Falla en Samsung Secure Folder permite ver qué app y fotos tiene

AXCESS · Febrero 26, 2025, 03:42:10 AM

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta

Si tiene un dispositivo Samsung y quiere mantener ocultos algunos archivos, imágenes, vídeos o aplicaciones para otras personas, entonces le conviene utilizar la función Carpeta segura de Samsung. Esta función crea un nuevo perfil con su propio espacio de almacenamiento y bloqueo de pantalla, lo que mantiene privados sus archivos y aplicaciones confidenciales. O eso creíamos hasta que se descubrió una falla en la Carpeta segura de Samsung que permite que cualquiera vea qué aplicaciones y fotos tiene.

Exfiltración de fotos y vídeos de la Carpeta Segura

El usuario de Reddit lawyerz88 descubrió recientemente un método para acceder a las fotos y vídeos guardados en la Carpeta Segura. Normalmente, si inicia una aplicación que le pide que inserte una foto o un vídeo mediante el selector de fotos de Android, Android bloqueará el acceso a los elementos almacenados en la Carpeta Segura, incluso si está desbloqueada. Sin embargo, esto solo ocurre si intenta acceder a los elementos de la Carpeta Segura desde una aplicación "personal", es decir, una aplicación que se ejecuta en el perfil principal. Sin embargo, si intenta acceder a los elementos de la Carpeta Segura desde una aplicación "de trabajo", Android no bloquea el acceso.

Se pudo replicar esta falla en One UI 7 creando manualmente un perfil de trabajo mediante la aplicación Shelter. Las aplicaciones como Shelter pueden crear un perfil de trabajo en cualquier dispositivo, lo que significa que, siempre que alguien tenga acceso físico a su dispositivo Samsung, puede instalar la aplicación Shelter para ver qué fotos y vídeos están guardados en la Carpeta Segura. Si ya tiene un perfil de trabajo habilitado a través de su empleador, es posible que esta laguna no funcione si lo configuraron de manera que los archivos de trabajo no sean accesibles en absoluto. Sin embargo, no hemos podido verificar si ciertos perfiles de trabajo configurados por el empleador realmente impiden este acceso.

El lado positivo es que esta falla no se extiende al acceso general a todos los archivos almacenados en la Carpeta Segura. En nuestras pruebas, notamos que el selector de archivos del sistema Android bloquea el acceso a los archivos de la Carpeta Segura incluso si se accede al selector de archivos a través de una aplicación de "trabajo". Esto significa que solo las fotos y los videos corren el riesgo de ser accedidos fuera de la Carpeta Segura.

Una forma de garantizar que no se pueda acceder a las fotos y los vídeos fuera de la Carpeta segura es cifrarla. La Carpeta segura no está cifrada de forma predeterminada, pero puede cifrarla tocando el menú dentro de ella y seleccionando la opción "cifrar". Al hacerlo, se pausa la Carpeta Segura para que no se pueda acceder a sus archivos a través del selector de fotos.

Cómo determinar qué aplicaciones están instaladas en la Carpeta Segura

Android Authority también descubrió una falla independiente en la Carpeta segura, una que permite que cualquiera vea qué aplicaciones forman parte de ella. Para verla, ve a Configuración > Seguridad y privacidad > Más configuraciones de privacidad > Administrador de permisos. Luego, selecciona uno de los permisos en la lista. Es posible que encuentres aplicaciones de la Carpeta Segura en la lista.

Los permisos que se solicitan con más frecuencia, como la ubicación, tienden a incluir más aplicaciones de la Carpeta Segura. Esto sucede incluso cuando la Carpeta Segura está cifrada, lo que significa que no hay forma de evitar que las aplicaciones de la Carpeta Segura aparezcan en el administrador de permisos.

Cabe destacar que el permiso de notificación es uno de los pocos permisos que no filtra ninguna información sobre qué aplicaciones están en la Carpeta Segura. Esto se debe a que la página de permisos de notificación está gestionada por Samsung Settings en lugar de la aplicación Android Permission Controller. Esta distinción es importante porque se relaciona con la razón por la que existe esta falla en primer lugar.

¿Por qué las aplicaciones y las fotos de la Carpeta Segura de Samsung son visibles fuera de ella?

La causa de esta falla se remonta a cómo Samsung construyó la Carpeta Segura. El tipo de usuario al que pertenece la Carpeta Segura de Samsung es android.os.usertype.profile.MANAGED. Según el código fuente de Android, este es el tipo de usuario que "representa un perfil administrado, que es un perfil que debe ser administrado por un Controlador de Políticas de Dispositivos (DPC). El propósito previsto es para perfiles de trabajo, que son administrados por una entidad corporativa". En otras palabras, la Carpeta Segura utiliza el mismo tipo de usuario que un perfil de trabajo real.

Como resultado, las aplicaciones de selección de fotos y de controlador de permisos de Android tratan el perfil de Carpeta Segura como un perfil de trabajo, ya que, internamente, funciona como tal. El selector de fotos y el controlador de permisos son parte de los módulos de Project Mainline, lo que significa que están hechos por Google, no por Samsung. Por lo tanto, Samsung no tiene control sobre el comportamiento del selector de fotos y del controlador de permisos y, por lo tanto, no puede ocultarles las aplicaciones de Carpeta Segura. Sin embargo, la empresa sí tiene control sobre su propia aplicación de Configuración, por lo que la página de permisos de notificaciones en One UI (que es parte de la aplicación de Configuración de Samsung) oculta las aplicaciones de Carpeta Segura.

Vale la pena señalar que esta falla no existe con la versión de Carpeta Segura de Google, es decir, el Espacio privado de Android 15. Esto se debe a que Google creó un tipo de usuario completamente nuevo para el Espacio Privado, android.os.usertype.profile.PRIVATE, que es tratado de manera diferente por las aplicaciones de selección de fotos y de controlador de permisos. Android reconoce cuando el perfil privado está bloqueado y, posteriormente, lo oculta del selector de fotos, el controlador de permisos y otras superficies del sistema.

En teoría, Samsung podría solucionar este problema cambiando el tipo de usuario que utiliza la Carpeta Segura en segundo plano. Sin embargo, probablemente no sea tan sencillo y ni siquiera estoy seguro de que sea posible migrar el tipo de usuario sin restablecerlo.

Fuente:
AndroidAuthority
No tienes permitido ver enlaces. Registrate o Entra a tu cuenta

Falla en Samsung Secure Folder permite ver qué app y fotos tiene

AXCESS

Febrero 26, 2025, 03:42:10 AM Ultima modificación: Febrero 26, 2025, 03:45:26 AM por AXCESS