre el desarrollo y por ende sobre el producto final. Por aquel entonces Apple no permitía que nadie trabajase ni opinase sobre el desarrollo del iPhone, y otra de las grandes como Microsoft era un cliente, por poner algunos ejemplos de la situación en ese momento.
La naturaleza del código abierto de Android permitía y permite que cualquiera pueda adaptar su código para su hardware, y los fabricantes de equipos y operadores podrían (teóricamente) alterar el corazón de Android a sus anchas.
La situación ha cambiado, y actualmente Android tiene una cuota de mercado de Smartphones que ronda alrededor del 75 – 80% lo que lo convierte en el sistema operativo más utilizado del mundo en lo que a dispositivos móviles se refiere.
El problema surge porque Android sigue manteniendo la misma estructura que tenía en sus inicios, cuando su cuota de mercado era irrelevante, y manteniendo esa misma forma ha derivado en un grave problema: su seguridad, que simplemente no funciona; empezando por la forma de llevar acabo las actualizaciones.
Usando un símil culinario podríamos decir que tenemos muchos cocineros en la misma cocina. Cuando Google lanza Android para los fabricantes de equipos originales (OEM) estos pueden modificar el código, y presentar uno “distinto” a los usuarios finales.
Como hemos comentado al principio del post con el caso del “Stagefright” podemos comprobar como la reacción del ecosistema Android a esta vulnerabilidad es un ejemplo de lo mal que funcionan las cosas. Aproximadamente un 95% de los dispositivos Android tienen un código de ejecución remoto arbitrario para recibir video MMS malicioso. Android tiene otras protecciones en su lugar para evitar que esta vulnerabilidad se ejecute fuera de control en el Smartphone, pero realmente asusta. Como se podría esperar, Google, Samsung y LG se han comprometido a “tomarse en serio la seguridad” y buscar una solución lo más pronto posible a este problema.
La “solución” pasa por sacar un parche que solucione esa vulnerabilidad en todos los dispositivos Android que ejecuten la versión 5.1. El problema es que aproximadamente solo el 2.6 por ciento de los dispositivos Android se encuentran usando esa versión. Y eso que ya hace 6 meses que fue lanzado al mercado.
Siendo optimistas podremos ver como la cifra de ese 2.6 por ciento solventará el problema del “Stagefright“, aunque la realidad demostrará que será mucho menor. Pero suponiendo que esas cifras sean ciertas, aun tendríamos un 92.4 (debemos de recodar que el 5% de dispositivos Android no son vulnerables a este bug) por ciento de dispositivos vulnerables al “Stagefright“.
La realidad es que se hace inviable poder llevar acabo en condiciones óptimas la actualización de alrededor de 24.000 modelos de dispositivos individuales con los que cuenta actualmente este sistema operativo.
Este panorama debería de ser una razón más que suficiente para que Google y demás fabricantes que usan Android dejarán de lado sus directrices de marca y de marketing y se sentarán juntos para poder llegar a una solución.
Sin embargo, podemos comprobar como la realidad, lejos de llegar a un acuerdo, vemos como cada uno de estos actores quieren mantener su imagen de marca. Además de no querer asumir la responsabilidad que lleva implícita la no rentabilidad de tener que llevar el soporte post-venta de los millones de dispositivos que crean y venden.
Es más que evidente que a tenor del panorama actual en algún momento surgirá una amenaza mayor que el “Stagefright“, al que por supuesto la solución aportada para un porcentaje del 2.6% no me parece una respuesta razonable.
Cierto es, que normalmente se suelen realizar comparaciones entre Android e IOS, pero dadas sus características propias no veo muy justa la comparación. Pues en el caso de IOS tanto hardware como software son controlados por la misma compañía. Por ello, creo que es mucho más razonable buscar otro modelo en el que fijarse, como es el caso de Microsoft Windows y su sistema de actualizaciones.
Podríamos decir algo así como que Windows y Android son primos cercanos en términos de hardware, soporte de OEM y distribución masiva. Microsoft cuenta con un sistema de actualizaciones centralizado y cuando se producen actualizaciones de seguridad, éstas llegan a los equipos sin que los “intermediarios” pongamos por ejemplo Dell, Comcast…etc. interfieren en las mismas; es decir, no tienen ni voz ni voto, por tanto no son modificadas ni adaptadas. Esto se debe a que el soporte que se realiza del hardware de los equipos es independiente del sistema operativo, es más, nadie puede realizar modificaciones al mismo simplemente porque no está permitido.
En este caso podemos ver como Microsoft tiene una estructura consistente en relación a las actualizaciones consiguiendo con este sistema una distribución y velocidad que ha logrado sobrevivir durante muchos años a los problemas de seguridad. Hasta el punto que podemos afirmar que la situación de las actualizaciones en Android es drásticamente diferente.
Lo que si debemos tener presente es que no se puede establecer un sistema cerrado en Android, ahora bien, va siendo hora de que los fabricantes de equipos y compañías empiecen a aceptar un menor nivel de acceso. Una solución podría ir encaminada a limitar las aplicaciones a nivel de usuario, y tal vez el acceso a un sistema de desarrollo integral, permitiendo la posibilidad de incluir su imagen de marca sin perturbar el sistema operativo subyacente.
Otro de los problemas que debería abordar Android y demás implicados son los ciclos de actualización del sistema operativo. Estudios recientes (año 2015) ponen de manifiesto que la fragmentación es evidente; no en vano, uno de los dispositivos más populares de Samsung hoy en día es el Galaxy S III un dispositivo con tres años de edad. De los diez primeros que reflejan las encuestas, seis son mayores de dos años de edad que han sido lanzados con un viejo sistema operativo, que muy probablemente, no se volverán a actualizar.
La dura realidad es que los fabricantes de equipos sólo se preocupan por los dispositivos que se encuentran actualmente a la venta. Samsung, por ejemplo, se apresura a actualizar el Galaxy S6, pero si la empresa realmente quiere proteger a sus clientes, debería actualizar modelos como el Galaxy S III, S4 y dispositivos más baratos como el Galaxy Gran Prime. En el caso del “Stagefright” Samsung solo dio soporte a sus modelos más recientes; y el único top ten de entre los dispositivos de Android que recibieron una alternativa, fue curiosamente el Galaxy S5, dispositivo que aún sigue en venta…
En resumen, existe un grave problema de seguridad al que no se le puede dar respuesta con una actualización de los buques insignia de las marcas; y a la que Android por el momento tampoco está dando respuesta.
