Según estudio el NFC esta mal implementado en Nokia y Android

Siempre pasa, una nueva forma de comunicación trae consigo sus propios problemas de seguridad y NFC no iba a ser la excepción, de hecho lo quieren poner a prueba. Y el problema aumenta cuando los fabricantes no implementan bien los protocolos, como han hecho Nokia y Google con Android, dejando fallos de seguridad que podían poner en compromiso al teléfono en cuestión.

En el contexto del Black Hat Security Conference, Charlie Miller ha descubierto un fallo de seguridad en Android, aunque también comentó que encontró problemas con Nokia.

Para quien no conozca cómo funciona NFC, lo explico brevemente: es una tecnología de transferencia de datos de muy corto alcance, valiéndose de etiquetas especiales, puede enviar y recibir datos, existen etiquetas de sólo lectura, o lectura y escritura. A grandes rasgos. Bien, pues hasta ahora, los ataques NFC se basaban en coloar una etiqueta lectora cerca del teléfono móvil e intentar sacar información del mismo, pero el de Miller es diferente: puede transmitir datos al teléfono y enviarlo a una web con código malicioso sin consentimiento del usuario.

Evidentemente, el hecho de llevar a una web por si mismo no representa demasiada amenaza, a menos que se sume a varios fallos en el navegador que le permiten al atacante hacerse con el control del teléfono sin necesidad de interacción del usuario. Miller también ha planteado casos reales en los que el ataque se puede llevar a cabo: reemplazando la etiqueta de un centro de pago o de un póster de una película que lleve al tráiler.

Miller también encontró fallos en el código que parsea (traduce, a grosso modo) de información proveniente de la comunicación por NFC a información para el usuario en el Nexus S y Galaxy Nexus, aunque no detalla más cosas del fallo, ya que no lo persiguió más, aparte de añadir que en ICS el problema está resuelto, pero no en Gingerbread.

¿Dónde está el fallo?

En dejar que la comunicación entrante por NFC tome acciones sobre el teléfono sin pedirle al usuario ninguna confirmación de la acción que se quiere llevar a cabo.

fuente