Nuevas técnicas y máscaras en 3D rompen la seguridad de un aeropuerto pero no pueden con el Face ID

Muchos de los usuarios de iPhone y iPad utilizamos a diario Face ID como medio de autenticación. Este método de seguridad es posiblemente uno de los más seguro que existen, a pesar de haber sufrido algún que otro intento de romperlo. Pues ahora ha aparecido un reciente estudio que no hace mas que reforzar la confianza en Face ID. En la revista Fortune nos hablan de un test realizado por una empresa de IA que fue capaz de engañar no sólo la seguridad de aeropuertos, sino también de alguno métodos de pago pero que no ha podido con el Face ID de Apple.

En concreto, las aplicaciones de pago que han podido superar sus controles de seguridad utilizando estas máscaras han sido AliPay y WeChat. Para los aeropuertos ha sido incluso más fácil, ya que sólo fue suficiente utilizar una fotografía de la persona. La empresa encargada de dicha prueba se llama Kneron, y el procedimiento consistía en ir a diferentes lugares públicos (como por ejemplo algunas tiendas en Asia donde el reconocimiento facial está muy extendido) e intentar superar los controles de seguridad, tanto de pago como de identificación.

Figura 1. Ejemplo de máscara 3D utilizada en las pruebas. Fuente.

El que se haya podido superar la identificación de una persona para gestionar implica que es posible realizar compras y cualquier otro tipo de gestión importante (por ejemplo, alguna bancaria) utilizando sobre todo alguna de estas máscaras en 3D. Además, realizaron también unas pruebas en diferentes medios de transporte (como aeropuertos o un algunas estaciones de metro o tren en China) los cuales simplemente poniendo una foto delante de la cámara reconocían al usuario y les permitía pagar (en el caso de los trenes) o simplemente acceder (como en el caso de los aeropuertos). 

Eso sí, conseguir una de estas sofisticadas máscaras 3D no es sencillo ni barato. Aunque desde luego, una persona que intente superar algunos de estos controles, el coste de la misma no será su principal problema. En definitiva, esta empresa ha demostrado que se puede superar el reconocimiento facial en diversas ubicaciones críticas que permiten tanto hacerse pasar por otra persona como realizar gestiones como por ejemplo, comprar. Eso sí, ninguna de estas pruebas pudo superar el control de seguridad de Face ID, igual estos sitios que han sido comprometidos deberían de revisar sus sistemas de seguridad y emular a los de la manzana.

MacOS Catalina revela los primeros indicios de la incorporación de Face ID en los ordenadores Apple

Hace apenas unos días los investigadores de Applesfera descubrieron una interesante función en el código de MacOS Catalina que podría suponer el lanzamiento de ordenadores con tecnología Face ID. La función en cuestión es edgesignoringSafeArea() y es la misma que Apple ha utilizado durante los últimos años para ignorar los pixeles de la “zona segura” perteneciente al notch de las últimas generaciones de iPhone. Por el momento esto son solo indicios y el SDK analizado es el perteneciente a macOS 10.15. Hace ya unos meses, en abril, se hablaba de una patente de Apple para la detección de personas delante de la pantalla de los Mac con el fin de que ésta no se apagase mientras estuviésemos leyendo.

También se habló de la posibilidad de utilizar Face ID con ese propósito. A pesar de que la implementación de Face ID en los Mac parezca una brillante idea surge un pequeño conflicto, ¿qué técnica utilizaría Apple para activar el Face ID? En el caso de los equipos portátiles es posible que el sensor solo de active al levantar la pantalla o pulsando un botón determinado, pero la cosa podría complicarse para los equipos de sobremesa. Para que este sistema funcionase correctamente sería necesario que uno de los sensores de la cámara estuviese siempre activo y analizando todo lo que pasa por delante de él sabiendo que cada vez que una persona se acerque lo suficiente a la pantalla se activaría el reconocimiento facial, con este método se lograría ahorrar en autonomía y batería en los dispositivos portátiles.

Figura 1: Presentación del sensor Face ID con la llegada del iPhone X.

Por el momento se ha hablado de varios candidatos para albergar el famoso sensor de reconocimiento facial de Cupertino, pero uno de los mejores y más probables es el MacBook Pro de 16 pulgadas que según la marca será presentado a lo largo de este otoño. Independientemente del modelo con el que se lance esta tecnología lo más posible es que tarde o temprano llegue al resto de equipos, sobre todo si  recibe la misma aceptación del público que con la llegada del iPhone X. A pesar de que Apple sea partidario de utilizar su tecnología en la mayoría de sus productos cabe la posibilidad de que no se utilice en aquellos que no monten una pantalla fabricada por la empresa (como en los Mac mini o Mac Pro).

Una vulnerabilidad en la beta de iOS 13 permite acceder a los usuarios y contraseñas almacenadas en la App de Ajustes

iOS 13 sigue en fase beta por lo tanto es comprensible que existan algunos fallos en esta versión del sistema operativo, recientemente se ha descubierto una importante vulnerabilidad que facilita el acceso a los datos almacenados en la configuración relativos a los usuarios y contraseñas de aplicaciones y servicios web. Esto significa que esta versión beta bypassear la autenticación biométrica resulta bastante sencillo para acceder a los datos almacenados en el Keychain de iCloud (usuarios y contraseñas). La vulnerabilidad descubierta se dio a conocer a través de la red social Reddit.

Como ha detallado el usuario iDeviceHelp en su canal de YouTube, puedes acceder a todos los usuarios y contraseñas almacenados en los ajustes pulsando repetidamente el menú de “website y app passwords” saltándote así la autenticación con biometría. Tras unos cuantos intentos, iOS 13 te mostrará todas tus contraseñas y logins incluso aunque no llegases a autenticarte con Face o Touch ID. Según el blog 9to5mac se ha confirmado que esta vulnerabilidad se encuentra presente en la última versión de la beta de iOS 13 para desarrolladores. Apple ya ha sido informado de este incidente a través de la nueva app de feedback de iOS 13. El fallo también se ha encontrado en la beta de iPadOS 13.

Figura 1: Acceso a contraseñas del Keichain desde la App de Ajustes.

Por suerte para poder llevar a cabo este robo de contraseñas es necesario tener el dispositivo desbloqueado, algo que no es posible en caso de no conocer la contraseña o no habernos autenticado antes con Face iD o Touch ID. Al convertirte en Betatester aceptas un cierto nivel de riesgo y esta vulnerabilidad no puede ser mejor ejemplo del mismo, hay que recordar que al probar una nueva versión de un sistema operativo es normal encontrar fallos o brechas de seguridad, no se puede esperar que na beta sea completamente segura y estable, especialmente cuando solo lleva en proceso de prueba unas 6 semanas aproximadamente. La beta 3 de iOS 13 salió el día 2 de julio, lo que quiere decir que Apple pronto lanzara su beta 4, una actualización en la que podrían resolverse este y otros pequeños problemas del sistema operativo aun en desarrollo.

Apple permitirá acceder a iCloud.com utilizando Face ID y Touch ID

Con la llegada de iOS 13 Apple no solo está intentando innovar en sus nuevos sistemas operativos, sino que también está pensando en actualizar algunos aspectos de sus servicios y páginas web. Una de estas novedades es que Apple permitirá a sus usuarios acceder a sus cuentas de iCloud utilizando el Touch ID y Face ID de sus iPhones, iPads o Macs. Esta nueva alternativa de autenticación ya está disponible en una de las páginas de Apple, concretamente en beta.icloud.com para los dispositivos que ya corren iOS 13 o macOS Catalina (en sus versiones beta).

Si actualmente tu dispositivo está corriendo iOS 13, iPadOS 13 o macOS Catalina ya puedes utilizar Safari para acceder a la página mencionada anteriormente. Cuando accedas a ella tu dispositivo mostrará automáticamente un pop-up en el que te preguntará si quieres autenticarte con Face ID o Touch ID en función de cual sea tu dispositivo y de si cuenta con los sensores necesarios para hacerlo. Con este nuevo método Apple ha buscado mantener la seguridad de sus cuentas a la vez que se ahorra bastante tiempo al no tener que introducir nuestro usuario , contraseña y el código de un segundo factor de autenticación en caso de tener esta función activada.

Figura 1: Solicitud de Touch ID en beta.icloud.com

Touch ID está soportado en Mac, por lo tanto todos aquellos con un MacBook Pro con Touch Bar, MacBook Pro y MacBook Air podrán aprovecharse de esta novedad, al igual que cualquier iPhone o iPad que cuente con lector de huellas o el sensor de Face ID (siempre y cuando sea compatible y capaz de correr iOS 13). Esta nueva e interesante función pronto estará disponible para que los desarrolladores la puedan incorporarla en sus aplicaciones haciendo posible su implementación al igual que ya han hecho algunos servicios como Facebook, Google u otras aplicaciones e incluso a algunas páginas web. Sin duda una interesante apuesta por parte de Apple.

Apple planea fabricar un iPhone más barato, sin FaceID y con sensor de huellas dactilares para el mercado chino

FaceID es la apuesta de Apple a día de hoy utilizada para realizar la autenticación en sus iPhones e iPads de última generación. Además, parece que esto seguirá siendo así en los nuevos modelos que saldrán en breve al mercado. Pero la guerra comercial, ahora un poco más relajada, entre China y EEUU ha hecho bastante daño a las empresas norteamericanas ubicadas en dicho país asiático, Apple entre ellas. Y esto de forma indirecta ha afectado al FaceID y también a la seguridad de los dispositivos Apple.

Tanto el clásico TouchID como el FaceID son bastante seguros, aunque parece que según los números, FaceID ganaría en nivel de seguridad. Con TouchID existe 1 entre 50.000 posibilidades de que alguien utilizando otra huella pudiera desbloquear un iPhone. En cambio, con FaceID existe 1 entre 1.000.000 de posibilidades que alguien, utilizando otra cara aleatoria, fuera capaz de desbloquearlo. Eso sí, estos números se refieren a posibles "ataques" o "accesos no autorizados" aleatorios. Esto cambia cuando el ataque es dirigido hacia una persona específica, siendo más factible conseguir un acceso no autorizado al dispositivo.

Figura 1. Componentes del TouchID. Fuente.

Centrándonos en un hipotético acceso aleatorio debido a algún error de "match" (coincidencia), FaceID es más seguro como se ha comentado, pero también es más caro de fabricar. Algunas fuentes fiables procedentes de China están publicando que Apple está pensando en fabricar un iPhone sin FaceID debido justo a ese factor, el precio. Fabricar un TouchID es mucho más barato que los componentes (sobre todo la cámara, infrarrojos, etc) necesarios para FaceID.

Figura 2. Componentes del FaceID. Fuente.

Este modelo reducido de iPhone tiene como objetivo exclusivamente el mercado chino, utilizando TouchID como elemento de autenticación. Además, según estos mismos rumores, el detector de huellas se encontraría ubicado directamente en la pantalla, oculto tras ella (aunque esto también debe de ser bastante caro de fabricar). Este considerable esfuerzo en tiempo y dinero es rentable ya que el mercado chino es muy importante para Apple, donde además de tener allí la mayoría de sus fábricas, el cliente de ese país suele gastarse una media de 700€ en un smartphone y es necesario ajustarse a ese precio.

Figura 3. Concepto de la ubicación del lector de huellas en este posible nuevo iPhone. Fuente.

Será complicado que Apple sólo venda este dispositivo (si es que llega a fabricarlo algún día) en China, cuando seguro que tiene su mercado también en el resto del mundo. De todas formas no veremos este hipotético nuevo iPhone durante 2019, ya que los analistas coinciden que Apple se limitará a actualizar los modelos iPhoneXS, iPhoneXS Max y iPhone XR, todos con su FaceID y su correspondiente notch. Será interesante ver este modelo de iPhone y también la respuesta que tendrá en el mercado, que aunque siendo más barato, también es un poco más inseguro.

Un Leak de Apple revela detalles acerca del diseño de los próximos iPhone

En la actualidad a las empresas tecnológicas les resulta cada vez más complicado sorprender a sus clientes, por esa razón Apple podría encontrarse en serios problemas. Con el lanzamiento del iPhone X y su tecnología Face ID Apple logró atraer muchos clientes y generar tendencia entre los fabricantes de la competencia, sin embargo este año no parece estar teniendo el mismo éxito con sus iPhone XS, XS Max y XR. Para acabar con esta mala racha Apple ha decidido recuperar una de las características clásicas de los iPhone anteriores al iPhone X, el lector de huellas.

A priori esto puede parecer un paso atrás, sobre todo si tenemos en cuenta el buen funcionamiento de Face ID, pero realmente se trata de un gran avance ya que el lector de huellas será ultrasónico permitiendo así un mayor aprovechamiento de la pantalla. Por el momento Apple parece estar evaluando el uso de esta nueva tecnología en los nuevos iPad todavía en desarrollo. La principal razón por la que se están realizando estas pruebas con el iPad en primer lugar es algo muy sencillo, Apple esta tratando de reducir los marcos de su Tablet a partir de la eliminación del sensor de huella físico, algo que ya hizo en su momento con los iPhone. Con los mismos proveedores que Samsung para llevar a cabo este proyecto, Apple pretende no quedarse atrás y ofrecer lectores ultrasónicos en sus dispositivos. Este tipo de lectores resultan ser inmensamente más rápidos que los físicos, además de ofrecer un mayor nivel de seguridad.

Figura 1: Comparación entre iPhone XS e iPhone 8.

Otra de las grandes ventajas de la incorporación de esta tecnología es que no sería necesario eliminar Face ID de la ecuación, con ambos métodos de desbloqueo Apple no tendría ningún problema a la hora de competir con su principal rival y el buque insignia que presentara en unos meses con una tecnología biométrica similar. Mientras que en varias situaciones es más cómodo utilizar el Face ID, un sensor ultrasónico puede ser más útil cuando queremos desbloquear el móvil en nuestro bolsillo o cuando está en nuestra mesilla de noche. Otra posibilidad que se abre al introducir este nuevo método de desbloqueo es el uso de la doble autenticación, la combinación de los dos elementos biométricos podría incrementar exponencialmente la seguridad del dispositivo.