Apple desvela detalles de la seguridad de iOS

“Nuestra actitud es que la seguridad es la arquitectura”, explicó Dallas De Atley, director de seguridad de plataformas Apple, durante su intervención en la última edición de Black Hat para hablar de la seguridad de iOS. “Es algo en lo que tienes que pensar desde el principio, no que simplemente lo eches sobre el código”. Así se manifestaba Apple en la primera vez que la compañía participaba en Black Hat, después de que en 2008 confirmara su asistencia y a última hora se cancelara. El objetivo de la charla de este año era subrayar la seguridad de iOS el complejo marco de encriptación basado en certificados que Apple ha desarrollado para sus productos.

En su descripción de cómo funciona el proceso de arranque seguro, De Atley destacó que el firmware de cada dispositivo iOS se firma digitalmente por Apple como parte del proceso de fabricación. La encriptación también permite a los usuarios aprovechar los “niveles” de encriptación en sus dispositivos, según De Atley, que añadió que solo presionando un botón de bloqueo, los usuarios se garantizan que sus mensajes de correo se encriptan en el dispositivo. Los archivos también pueden encriptarse automáticamente y no abrirse hasta que el usuario introduzca una clave de acceso.

Los niveles de encriptación incluyen “Protección completa”, donde se necesita un código de acceso para desencriptar; “Protegido hasta el primer desbloqueo”, que De Atley dijo que funciona como la encriptación full-disk de un equipo sobremesa; y por último “Sin protección” de mecanismos de encriptación.

El responsable de seguridad de plataformas de Apple explicó que la compañía había realizado esfuerzos adicionales, como “en revesar” el código de acceso con el identificador único del dispositivo para intentar disuadir a los atacantes de realizar ataques de “fuerza bruta”. Otra medida de seguridad es que el dispositivo se borra después de 10 intentos de acceso fallidos.

“La criptografía de todo esto es bastante complicada”, dijo De Atley sobre el diseño de iOS, que también incluye el concepto de un “repositorio de claves” que permanece en el dispositivo todo el tiempo para mantener las claves de las clases.

Apple incluye encriptación basada en el estándar Advanced Encription de 256-bit y el algoritmo Secure Hash en los procesadores. De Atley aseguró que ni Apple ni los fabricantes conocen el identificador único, una medida que garantiza al usuario la máxima protección. Apple mantiene una clave global como punto de control.

También, como ya se sabe, las aplicaciones de la App Store de Apple no se ejecutarán en los dispositivos iOS salvo que hayan sido firmadas por Apple. Los desarrolladores reciben de la compañía un certificado de clave pública para permitir que sus aplicaciones trabajen con iOS. Para crear aplicaciones empresariales, los desarrolladores pueden afiliarse al programa iOS Developer Enterprise. Cada uno recibirá un “Enterprise Provisioning profile” que se instala en los dispositivos que usan, y que expira anualmente, apuntó De Atley. El resultado final es que Apple controla firmemente lo que sucede en las aplicaciones que se ejecutan en sus dispositivos. 

De Atley dijo que la arquitectura iOS fomenta el concepto de un único grupo de controles de encriptación para cada dispositivo, un “derecho” que define una determinada forma de encriptación que decide qué aplicaciones tienen acceso a cada dispositivo, basado en una señalización de códigos dinámica. Todo esto supone que de una manera u otra se conoce qué software se ejecuta en los dispositivos.

Para borrar los datos, los dispositivos de Apple, en realidad, no los borran sino que los hacen imposibles de obtener porque se borra la clave de cifrado. Con el llamado “Almacenamiento borrable”, cuando el usuario activa la función de forma remota, las claves se borran con el almacenamiento.

Todo este proceso de cifrado puede generar demandas de rendimiento y batería del dispositivo, razón por la que Apple hace uso del estado en suspensión de las aplicaciones por defecto, hasta que el usuario pulsa cualquier otro botón, dijo De Atley.

Poca información

Con todo, y a pesar de la expectación que generó la charla de Apple en Black Hat, los expertos en seguridad que la atendieron se marcharon decepcionados de lo poco que aprendieron.

Y es que, en su opinión, lo que Dallas De Atley explicó fue poco más de lo que Apple había publicado en un whitepaper en mayo. Se decía que su ponencia cubriría temas desde las funciones de bajo nivel en el gestor de arranque y el kernel hasta los requisitos de señalización de código y permisos de las apps. Pero para algunos profesionales de la seguridad, la charla del experto de Apple fue algo así como un curso sobre cómo bloquear iOS.

“Esperaba más, pero fue un simple vistazo a lo que hace Apple para asegurar iOS”, explicó Kevin Mitnick, fundador de Mitnick Security Consulting, a CSO Online por email. Del mismo modo pensó Michael Price, arquitecto jefe de iOS del proveedor de seguridad móvil Appthority, quien señaló que la sesión dejó preguntas sin contestar sobre la seguridad en todas las plataformas de aplicaciones móviles de la compañía. “Esperamos que publiquen más documentación técnica, o que regresen el próximo año a Black Hat para discutir otras áreas relativas a la seguridad de sus productos”, sentenció.

Con todo, la participación de Apple en Black Hat fue todo un paso para mejorar las relaciones con la industria de la seguridad; un concepto en el que Apple tratará de mejorar a la luz de una de sus últimas operaciones: la compra de la firma de hardware y software de seguridad para móviles, PC y redes AuthenTec, por 352 millones de dólares.