Symantec ha informado recientemente de una vulnerabilidad en la protección mediante contraseña que incorporan los teléfonos Treo de Palm. Se trata de un mecanismo que revela la información almacenada en el terminal. Palm ha decidido que no merece la pena solucionar este problema en muchos teléfonos... pero un programador independiente ya ha publicado por su cuenta un pequeño parche que soluciona el problema.

por Xavier Caballé

El sistema operativo Palm OS utilizado por los Treo incluye una herramienta, el icono "Seguridad" de la categoría Sistema, que supuestamente protege la información almacenada en el teléfono, impidiendo que extraños puedan consultarla.

El funcionamiento de "Seguridad" es muy simple. Asignamos una contraseña de acceso al teléfono e indicamos cuando deseamos que se bloquee el acceso al mismo. Mientras se encuentre bloqueado, no se puede realizar ninguna función sin introducir previamente la contraseña correcta.

Ahora bien, la especificación GSM indica que un teléfono bloqueado debe tener la capacidad de realizar una llamada al servicio de emergencia. El Treo cumple a la perfección este requisito: en la pantalla de bloqueo aparece un botón que automáticamente al 112.

También mientras el teléfono está bloqueado con contraseña, debe permitir a su poseedor contestar una llamada. Nuevamente, el Treo incorpora esta funcionalidad. Si está protegido con contraseña y recibe una llamada podemos contestar o rechazar la llamada entrante.

En ambas situaciones, con el teléfono bloqueado todas las funciones son inaccesibles sin la introducción de la contraseña.

¿Qué es lo que ha descubierto Symantec? Pues que en los dos casos, mientras se llama al teléfono de emergencia o cuando se responde a una llamada entrante, a pesar que el Treo esté bloqueado existe una función que permanece operativa: la búsqueda. Pulsando la tecla Opción – Buscar (la tecla que tiene serigrafiada una lupa), se abre la pantalla de búsqueda y permite localizar información.

El impacto es el que si imagina. Si usted pierde su teléfono (o se lo roban), el nuevo poseedor puede consultar datos de su agenda y de sus contactos. No de una forma cómoda, ciertamente, pero dependiendo del tipo de datos que tenga almacenados puede que no se sienta muy cómodo conociendo este problema.

¿Y qué dice Palm al respecto? Inicialmente su respuesta fue: 'cierto, esto es un problema pero hoy por hoy no está previsto solucionarlo'. Posteriormente rectificó en parte e indicó que resolverán el problema, pero únicamente en las futuras revisiones de algunos modelos de Treo (concretamente el 680 y el 750p), pero en el resto de modelos no está previsto hoy por hoy publicar ninguna
actualización. Para eliminar este problema es preciso instalar un parche de la ROM y esto puede traer efectos secundarios no deseados en aplicaciones existentes.

Ciertamente no es la respuesta que uno espera si su Treo es el "obsoleto" (para Palm) modelo 600 ó 650, con una antigüedad que puede ser dos/tres años como mucho. Casi todos los que hemos comprado un Treo lo hemos hecho con la intención de utilizarlo durante unos cuantos años.

Ahora bien, también hay que matizar que este problema de seguridad puede considerarse como relativamente menor. No insignificante o que pueda ignorarse, pero tampoco como para tirar el Treo a la basura (después de borrar todos los datos de forma segura, por cierto).

Conociendo el problema, el usuario de un Treo debe actuar con responsabilidad y ser consciente que si pierde o le roban su teléfono, la información almacenada en el mismo no está del todo protegida.

Ante esta circunstancia, si tiene algún dato sensible cuya divulgación no autorizada puede tener consecuencias negativas, piénselo antes de guardarlo en su Treo. Si debe se ve en la necesidad de almacenarlo, ¡cifre los datos! Un buen programa para cifrar información es Keyring para Palm OS, fácil de utilizar y con un nivel de seguridad más que aceptable.

Para el resto de información que no pasa nada si se pierde, puede continuar utilizando tranquilamente el Treo.

Y, finalmente, si opina que la respuesta de Palm es inaceptable y que este problema debe ser solucionado, la comunidad de usuarios demuestra una vez más que es más eficiente que los fabricantes. Un programador independiente ha desarrollado por su cuenta un parche que desactiva la función de búsqueda mientras el Treo está bloqueado. ¡No era tan difícil!