¿Eres usuario de un iPhone o de un iPad? ¿cómo te sientes si te cuentan que tienen una puerta trasera por la que puede entrar alguien a espiar y copiar todos tus contenidos? Correos electrónicos, fotografías, mensajes de texto, citas del calendario… todo. Sin que haga falta ningún PIN ni clave para entrar, simplemente vía WiFi.
Pues esto lo han contado en la última conferencia de HOPE X (Hackers On Planet Earth) en Nueva York, la semana pasada. Jonathan Zdziarski, experto en seguridad del sistema operativo iOS de Apple, ha revelado la existencia de una puerta trasera en ese sistema operativo. En su exposición “Identificando puertas traseras, puntos de ataque y mecanismos de seguimiento en dispositivos iOS” demostró que existen funciones que pueden ser aprovechadas por cualquiera para extraer datos sin que tengan necesidad de un PIN o una clave.
Estos servicios del sistema operativo no están documentados para los desarrolladores. Tampoco se ha avisa de su existencia a los usuarios, que no pueden deshabilitarlos, con lo que quedan totalmente indefensos ante este tipo de ataques.
Las preguntas que hizo Zdziarski a Apple al terminar su ponencia fueron las siguientes:
¿Por qué hay un “sniffer” de paquetes de información que se ejecuta en 600 millones de dispositivos iOS?
¿Por qué hay servicios no documentados que pueden saltarse el cifrado de la copia de seguridad del usuario para hacer volcados masivos de datos desde el teléfono?
¿por qué la mayoría de mis datos queda sin cifrar ni con el PIN ni con clave, favoreciendo la invasión de mi privacidad?
¿por qué no hay un mecanismo para revisar los dispositivos con los que está emparejado mi iPhone, para que pueda borrar los que no me pertenecen?
Tres días más tarde de que Zdziarski lo revelara, Apple publicó y documentó tres de lo servicios, que según la compañía sirven para propósitos de diagnóstico. La empresa no ha respondido a las preguntas concretas. Tras esta publicación, Zdziarski sigue manteniendo que al menos uno de los servicios constituye una puerta trasera. Por mucho que Apple diga que sirven para “diagnóstico”, está claro que los datos que almacena el usuario poco o nada tienen que ver con ello, y que no hacen falta para realizar diagnósticos técnicos.
En este vídeo que el experto ha colgado en YouTube hace una demostración práctica de sus afirmaciones:
Algunos han querido ver en este incidente una clara evidencia de que Apple colabora con la NSA y con otros servicios de inteligencia. Zdziarski no cree que estos servicios sirvan para eso, pero sí que tiene claro que sirven para extraer más información de la que es necesaria para realizar diagnósticos sobre los dispositivos o los problemas que puedan tener.
La noticia, aquí en Reuters y aquí en Ars Technica.
