Como se proteger da vulnerabilidade de login do Android

Com exceção do punhado de aparelhos rodando o Android 2.3.4 em diante, todos os aparelhos com o Android oferecem uma vulnerabilidade grave referente ao token de login. Em resumo, para evitar que o login e senha precisem ser enviados a todo o instante, o Android utiliza um sistema onde o login/senha é transmitido apenas uma vez e um token digital é usado para simplificar o login daí em diante, com o mesmo token sendo reusado por até duas semanas. O grande problema é que o sistema pode ser sabotado caso o token seja capturado, com um intruso usando o token para acessar sua conta do Google e baixar os contatos e outras informações.

Ao usar uma rede Wi-Fi aberta, todos os dados são emitidos sem qualquer sistema de encriptação, o que torna a captura muito simples. Basta usar um PC ou mesmo um smartphone com um software de captura para snifar a rede e capturar os tokens de todos os aparelhos com o Android que se conectarem nelas. Esta vulnerabilidade é um risco especialmente nos EUA, onde grande parte de população acessa através das redes abertas de lojas e cafeterias como a Starbuks, o que explica todo o pânico em torno dela.

Com certeza, o Google deve estar para lançar um conjunto de atualizações para aparelhos populares em parceria com as operadoras, mas não me parece plausível que vão conseguir atualizar com sucesso todos os aparelhos já lançados, muitos deles presos no Android 1.6 ou anterior. Em outras palavras, este é um problema que ainda vai continuar assombrando os usuários por bastante tempo.

Por hora, a solução é deixar de utilizar redes Wi-Fi abertas, continuando a utilizar a rede 3G enquanto uma rede WPA ou WPA2 não está disponível. No WPA/WPA2 cada cliente negocia uma chave própria de encriptação no momento da conexão, o que protege a conexão, diferente de uma rede aberta onde todos saem gritando em público. Isso ilustra algo que os profissionais de segurança vêm pregando a tempos: Se você quer oferecer acesso público, é muito melhor ativar o WPA2 e colar uma placa com o SSID na parede do que usar uma rede aberta. Fazendo isso, todos poderão se conectar, mas a privacidade das conexões até o ponto de acesso é preservada.

Outra opção é usar um túnel encriptado até um VPS ou seu PC de casa com o SSH Tunel ou outro aplicativo similar. Nesse caso, o túnel fica responsável pela parte de encriptação. Para quem não quer nenhuma coisa nem outra, uma opção um pouco mais relaxada é simplesmente desativar a sincronização automática dos dados e desativar a transmissão de dados em segundo plano e usar as redes abertas apenas para navegação básica, sem utilizar nenhum aplicativo que se conecte à sua conta do Google.