Apple y Google endurecen sus smartphones contra hackers y gobiernos

A medida que se conocen las técnicas utilizadas por los delincuentes y la aplicación de la ley, los dos principales fabricantes de teléfonos inteligentes se están adaptando para proteger los datos de los usuarios.

Google y Apple realizan regularmente cambios en Android e iOS para mejorar la integridad del hardware que ejecuta esos sistemas operativos, por lo que es menos probable que una parte no autorizada tenga acceso a los datos almacenados en ellos. Dos cambios, uno en versión beta y otro en un dispositivo de envío, suben la apuesta para los delincuentes, las empresas y los gobiernos que han encontrado formas o pueden forzar formas de eludir las protecciones.

Google deja de confiar en sí mismo

Apple y Google usan componentes seguros dentro de sus dispositivos para almacenar datos críticos de una manera que impide la extracción y evita la manipulación física. Para Apple, eso es todos los dispositivos iOS modernos; para Google, actualmente solo son sus modelos Pixel 2, aunque Android P permitirá que otros fabricantes de dispositivos lo incorporen. El módulo seguro almacena elementos como los números de tarjetas de crédito para el pago y las características derivadas de las huellas digitales que se usan para validar el acceso a un dispositivo. Apple llama a su módulo Secure Enclave, mientras que Google no tiene un término en mayúscula para él.

Con Pixel 2, Google recientemente agregó una medida para proteger a los usuarios contra una amenaza significativa y potencial que podría llevar al robo de datos criptográficos críticos que Google mantiene bajo una seguridad extremadamente estricta. Google, al igual que Apple y otros fabricantes de sistema operativo y hardware, tiene claves de firma criptográfica que utiliza para proporcionar una capa de validación en torno a las actualizaciones de software y firmware para sus dispositivos. No hay una manera efectiva de falsificar una firma válida sin la posesión de esas llaves. Pero si alguien obtuviera las claves, una entidad no autorizada podría crear software y firmware que un dispositivo aceptaría como válido. 

Google expresó la preocupación en una publicación de blog que describe su nueva mitigación al señalar que los pocos empleados que tienen la capacidad de acceder a las claves podrían estar "expuestos a los ataques de coacción o ingeniería social". La publicación no menciona la participación del gobierno.

No más área "gris" con bloqueo de puerto USB

Del lado de Apple, la empresa ha eliminado una característica que impediría el uso de dispositivos de craqueo de teléfonos basados en USB, como el GrayKey. 

La placa base informa que a partir de las betas iOS 11.3, Apple incluyó una opción en las configuraciones Touch ID / Face ID y Passcode denominadas Modo Restringido por USB. La opción, cuando está habilitada, requiere desbloquear un teléfono cuando está conectado a un periférico USB a través del puerto Lightning después de un largo retraso. La placa base advierte que esta demora fue de una semana en versiones anteriores, y se ha reducido a una hora en la última. La característica aún no ha encontrado su camino en 11.3 u 11.4, pero está presente en la beta 11.4.1 y en la versión beta de iOS 12, donde está activada por defecto.

Will Strafach, CEO de Sudo Security Group, y que alguna vez desarrolló jailbreaks para iPhone, cree que este cambio "tiene sus méritos". Señala que este tipo de restricción de datos mitiga una serie de amenazas, incluidas aquellas que podrían tener como objetivo a desarrolladores que han habilitado servicios adicionales. "Un servicio del sistema vulnerable no sería accesible para ningún adversario con acceso físico al dispositivo", dice Strafach.

Proteger a la mayoría de los usuarios con medidas de integridad

Es plausible que Google y Apple se presten unos a otros, como lo hacen con tantas características, y agreguen estas opciones a sus propios sistemas operativos a lo largo del tiempo. La búsqueda de Google de un módulo de seguridad de hardware parece vencida, pero el ecosistema de Android no permite que la compañía exija mucho entre sus socios.

Mientras que el exploit USB para iOS solo se informa en manos de una empresa que vende acceso por lo que considera legítimos propósitos gubernamentales, su mera existencia significa que los delincuentes pueden desarrollar el mismo hardware. Del mismo modo, el parche de Google para las actualizaciones de firmware firmadas tiene una mayor implicación para miles de millones de personas a las que ningún gobierno apuntaría jamás y que no están involucradas en empresas delictivas.

Estas medidas pueden parecer diseñadas para frustrar a los gobiernos, ya sea por parte de agentes que actúan con una causa legítima que se adhiere a una constitución nacional u otras reglas o no. Y las medidas ciertamente lo harán. Pero eso es claramente intencional, basado en las acciones y declaraciones previas de ambas compañías, e incidental. Con más de tres mil millones de dispositivos activos en todo el mundo en ambas plataformas, se deben reparar los agujeros de seguridad que puedan afectar a los usuarios en una escala masiva.