Las aplicaciones de teclado chinas de Honor, Oppo, Samsung, Vivo y Xiaomi son vulnerables a la vigilancia

Los usuarios que escriban en chino utilizando aplicaciones en la nube de Baidu, Honor, iFlytek, Oppo, Samsung, Tencent, Vivo y Xiaomi deben actualizar su software de inmediato. Los investigadores han descubierto graves fallos de cifrado en el software de entrada Pinyin que podrían comprometer los datos de entrada. Aunque los detalles de explotación de la vulnerabilidad aún no se han hecho públicos, el problema podría afectar hasta mil millones de usuarios.

La escritura china contiene miles de caracteres únicos que no se pueden acomodar en el teclado, por lo que se utilizan métodos de entrada alternativos (IME) para escribir. Todas las herramientas en la nube afectadas utilizaban el sistema Pinyin (literalmente, “escritura fonética”), en el que los usuarios utilizan el alfabeto romano para introducir la pronunciación fonética y luego seleccionar los caracteres apropiados de un conjunto. Los proveedores de sistemas operativos y desarrolladores externos han estado proporcionando métodos de entrada alternativos locales a los usuarios chinos durante décadas, pero los servicios en la nube superan a las aplicaciones locales en términos de precisión de detección de caracteres.

El uso de cualquier aplicación de escritura basada en la nube aumenta el riesgo de seguimiento, por lo que los desarrolladores garantizan la privacidad mediante el cifrado. Investigadores de la Universidad de Toronto probaron la seguridad de aplicaciones de nueve empresas: Baidu, Honor, Huawei, iFlytek, OPPO, Samsung, Tencent, Vivo y Xiaomi, y durante el experimento capturaron con éxito las pulsaciones de teclas de todas estas herramientas excepto la de Huawei. solicitud.

Los investigadores no encontraron fallas en las aplicaciones de iOS porque Apple automáticamente protege las aplicaciones de teclado y requiere el permiso explícito del usuario para acceder y transferir datos. Herramientas similares para Android y Windows se consideran mucho menos seguras. Los usuarios de Android pueden impedir que la aplicación de teclado se conecte a Internet, pero la mayoría de los usuarios simplemente no piensan en los riesgos potenciales y no es fácil encontrar los controles adecuados en la configuración.

Los investigadores han informado a todos los desarrolladores sobre la vulnerabilidad y la mayoría ya ha publicado actualizaciones para solucionar los problemas, pero las fallas de cifrado aún persisten en las aplicaciones de Baidu, el teclado Honor y el servicio QQ Pinyin de Tencent. Los investigadores enumeraron docenas de aplicaciones similares que no probaron, lo que sugiere que la mayoría de las aplicaciones tendrían vulnerabilidades similares.

Los investigadores expresaron alarma, recordando episodios anteriores de vigilancia gubernamental. Por ejemplo, Five Eyes, una alianza para compartir inteligencia entre Estados Unidos, Reino Unido, Canadá, Australia y Nueva Zelanda, ya ha explotado vulnerabilidades similares en aplicaciones chinas para espiar a los usuarios.