Android 16 puede exponer su dirección IP
- Lectura
- 3 minutos
- Categoría
- Aplicaciones
Se ha identificado(nueva ventana) una vulnerabilidad crítica en Android 16 que permite a cualquier aplicación instalada evadir el túnel VPN del dispositivo, incluidas aquellas configuradas con los ajustes del interruptor de bloqueo integrado de Android. Esto significa que las aplicaciones podrían filtrar su dirección IP real a sus desarrolladores.
Este no es un problema de Proton VPN. Afecta a todas las aplicaciones VPN.
Debido a que el error se encuentra en el sistema operativo Android base, solo Google puede solucionarlo. Google está al tanto del problema, pero lamentablemente no considera que sea lo suficientemente crítico para un Boletín de seguridad de Android(nueva ventana) (corrección). Por el momento, han cerrado el problema (estado No se solucionará/Inviable), pero esperamos que su postura al respecto cambie.
Curiosamente, GrapheneOS(nueva ventana), la versión de Android blindada y sin Google que se puede instalar en dispositivos Pixel y futuros dispositivos Motorola, ya ha solucionado el problema de QUIC(nueva ventana). Esto demuestra que el problema, de hecho, se puede resolver y que la respuesta de Google es realmente inadecuada.
¿Cuál es el problema?
Cuando usted utiliza una VPN, todo su tráfico de internet debería pasar a través de un túnel cifrado. Android incluso tiene un ajuste de “interruptor de bloqueo” integrado que se supone que garantiza que nada pueda evadir este túnel.
El error se debe a la forma en que Android gestiona un tipo específico de conexión a internet llamado QUIC(nueva ventana), que utiliza un número cada vez mayor de aplicaciones y sitios web. Cuando una aplicación cierra una conexión QUIC, se supone que debe enviar un mensaje de cierre de sesión al servidor.
Pero en lugar de enviar este mensaje a través del túnel VPN, Android lo envía directamente a través de su conexión a internet habitual (es decir, fuera del túnel VPN), lo que expone su dirección IP real ante cualquiera que esté en el extremo receptor. Cualquier aplicación que utilice conexiones QUIC puede desencadenar esto, incluidas aplicaciones muy conocidas y completamente legítimas.
El riesgo práctico para su privacidad es que los desarrolladores de las aplicaciones pueden ver su dirección IP real en lugar de la dirección IP del servidor VPN.
¿Qué puede hacer al respecto?
La decisión de Google de no solucionar este problema ha provocado muchas críticas(nueva ventana). Por ahora, el problema se puede mitigar de las siguientes maneras:
1. Utilice ADB
Puede solucionar el problema utilizando la utilidad Android Debug Bridge(nueva ventana) (ADB). Esta solución persistirá tras los reinicios, pero es posible que se deshaga con las actualizaciones del sistema. Si esto sucede, tendrá que repetir los pasos.
Sin embargo, el mayor problema para la mayoría es que se trata de una tarea compleja, apta únicamente para personas con sólidos conocimientos técnicos.
Una vez que ADB esté listo y configurado, ejecute:
adb shell device_config put tethering close_quic_connection -1
adb reboot
2. Sea selectivo con sus aplicaciones instaladas
Debido a esta vulnerabilidad crítica, cualquier aplicación puede filtrar su dirección IP real a sus desarrolladores. Por lo tanto, debería intentar limitar las aplicaciones instaladas en su dispositivo a aquellas cuyos desarrolladores sean de su confianza para que no abusen de esta información.
Estamos monitoreando la situación
Google está al tanto del problema y esperamos que responda a la presión para solucionarlo. Actualizaremos este artículo cuando haya una solución disponible.