El otro día se
supo que un especialista en seguridad de la información con el apodo xerub pudo obtener acceso a la protección Secure Enclave. El hacker ya ha publicado la clave de descifrado correspondiente, con la que otros expertos podrán estudiar en detalle las características de la protección criptográfica de los dispositivos Apple. "Cualquiera puede ver y meter en SEP", dijo xerub.
Apple aún no ha confirmado la autenticidad de la clave publicada por el hacker. Sin embargo, los representantes de la compañía ya han declarado que incluso si esto es así, los datos de los usuarios de los dispositivos de la compañía no estarán en riesgo.
Secure Enclave es una tecnología que forma parte del procesador de dispositivos equipados con un sensor Touch ID. El sensor en sí no almacena imágenes de huellas digitales. En cambio, conserva sus representaciones matemáticas.
Según representantes de Apple , a partir de una representación matemática es imposible obtener una imagen real de la huella digital. Pero para evitar la más mínima oportunidad de hacerle esto a un tercero, la compañía creó Secure Enclave. Todos los datos de huellas digitales están encriptados y protegidos con una clave que está disponible solo para Secure Enclave. Solo los utiliza este sistema para verificar que la huella digital coincida con los datos almacenados. Se separa (el sistema) del resto del procesador y del sistema operativo en sí. Por lo tanto, los datos que están en el repositorio no pueden ser utilizados por iOS ni por ningún otro programa almacenado en los servidores de Apple y copiados a iCloud u otros repositorios.
Otros expertos en seguridad
creen que obtener acceso a Secure Enclave todavía hace que los dispositivos de Apple sean vulnerables a los crackers, sin importar lo que Apple diga. "Espero que Apple trabaje para fortalecer la protección del usuario, ya que ya no es posible ocultar SEP", dijo xerub.
Desafortunadamente, no reveló los métodos utilizados para descifrar la clave de seguridad. Tampoco dijo nada sobre si se encontraron vulnerabilidades en el sistema SEP o no.
"En mi opinión, no hay nada terrible aquí", dijo Partick Wardle, jefe de seguridad cibernética de Synack y fundador de Objective-See. “Esto solo significa que los especialistas en seguridad de la información y sí, los hackers, ahora podrán analizar el firmware en busca de errores. Anteriormente, estaba cifrado, por lo que no se podía hacer nada. Pero ahora la protección es menos fuerte, por lo que los usuarios de terceros podrán analizar el software ".
La cuestión de si xerub puede usar la clave de descifrado de alguna manera para explotar las vulnerabilidades (si las hay) permanece abierta. Además, otra pregunta importante es si Apple puede resolver el problema y desarrollar una nueva clave de cifrado para Secure Enclave.
Hasta ahora, no había tanta información sobre esta tecnología. La compañía habló sobre ello, pero no reveló los detalles principales. El año pasado, un equipo de expertos en ciberseguridad hizo una presentación sobre esta protección. Los expertos han aprendido mucho, pero mucho ha quedado oculto. Ahora ya no hay ningún secreto. Queda por esperar la reacción de Apple y las acciones adicionales de la empresa y de especialistas de terceros, incluidos los crackers.
TouchID apareció por primera vez en el iPhone 5S y iPad Air 2. Usando una huella digital, los usuarios no solo pueden desbloquear sus teléfonos, sino que también confirman transacciones en varios programas, incluidos Apple Pay, Apple App Store, iBooks y otras aplicaciones.
Y un poco más sobre piratería
Los problemas de Apple no terminan ahí. Otro grupo de especialistas pudo encontrar una nueva forma de evitar la protección de los teléfonos con contraseña. Este método de pirateo fue mostrado por el autor del canal de Youtube EverythingApplePro.
El método se basa en enumerar las opciones para un código PIN, y funciona en modo de recuperación, donde no hay límite en el número de intentos de ingresar una contraseña. Tardará unas 20 horas en seleccionar un código de 4 caracteres. Esto no es tanto, teniendo en cuenta que antes era imposible adivinar la contraseña. En general, Apple tendrá que intentar resolver todos los problemas con la seguridad de sus dispositivos.