‘Kill Switch’: ¿la solución contra el robo de celulares?

Cualquier medida tecnológica contra el robo de celulares nace con un problema fundamental: si el incentivo es lo suficientemente bueno, alguien encontrará la manera de saltársela.

Ocurrió con los IMEI, con las protecciones anticopia del software y los discos, incluso con la seguridad de las cuentas bancarias y las tarjetas de crédito. Es posible que estas protecciones sirvan mientras los criminales descubren cómo romperlas. Pero cuando eso ocurre, no hay vuelta atrás.

Que se pueda ir a prisión por vulnerarlas tampoco parece disuadir a los ladrones. Cambiar un IMEI para evitar que un equipo sea detectado por la ‘lista negra’ es delito y da al menos seis años de cárcel, pero se sigue haciendo a la luz del día.

A pesar de esto, hay ideas serias para intentar atajar el robo de celulares. La solución ideal, al menos para los legisladores del estado de California –como reporta Tom’s Hardware–, es un bloqueo del celular que tiene tres características: al activarse, debe hacer que el dispositivo no pueda ser usado nuevamente; debe persistir aun cuando se haga un ‘hard reset’ o un reinicio total del equipo; y solo debe poder ser levantado por el usuario legítimo del dispositivo.

Tal bloqueo será obligatorio para los equipos que se vendan en ese estado desde junio de este año. Se espera que, en la práctica, esto haga que la mayoría de celulares que se vendan en el mundo tengan una herramienta que cumpla con esas condiciones: tiene poco sentido implementarlas solo en un mercado tan específico, y de hecho muchos fabricantes ya tienen sus propios ‘kill switches’.

Hay dos tipos de herramientas de este tipo: las basadas en software y las basadas en hardware. Son esfuerzos loables, pero ninguno de ellos está cerca de ser una solución definitiva.

El mensaje que no llega

Las soluciones de software se basan en dos premisas: ayudar a localizar el equipo e impedir el robo de información. La mayoría de las soluciones que preinstalan los fabricantes permiten ubicarlo en un mapa o bloquearlo remotamente desde un sitio web. Apple tiene algo así desde el sitio web de iCloud, igual que Sony con MyXperia y Samsung con una opción llamada Dive. De hecho, todos los equipos con Android 5.1 tendrán una opción parecida.

Estas opciones, sin embargo, parecen mejor pensadas para cuando el celular se pierde: un ladrón puede neutralizarlas fácilmente. Si se desconecta el equipo de la red celular y del Wi-Fi –sacándole la SIM, activando el ‘modo avión’ o poniéndolo dentro de una nevera– antes de que el usuario las active, los bloqueos no van a funcionar. Si el delincuente logra hacerle un reinicio completo en ese lapso, el equipo va a quedar desbloqueado y listo para que le cambien el IMEI.

Los usuarios pueden retrasar un poco este proceso poniéndole una clave de acceso, o usando opciones como la que ofrece Samsung, que pide que el usuario acceda a su cuenta del fabricante cada vez que se reinicia el equipo. Pero casi siempre es posible hacerle un ‘hard reset’ a un celular sin encenderlo –y eso que no estamos hablando de ‘hackeos’ u otros atajos informáticos, que quizás podrían permitir saltarse estas medidas–.

Basta poner el celular en ‘modo avión’. O en una nevera

Por eso, algunos se rinden a la hora de recuperar los equipos. “Más que hablar de proteger el dispositivo, debemos enfocarnos en la protección de la información y los datos que están guardados en ellos. Los equipos se pueden reemplazar, la información muchas veces no”, aseguró a ENTER.CO Sebastián Brenner, especialista en ciberseguridad de Symantec en Latinoamérica.

Las soluciones para móviles ofrecidas por empresas de seguridad no solo tienen las usuales opciones de ubicación y bloqueo remoto, sino también se enfocan en intentar evitar las fugas y las pérdidas de información. La de Symantec, por ejemplo, ofrece respaldo de los contactos y otros datos, y la de Kaspersky respalda la información del equipo y permite usarlo como ‘espía’, activando la cámara y el micrófono.

Como nos dijo Dmitry Bestuzhev, director del grupo de investigación y análisis de Kaspersky Latinoamérica, “si los criminales supieran que la mayoría de personas usan software de protección de datos y rastreo del equipo, perderían el ánimo”. Esa, al menos, es la esperanza –y el argumento de ventas– de estas firmas de seguridad.

Pero al final, el problema es el mismo. Muchas de esas opciones dependen de que el celular esté conectado a la red de datos. Además, concentrarse en proteger la información no ayuda a solucionar el problema principal: robar celulares es buen negocio.

Este celular no se autodestruirá

Quizás estas herramientas hagan que ‘rehabilitar’ un celular robado sea un poco más difícil. Pero parece claro que no se puede confiar en una solución basada solo en software: al final, con un cambio de chips el celular queda como nuevo. Como le dijo a Fortune Robert Siciliano, experto de seguridad de McAfee, “cualquiera que sea el ‘kill switch’ que se implemente, será ‘hackeable’ y convertido en algo inútil por cualquier persona malintencionada”.

Muchos fantasean con que un celular reportado como robado le explote en las manos al ladrón. Así, dicen, no solo pierde valor en el mercado negro, sino también se castiga físicamente a los criminales: de nuevo, justicia callejera.

¿Hay que explicar por qué es mala idea? Sería un inmenso problema de seguridad pública que todo el mundo tuviera una bomba en el bolsillo. Puede activarse por accidente, o por un tercero malintencionado para herir el dueño legítimo del equipo, o incluso usarse como un arma.

Pero, si dejamos de lado el factor venganza, la idea detrás de esto es la misma que está detrás de la ‘lista negra’: los celulares robados deberían quedar inservibles. Los problemas de las bases de datos sugieren que la solución es buscar una manera en la que el hardware se autodestruya si el equipo es robado.

¿Celulares bomba? No, gracias

El problema es que esto no se puede hacer sin romper una de las condiciones que exponíamos arriba. Una medida así supone que el usuario está dispuesto a perder su celular si se lo roban; impone una especie de ‘si no es para mí, no es para nadie’. En Colombia, la cosa quizás ya funcione así, pero en otros países la posibilidad de recuperar un equipo robado es más alta. En Estados Unidos, por ejemplo, se recuperan más de la mitad, según Consumer Reports.

Esa es la principal razón por la que, por ahora, los celulares no tendrán un botón de autodestrucción: esa opción no tiene sentido en los principales mercados, donde la gente puede recuperar su celular más fácilmente. Quedan, entonces, las soluciones intermedias, que combinan lo que funciona en los dos mundos.

Qualcomm, el principal fabricante de chips para celulares en el mundo está apostando por una de ellas: un ‘kill switch’ verificado por medio del hardware del teléfono. Ellos dicen que “eso hace que los potenciales ataques (tanto el bloqueo malicioso de equipos como el desbloqueo de equipos robados) sea menos posible”.

La herramienta, según Qualcomm, puede desactivar los chips del equipo hasta que llegue una orden de desbloqueo, y funciona incluso si se intentan cambiar componentes internos del celular robado. El problema es que la herramienta solo está en los contados equipos de gama alta que tienen el chipset Snapdragon 810; el más reciente, poderoso y costoso SoC de la compañía –y criticado por sus problemas de sobrecalentamiento, lo que habría hecho que Samsung no lo incluyera en el S6 y que otros fabricantes consideren otras opciones–. Pero si desbloquear un celular robado es difícil y costoso, hurtarlo ya no es tan buen negocio. Quizás ese sea el camino para una mejor solución.

O quizás no. Probablemente, debamos aprender a vivir con el problema. Como nos dijo Bestuzhev, “para acabar con el robo, los fabricantes deberían hacer que el costo del dispositivo sea el más bajo posible”. Y eso no va a pasar.

Imágenes: captura de pantalla y Aniwhite (vía Shutterstock).