Sobre el cifrado a prueba de gobiernos de iOS 8

iOS 8

Una de las nuevas funcionalidades que ofrece la recién estrenada iOS 8 a los dispositivos iPhone e iPad de Apple es el cifrado mediante clave derivada a partir del PIN de los datos que contiene, incluidos los dispositivos antiguos que soporten la actualización a esta nueva versión del sistema operativo.

Dicho cifrado protegido por una clave derivada basada en el código PIN, descrito con detalle en la guía de seguridad iOS de Septiembre,  imposibilitaría a la propia Apple a descifrar el contenido de uno de estos dispositivos ante cualquier petición por parte de gobiernos, agencias y fuerzas de seguridad, y así lo han anunciado en su web hace unos días, Apple cannot bypass your passcode and therefore cannot access this data. So it’s not technically feasible for us to respond to government warrants for the extraction of this data from devices in their possession running iOS 8.

Dado que el proceso criptográfico está ligado a datos únicos que cada procesador lleva al salir de fábrica, el atacante/gobierno necesitaría probar las posibles combinaciones en el propio dispositivo.

Más allá del lavado de cara de Apple con esto, el cual ha forzado a Android a anunciar que el cifrado de dispositivo (disponible desde hace tiempo) vendrá activado de serie en su próxima versión, Apple se ha dejado alguna puerta abierta que posibilitaría a la maquinaria coercitiva del gobierno acceder a lo que creemos que está seguro en nuestro dispositivo.

En aras de la máxima facilidad de uso iOS 8 permite que iTunes y XCode (esto les sonará más a los desarrolladores de apps) se conecten y tengan acceso a los datos que hay en el dispositivo incluso cuando este desconecta la pantalla y se bloquea, sin necesidad de ningún PIN o password para tener acceso al contenido del iPhone/iPad.

Esto sucede al tener pareado el dispositivo con el iTunes o Xcode del ordenador porque iTunes/Xcode se quedan con una copia de las llaves de cifrado del dispositivo para permitir esta funcionalidad (es un poco más complejo lo que parece hacer iTunes, pero no intento que esto sea un artículo técnico) que no necesitan de código PIN o clave alguna para funcionar, tan cómoda como insegura.

Si un agente del gobierno nos requiere el dispositivo, la mejor opción es apagarlo, ya que hasta que no metemos el PIN por primera vez tras volverlo a encender, el sistema que permite a iTunes conectarse no está operativo y siempre podremos alegar que no recordamos el PIN de acceso, sin opción a que puedan ir a nuestro domicilio a conectarlo al ordenador con iTunes.

Nota: Esto solo ha sido una pequeña prueba de concepto sin utilizar herramientas forenses ni complicados métodos de ataque buscando vulnerabilidades, tan solo un iPad con iOS 8, un PIN para bloquearlo y un ordenador con la última versión de iTunes pareado con el dispositivo.

 

 

Pantallazos con capacidad probatoria ante amenazas en redes sociales

Cuando somos objeto de un ataque o amenaza en redes sociales como Twitter, foros o cualquier otro servicio basado en web, nuestra primera acción suele ser sacar un pantallazo que registre en un archivo de imagen el contenido en cuestión.

La validez probatoria de esta imagen se puede poner en entredicho si llegamos a denunciar y el denunciado ha borrado ese contenido, twit, imagen, etc.

Esto puede implicar el fin del proceso, pero disponemos de un medio para registrar ese twit, comentario, etc. Con validez probatoria y que no depende de que el contenido siga existiendo en la red cuando denunciemos, se llama eGarante.

eGarante actúa como testigo independiente generando un documento fechado y firmado digitalmente, lo cual garantiza que el contenido no ha sido manipulado, convirtiéndose este “pantallazo” en un documento probatorio regulado por el artículo 326 de la Ley de Enjuiciamiento Civil.

Además es un servicio gratuito cuando se usa sin fines comerciales, también pueden certificar facturas electrónicas y cualquier otro documento que enviemos por email, como contratos, acuerdos de confidencialidad, etc.

Su uso es bastante sencillo, tan solo debemos copiar la dirección web donde se encuentra el contenido amenazante y enviarla a un email que nos devolverá un archivo PDF con el contenido de la web, fechado y firmado digitalmente.

El caso que ha originado este post es un twit de un personaje que se dedica a defender TeleMadrid atacando a los empleados que sufrieron el ERE de esta cadena pública.

El primer paso para recabar la prueba con validez legal es obtener la dirección web del twit en cuestión.

20140402-015218.jpg

Si accedemos vía web a los twits, pincharemos en en enlace “Abrir” que se encuentra debajo del texto a la izquierda, se nos mostrará la fecha y hora del twit, así como otro enlace llamado “Detalles”, este nos llevará a otra página, en la barra del navegador tenemos la dirección que debemos enviar a eGarante.

20140402-015658.jpg

Si nos encontramos en el móvil o una tablet con la app de Twitter, podemos obtener esta dirección pulsando sobre el twit, el cual se abrirá.

En Android pulsaremos en el icono de compartir que se encuentra a la derecha debajo del twit

20140402-015938.jpg

Y seleccionaremos la opción “Copiar en el portapapeles”.

En iPhone/iPad seleccionaremos “Copiar enlace al twit”

20140402-020119.jpg

Con esto enviaremos un email a la dirección de email de eGarante [email protected], poniendo la dirección de la web en el Asunto

20140402-020400.jpg

Nota para usuarios de Android: “Copiar en el portapapeles” copia la dirección web del twit y el contenido del mismo, aseguraos de que sólo enviáis la dirección web en el Asunto y no todo el texto.

En unos minutos recibiréis un email de vuelta con el archivo PDF adjunto.

20140402-020809.jpg

Y listo, ya da igual si ese twit desaparece, hay una prueba de su existencia verificada por un tercero neutral y con las medidas tecnológicas necesarias para que se pueda considerar su valor probatorio ante un tribunal.

WiFi “gratis” 30€

20140331-015547.jpg

Y por menos, además te arreglan el ordenador y te instalan lo que quieras en él.

Este tipo de anuncios proliferan por las marquesinas de autobuses de ciudades, mucho cuidado con esto.

Primero, estamos dejando nuestro ordenador en manos de un desconocido del que no tenemos referencias. Teniendo acceso físico al ordenador se pueden hacer demasiadas maldades sin el conocimiento del usuario.

Dejar el ordenador a un desconocido que nos ofrece cometer un delito por 30€ no genera la confianza necesaria para permitirle el acceso a un sistema donde luego se accederá a cuentas de correo, bancarias, etc.

Un falso antivirus, un troyano que permita al técnico acceder posteriormente en remoto a la máquina sin que el usuario reciba ninguna alerta y… La receta del desastre servida.

Segundo, y no menos importante, las redes WiFi gratis no existen más allá de las que ofrecen bares, quioscos o autobuses urbanos, con su baja velocidad y limitaciones en ciertos servicios como el visionado de vídeos, etc.

Que un extraño venga a casa a instalarnos WiFi gratis implica un presunto delito de revelación de secretos, Artículo 197 del Código Penal, castigado con hasta 4 años de cárcel por conectarse a la red WiFi de un vecino. Recordad que desconocer las leyes no exime de su cumplimiento y estaréis siendo cómplices, cuando no instigadores, de esa revelación de secretos.

Y tercero, usando “gratis” la conexión WiFi de un vecino os exponéis no solo a una denuncia, sino a que tenga un amigo informático que le asesore y se aproveche de vuestros escasos conocimientos para liárosla parda.

No todos los que roban la WiFi a un vecino tienen la suerte de esta pareja de abogados (aquí la segunda parte de la historia)