Open Mobile Terminal Platform (OMTP), una agrupación de compañías del mundo de la telefonía móvil entre las que se encuentran Vodafone, Orange, Telefónica entre otros, ha publicado un extenso documento con las recomendaciones de seguridad para los teléfonos móviles de los próximos años.
El objetivo de esta guía es que los fabricantes adopten soluciones de seguridad a nivel de "hardware" en los terminales, con el fin de crear una plataforma segura para servicios como la televisión o el pago mediante el móvil. En conjunto, las medidas tratan de asegurar la permanencia de la identidad del dispositivo y proteger los datos del usuario, imposibilitando su uso en casos de perdida o robo.
Entre las medidas destinadas a crear un entorno de aplicaciones de terceros más seguro, podemos encontrar:
Flexible Secure Boot, trata de asegurar la integridad del código que se ejecuta a la hora de arrancar el terminal. Se ha de permitir por ejemplo una actualización del firmware del teléfono y rechazar sin embargo cualquier intento de modificación o hackeo.
Generic Bootstrapping Architecture, es un método que utiliza la relación de seguridad SIM entre el terminal y la red de la operadora, para ser utilizado en aplicaciones o servicios IMS.
Runtime Integrity Checking, un mecanismo que comprueba periódicamente que el móvil está haciendo lo que se supone que debe hacer y la integridad de los datos más sensibles almacenados en el teléfono.
Secure Interaction of UICC, protege la comunicación de datos entre el terminal y la tarjeta SIM. Se evita que los datos sean alterados o modificados y es muy importante para aplicaciones como el pago de entradas o la protección de derechos DRM basada en SIM. Me temo que esta medida también supondrá el fin de la liberación de móviles mediante tarjetas añadidas a la SIM.
Secure User Input and Output, resguarda los métodos de entrada y salida de datos en el móvil. Lo que el usuario escribe o actúa con el teclado, la pantalla o cualquier otro método de entrada ha de estar protegido y ser valido. Igualmente, la información que el usuario visualiza en su terminal, por ejemplo la cantidad de una transacción económica, ha de ser la autentica y no la de una aplicación de estilo troyano o "phising".