Gailu mugikorren segurtasuna, telefono adimendunak, tabletak eta ordenagailu eramangarriak haririk gabeko informatikarekin lotutako mehatxuetatik babestea da^[1] Telefono adimendunetan gordetako informazio pertsonalaren eta enpresarialaren segurtasuna bereziki garrantzitsua da.

Enpresetan, gailu mugikorren erabilerak aldaketa handiak eragin ditu informazio-sistemen antolaketan, eta arrisku berriak sortu dira, telefono adimendunak eta antzeko gailuek informazio sentikorra gero eta gehiago biltegiratzen dutelako. Ondorioz, sarbide-kontrol zorrotza ezinbestekoa bihurtu da erabiltzaileen pribatutasuna eta enpresen jabetza intelektuala babesteko.

Zibererasoen helburu nagusietako bat telefono adimendunak dira, eta erasotzaileek komunikazio-modu ezberdinetan dauden ahultasunak aprobetxatzen dituzte. Hauek izan daitezke, besteak beste, Short Message Service (SMS), Multimedia Messaging Service (MMS), haririk gabeko konexioak, Bluetooth teknologia, eta GSM estandarra. Gainera, smartphoneen sistema eragileek eta web-nabigatzaileek ere ahultasunak dituzte, eta malwareak sarritan erabiltzaileen ezagutza mugatua baliatzen du.

McAfee-ren 2008ko ikerketa baten arabera, erabiltzaileen %2,1ek bakarrik izan zuen lehen eskuko kontaktua malwarearekin, baina %11,6k jakin zuen arazo horiek beste pertsona bati ere kalte egin ziotela. Ikerketa horien arabera, mugikorren segurtasun-kezka areagotzen ari da, eta arriskuak hazten jarraituko dutela aurreikusten da.^[2]

Smartphoneetako segurtasuna indartzeko, kontraneurriak garatzen eta ezartzen ari dira, softwareko segurtasun-praktika egokietatik hasi eta azken erabiltzaileentzako kontzientziazio- eta heziketa-kanpainetaraino. Segurtasun-neurriak hainbat mailatan ezarri daitezke, besteak beste, sistema eragileen garapenean, software-diseinu seguruagoan eta erabiltzaileen portaera aldatzean, zibermehatxuekiko babes hobea bermatzeko.

Telefono adimendunen erabiltzaileak zibermehatxu ugariren aurrean daude. 2012an, mugikorretarako mehatxu berezien kopurua %261 igo zen, ABI Research-en arabera.^[2] Gailu hauek aplikazio maltzurren eta segurtasun-ahultasunen bidez erasotzen dira, erabiltzaileen datu sentikorrak lapurtzeko. Banka mugikorraren eta BYOD (Bring Your Own Device) politikaren hedapenak erasoak areagotu ditu, eta malware mota ugari garatu da: ransomware, troiarrak, botnetak, eta spywareak, besteak beste.

Malwarearen bidez, erasotzaileek datuak lapurtu, transakzioak kontrolatu edo sare pribatuak erasotzeko aukera dute. Honek erabiltzaileen pribatutasuna, finantzak eta gailuaren erabilgarritasuna arriskuan jartzen ditu. Android eta iOS gailuak biak dira kalteberak, baina bakoitzak ahultasun bereziak ditu: adibidez, iPhoneetan kartzelatzeak babes-geruzak desaktiba ditzake, eta Android-en troiar-drops eta banku-troiarrek eragin handia dute.

Erasotzaileen helburu nagusiak datuak, identitatea eta gailuen erabilgarritasuna dira. Smartphoneek informazio sentikorra gordetzen dute, hala nola kreditu-txartelen datuak, egiaztapen-kredentzialak eta jarduera-erregistroak, zibergaizkileak erakarriz. Erasotzaileek nortasun lapurtuak erabil ditzakete ustiatzeko edo lapurtutako datuak saltzeko.

Mehatxu nagusiak honako hauek dira:

1. Botnets: Gailuak urrutitik kontrolatzeko sareak sortzen dituzte.
2. Aplikazio maltzurrak: Informazioa lapurtzen eta beste malware instalatzen dute.
3. Spyware: GPS bidezko jarraipena eta komunikazioen esku-hartzea ahalbidetzen dute.
4. Sare sozialetako estekak: Esteka faltsuen bidez malware zabaltzen da.

Segurtasuna hobetzeko, gailuetan VPN erabiltzea, autentifikazio metodo sendoak aplikatzea, eta aplikazioen funtzionaltasunak mugatzea gomendatzen da. Malwarearen detekzioaren aurkako teknikei aurre egiteko segurtasun-protokoloak etengabe eguneratu behar dira. Erabiltzaileek arduraz jokatu behar dute, seguruak ez diren sareak saihestuz eta hirugarrenen aplikazioak instalatzea mugatuz.

Gailu mugikorrek gero eta mehatxu sofistikatu gehiagori egin behar diete aurre, datuen, identitatearen eta eskuragarritasunaren aurka. Erabiltzaileek, enpresek eta erakundeek zibersegurtasuneko estrategiak indartu behar dituzte, datuen lapurreta, pribatutasun-urraketak eta eraginkortasun-galerak saihesteko. Mehatxu eta defentsa sendoen kontzientzia funtsezkoa da mundu konektatu batean telefono adimendunen erabilera segurua bermatzeko.

Gailu mugikor bat erasotzaile batek infektatzen duenean, erasotzaileak hainbat gauza saia ditzake:

• Erasotzaileak telefono adimenduna zonbi bat balitz bezala manipulatu dezake: makina bat, zeinarekin erasotzaileak SMS edo posta elektroniko bidez eskatu gabeko mezuak (spam) bidaltzeko erabiliko diren komandoak komunikatu eta bidali ahal izango dituen.
• Erasotzaileak telefono adimenduna behartu dezake deiak egitera. Adibidez, APIa erabil daiteke (smartphonean ez dauden oinarrizko funtzioak dituen liburutegia), Microsoften PhoneMakeCall, edozein iturritako telefono zenbakiak biltzen dituena (orri horiak, adibidez) eta gero deitzen diena. Erasotzaileak metodo hau erabil dezake ordaindutako zerbitzuetara deitzeko, eta horrek smartphonearen jabeari kobratuko dio. Modu arriskutsuan, telefono adimendunak larrialdi zerbitzuak eten ditzake.
• Smartphone konprometitu batek erabiltzailearen eta besteen arteko elkarrizketak grabatu eta hirugarren bati bidal diezazkioke. Horrek erabiltzaileen pribatutasuna eta segurtasun industrialeko arazoak eragin ditzake.
• Erasotzaile batek erabiltzaile baten nortasuna ere lapurtu dezake, haren nortasuna usurpatu (erabiltzailearen SIM txartelaren kopiarekin edo telefonoaren beraren kopiarekin), eta horrela jabea ordezkatu. Horrek segurtasun-arazoak sortzen ditu smartphoneak eskaerak egiteko, banku-kontuak ikusteko edo nortasun-agiri gisa erabiltzeko erabil daitezkeen herrialdeetan.
• Erasotzaileak smartphonearen erabilgarritasuna murriztu dezake bateria jaurtiz. Adibidez, aplikazio bat jar dezakete telefono adimendunen prozesadorean etengabe funtzionatuko duena, energia asko behar duena eta bateria husten duena. Frank Stajanok eta Ross Andersonek lehenengo aldiz deskribatu zuten eraso mota hau, "bateriaren akidura" edo "lo-gabeziaren tortura" deituz.
• Erasotzaileak telefono adimenduna erabilezin bihur dezake. Eraso honek abiarazte-gidoiak ezaba ditzake, eta, ondorioz, telefono bat sistema eragile funtzionamendurik gabe gera daiteke; zenbait fitxategi alda ditzake, erabilezin bihurtzeko, adibidez, abiaraztean abiarazten den gidoi bat, smartphonea berrabiaraztera behartzen duena; edo bateria hustuko duen abiarazte-aplikazio bat txerta dezake.
• Erasotzaileak erabiltzailearen datuak ezaba ditzake, bai pertsonalak (argazkiak, musika, bideoak), bai profesionalak (kontaktuak, egutegiak, oharrak).

Eraso batzuk Mezu Laburren Zerbitzuaren (SMS) eta Multimedia Mezularitza Zerbitzuaren (MMS) kudeaketan izandako akatsen ondorio dira.

Telefono mugikor batzuk borrokan ari dira SMS bitarrak erabiltzearekin, eta aukera ematen dute gaizki eratutako mezuek zerbitzu (DoS) berrabiarazte edo denial-erasoak eragiteko. Adibidez, txinatar karaktere bat duen testu bat jasotzen duen Siemens S55 batek DoS bat eragin lezake, eta Nokia telefono batzuek ez zituzten posta elektronikoko helbideak 32 karakterera mugatu, posta elektronikoko gidariaren talkak eraginez, "isiltasunaren madarikazioa" izeneko akats bat. Ikerketek SMSak erakusten dituzte Internetetik. Gainera, zerbitzu ukapenaren eraso banatuak (DDoS) egin ditzakete hiriko telekomunikazio-sareetan, entrega-atzerapenak aprobetxatuz.

Beste eraso batek birusaz kutsatutako MMS bat dakar. Irekiz gero, birusak telefonoa kutsatzen du eta kutsatutako MMS mezuak bidaltzen ditu kontaktu guztietara. Commwarrior ^[3]birusak horren adibidea ematen du. Etengabe erreplikatzen du helbide-liburuen bidez, hartzaileek kutsatutako artxiboa instalatzen duten bitartean.

Erasotzaileak saia daitezke GSM sarearen zifrazioa apurtzen, A5 algoritmoetan oinarritzen dena. Hasieran, A5/1 nahiko indartsua zen, eta A5/2, berriz, nahita ahulduta zegoen kriptoanalisi errazagoa egiteko. Eskualde batzuk A5/2 erabiltzera behartu zituzten, baina gerora frogatu zen ez zela segurua — A5/2 berehala pitzatu zitekeen, eta A5/1 sei bat ordutan. 2007an A5/2 deialditik kendu eta telefono berrietan debekatu zuten.

Ordutik, A5/3 eta A5/4 (KASUMI/UEA1) algoritmo indartsuagoak hartu dira. Hala ere, sareak oraindik A5/0ra jaitsi daitezke (zifratu gabe), zifratu gabeko irrati-trafikoa ahalbidetuz. Ahultasun honek IMSI bilatzaileak izeneko base faltsuen geltokien bidez entzuketak egitea ahalbidetzen du.

Terminal mugikorrek aldi baterako identitate zifratuak (TMSI) erabiltzen dituzte segurtasunerako, baina behin GSM zifratzea hautsita, erasotzaileek zifratu gabeko komunikazio guztiak atzeman ditzakete.

Erasotzaileek Wi-Fi komunikazioak entzun ditzakete informazioa lapurtzeko, adibidez, usernames eta pasahitzak. Telefono adimendunak bereziki ahulak dira, Wi-Fi izaten baita Interneterako sarbide nagusia. Lehen haririk gabeko sareek WEP teklak erabiltzen zituzten, baina hauek zifratze ahul eta estatikoa zuten, eta, ondorioz, erraz krak zitezkeen. Sare modernoek WPA eta WPA2 erabiltzen dituzte. Hala ere, gailu mugikorretan aurrez partekatutako tekla labur edo zenbakidunek eraso bortitzak jasan ditzakete.

Aireportuak eta kafetegiak bezalako espazio publikoetan wifia doan izatea ohikoa da, baina arriskuak dakartza. Hackerrek segurtasunik gabeko sareak ustiatu ditzakete gizakien arteko erasoak egiteko, malwareak banatzeko edo datuak atzemateko, usnatzeko tresnak erabiliz. Zifratu gabeko datuek eta gako ahulek gailuak eta sareak zaurgarri uzten dituzte. Erasotzaileek Wi-Fi puntu faltsuak ere sor ditzakete, telefono adimendunak engainatuz informazio sentikorra konektatzeko eta ezagutarazteko.

Malwareren batek, Lasco zizareak kasu, artxiboko ahultasunak aprobetxatzen ditu konfiantzazko iturriak imitatuz. Jaitsi ondoren, telefono adimenduna kutsatzen du, beste gailu eta sare batzuetara hedatuz.

Bluetoothekin lotutako segurtasun arazoak aztertu dira gailu mugikorretan, eta arazo ugari erakutsi dituzte telefono ezberdinetan. Ahultasuna aprobetxatzeko erraza da erregistratu gabeko zerbitzuek ez dutela autentifikaziorik behar, eta aplikazio zaurgarriek serieko portu birtual bat dute telefonoa kontrolatzeko. Erasotzaile batek portura konektatzea besterik ez du behar gailuaren kontrol osoa hartzeko.^[4]

Beste adibide batean, erasotzaile batek fitxategi bat bidaltzen du Bluetooth bidez Bluetooth duen telefono batera. Hartzaileak onartzen badu, birus bat transmititzen da. Horren adibide da Cabir izeneko zizare bat. Harrak Bluetooth duten hurbileko telefonoak bilatzen ditu modu aurkigarrian eta bere burua bidaltzen du jomugako gailura. Erabiltzaileak sartu den fitxategia onartu eta programa instalatu behar du. Horren ondoren, zizareak makina infektatzen du.

Web nabigatzaile mugikorrak tresna sinpleak izatetik plataforma funtzional eta konplexu bihurtu dira, baina horrek segurtasun-arrisku berriak ere ekarri ditu. Nabigatzaileen ahultasunen adibide nagusiak honako hauek dira:

• iPhone (Firmware 1.1.1): LibTIFF liburutegiaren pilan oinarritutako bufferraren gainezkatze bat ustiatuz, erasotzaileek gailua "kartzelatzeko" aukera izan zuten, segurtasun neurriak saihestuz.

• Android (2008): Bere nabigatzailearen ahultasun bat identifikatu zen, liburutegi zaharkitu batek eragindakoa. Hala ere, ondorioak leundu egin ziren Androiden sandboxingarekin, eta horrek nabigatzailearen prozesura mugatu zuen.

Horrelako esplotazioez gain, nabigatzaile mugikorrek ohiko web mehatxuak jasan ditzakete, hala nola phishing erasoak, webgune maltzurrak eta malwarea, itxuraz zilegi diren edukietan txertatua. Mahai gaineko sistemek ez bezala, telefono adimendunek ez dute birusen aurkako soluzio sendorik, eta horrek arrisku gehiago jartzen ditu erabiltzaileengan. Eguneratze erregularrak, pasahitz seguruak eta nabigazio ohitura zuhurrak gomendatzen dira segurtasuna areagotzeko.

Sistema eragileak erasotzaileen ohiko beste helburu bat dira, firmwarea manipulatu, segurtasun-protokoloak saihestu edo ziurtagirietan oinarritutako egiaztatze-sistemak ustiatu ditzaketenak baimenik gabeko sarbidea lortzeko. OS ahultasunen adibide nagusiak honako hauek dira:

• Symbian (2008): Erasotzaileek firmwarea manipulatu zuten konfigurazio zentraleko fitxategi irakurgarriak ustiatuz, itxuraz baliozkoak baina maltzurrak ziren ziurtagiriak konfiantzazko direktorioetan sartzeko.
• Windows: Ahultasunek aukera eman zieten erasotzaileei konfigurazio-fitxategien punta-puntako arduradunak fitxategi editagarrietara birbideratzeko, sistemaren osotasuna arriskuan jarriz.
• Android: erabiliena denez, zibererasoen helburu nagusia da. Adibidez, 2016an, zibersegurtasun enpresa batek salatu zuen 18 milioi eraso inguru blokeatu zituela androideetan oinarrituta.

Smartphone plataforma batzuk SE artxiboak babesten saiatzen dira irakurketa-memorian (ROM), teorian malware aldaketa saihestuz. Hala ere, erasotzaileek metodoak asmatu dituzte babes horiek saihesteko, hala nola izen bereko fitxategiak gainidaztea edo ziurtagiri ahulak baliozkotzeko mekanismoak ustiatzea.

Juice jacking plataforma mugikorren berezko ahultasun fisiko edo hardware bat da. USB karga-portuaren helburu bikoitza erabiliz, gailu askok gailu mugikor batetik datuak kanporatzeko aukera izan dute, edo malwarea instalatzeko, leku publikoetan edo karga-egokigailu normaletan kokatutako kargatzeko kiosko maltzurrak erabiliz.

Jailbreak ere sarbide fisikoko ahultasun bat da, non gailu mugikorraren erabiltzaile batek hura desblokeatzeko gailua hackeatzen duen, sistema eragilearen ahuleziak aprobetxatuz. Gailu mugikorren erabiltzaileek beren gailuaren kontrola hartzen dute, jailbreaking bitartez, interfazea pertsonalizatzeko aukera emanez aplikazioak instalatuz, gailuetan baimenduta ez dauden sistemen konfigurazioa aldatuz, OS prozesuak biratuz eta ziurtagiririk gabeko programak exekutatuz. Irekitze horrek datu pribatuak arriskuan jar ditzaketen hainbat eraso maltzurren aurrean jartzen du gailua.^[5]

2010ean, Pennsylvaniako Unibertsitateko ikertzaileek gailu baten pasahitza krakeatzeko aukera ikertu zuten, smudge eraso baten bidez (erabiltzaileak pantailan egindako mugimenduak ikusi pasahitza lortzeko). Ikertzaileek gailuaren pasahitza % 68ra arte antzeman ahal izan zuten baldintza jakin batzuetan.^[6] Kanpotarrek sorbaldatik gorako zaintza egin diezaiekete biktimei, hala nola, teklatu-kolpe zehatzak edo ereduzko keinuak behatzea, gailuaren pasahitza desblokeatzeko.

Segurtasun mugikorra kategoria desberdinetan banatzen da, metodo guztiek ez baitute maila berean jokatzen eta mehatxu ezberdinak saihesteko diseinatuta baitaude. Metodo horiek sistema eragileak segurtasuna kudeatzetik (sistema ustelkeriatik babestea aplikazio baten bidez) erabiltzailearen portaera-hezkuntzara (software susmagarri bat instalatzea eragoztea) doaz.

Sistema eragilearen segurtasunaren gainetik, segurtasun-softwarearen geruza bat dago. Geruza hau osagai indibidualez osatuta dago, hainbat ahultasun indartzeko: malwarea saihestea, intrusioak, erabiltzaile bat gizaki gisa identifikatzea eta erabiltzailearen autentifikazioa. Software-osagaiak ditu, segurtasun informatikoarekin izan duten esperientziatik ikasi dutenak. Hala ere, smartphoneetan software horrek muga gehiago izan behar ditu.

Antibirus bat zabaldu daiteke gailu batean mehatxu ezagun batek kutsatzen ez duela egiaztatzeko, normalean sinadurak detektatzeko softwarearen bidez, zeinak fitxategi maltzur exekutagarriak detektatzen dituen. Antibirus mugikor batek fitxategiak eskaneatuko lituzke eta malware kode mugikorreko sinaduren datu-base batekin alderatuko lituzke.^[7]

Suhesi batek, ordea, sareko trafikoa zaindu dezake eta ziurtatu aplikazio maltzur batek ez duela haren bidez komunikatu nahi. Era berean, egiaztatu ahal izango du instalatutako aplikazio batek ez duela komunikazio susmagarririk ezarri nahi, eta horrek intrusismo-saiakera eragotziko du.

Erabiltzaileari edozein ekintza anormalen berri emateko, hala nola hasi ez zuten dei bat, funtzio batzuk lotu daitezke saihestu ezin den ikusizko jakinarazpen batekin. Adibidez, dei bat aktibatzen denean, deituriko zenbakia beti agertu behar da. Horrela, dei bat aplikazio maltzur batek eragiten badu, erabiltzaileak ikusi ahal izango du, eta neurri egokiak hartu ahal izango ditu.

Garrantzitsua da ekintza batzuk erabiltzailearen erabakiz berrestea. Turing testa erabiltzaile birtual baten eta gizaki baten artean bereizteko erabiltzen da, askotan CAPTCHA moduan.

Beste metodo bat biometria da, pertsona bat bere morfologiaren bidez (adibidez, aurpegia edo begia ezagutuz) edo bere portaeraren bidez (adibidez, bere sinadura edo idazteko modua) identifikatzeko teknika. Segurtasun biometrikoa erabiltzearen abantaila bat da erabiltzaileek pasahitz bat edo beste konbinazio sekretu bat gogoratu behar ez izatea autentifikatzeko eta erabiltzaile maltzurrak beren gailuetara sartzea eragozteko. Segurtasun biometriko handiko sistema batean, lehen erabiltzailea bakarrik sar daiteke smartphonera.

Erabiltzaileek paper garrantzitsua dute gailu mugikorren segurtasuna bermatzeko. Segurtasun-neurri egokiak hartzeak, bai ohitura onen bidez, bai aplikazioak eta baimenak arduraz kudeatuz, mehatxu potentzial asko saihestu ditzake. Hau bereziki garrantzitsua da erabiltzailea enpresa batean lan egiten duen eta gailuan datu korporatiboak gordetzen dituen kasuetan.

Edozein arduragabekeria erabiltzailearen aldetik aukera bihur daiteke erasotzaileentzat. Ikasketek erakutsi dute erabiltzaile askok segurtasun-mezuak eta aplikazioen baimen-eskaerak ez dituztela behar bezala kontuan hartzen, eta hori erasoen bidea izan daiteke. Hala ere, zenbait jokabide eta ohitura zuzenek mehatxuak gutxitzeko lagun dezakete:

Erabiltzaileek ez lukete edozein eduki edo eskaeratan sinetsi behar. Informazio okerra, phishing estekak edo aplikazio maltzurrak saihesteko, gomendagarria da aplikazio bat instalatu aurretik haren ospea, berrikuspenak eta garatzaileen sinesgarritasuna egiaztatzea. Aplikazioen deskargak baimen logikoak eta koherenteak behar ditu; aplikazio batek ez baditu beharrezkoak diren baimenak eskatzen edo baimen gehiegizkoak eskatzen baditu, hori seinale txarra izan daiteke.

Aplikazioek baimen desberdinak behar izaten dituzte sistema eragileen arabera. Baimenak gehiegi zabaltzeak arriskuak sor ditzake. Adibidez, oharrak hartzeko aplikazio batek ez luke geolokalizazioa behar bere funtzionaltasuna betetzeko. Erabiltzaileak baimen eskaerak arretaz berrikusi behar ditu, eta ez onartu behar erabilera-inkoherenteak dituztenak.

Telefono adimendunak babes sinpleekin hobetu daitezke:

• Gailua blokeatzea erabiltzen ez denean.
• Zifratzea aktibatzea datu sentikorrak babesteko.
• Gailua arreta gabe ez uztea edo eduki sentikorrak bertan biltegiratu gabe erabiltzea.
• Pasahitz seguruak erabiltzea eta aldian-aldian aldatzea.

Erabiltzaileek gailuko hardware osagarrien sarbidea mugatu behar dute, hala nola kamera, Bluetooth, GPS edo USB ataka. Gailu periferiko horiek desgaituta mantentzea arriskuak gutxitzen ditu.

Android sistema eragile modernoek zifratze lehenetsia dute, baina erabiltzaileek berretsi beharko lukete aktibo dagoela. Zifratze honek hackerrek edo beste erasotzaileek gailutik datuak ateratzea zailtzen du.

Smartphoneek datu sentikorrak gordetzeko gaitasun handia dute. Erabiltzaileek arreta berezia jarri behar diote datu garrantzitsuen babeskopiei eta ezabapenari. Gailu bat birziklatzean edo saltzean, datu guztiak garbitu eta ezabatu behar dira erabat.

Erabiltzaileek segurtasunari buruzko informazioa berritu behar dute, aplikazio egiaztatuak soilik instalatu, eta sare fidagarriak lehenetsi. Sare publikoetara konektatzean, VPNak erabiltzea segurtasun gehigarria eskain dezake.