Apple almacena en texto plano los correos cifrados de Apple Mail (al menos en dos bases de datos)

El investigador Bob Gendler ha escrito un artículo en su blog donde cuenta algo realmente sorprendente e inseguro que afecta al sistema operativo macOS. Al parecer los correos S/MIME que están cifrados en Apple Mail, aparecen en ciertas bases de datos completamente en texto plano. Algo realmente preocupante. Además de explicar el problema, el autor también nos ofrece la solución para mitigar lo máximo posible este problema de seguridad. Vamos a verlo en profundidad.

En macOS existe una base de datos llamada snippets.db la cual contiene información para que Siri pueda realizar sugerencias más precisas cuando le preguntamos. En esta misma base de datos también se almacenan correos electrónicos como fuente de información. El problema es que estos correos que están almacenados cifrados, en esta base de datos no lo están. Es decir, están totalmente accesibles en texto plano. Incluso con Siri desactivado.

Pero esta base de datos no es la única, entities.db almacena registros de nombres de personas, correos electrónicos, números de teléfono y otra información personal. Además de estos datos no son adquiridos solamente de los contactos, también de la información que podamos tener de este tipo en el correo electrónico. Es decir, tenemos al menos dos bases de datos con información critica que podría ser accesible y lo más importante, no estar cifrada.

Figura 1. Primera medida para mitigar este problema, deshabilitar "Mail" de las opciones de sugerencias de Siri. Fuente.

Según el autor, hay tres formas de solucionar este problema y evitar que este proceso de "aprendizaje de Siri" no recopile información del Apple Mail. La primera sería deshabilitar la opción de que Siri realice sugerencias: Preferencias del sistema → Siri →Recomendaciones de Siri y Privacidad → Deshabilitar la opción de Apple Mail. La segunda implica ejecutar el siguiente comando desde el terminal (usuario normal, no elevado):

defaults write com.apple.suggestions SiriCanLearnFromAppBlacklist -array com.apple.mail

La tercera opción es un poco más compleja pero es la única que permite deshabilitar por completo y de forma definitiva esta opción de recopilar datos del Apple Mail para todos los usuarios. En el artículo se explica en profundidad cómo realizar esta operación que requiere de una aplicación externa para poder llevarla a cabo.

Figura 2. Imagen donde se muestran algunos de los problemas comentados en el artículo. Fuente.

Bob Gendler también comenta que Apple ha sacado muchas actualizaciones desde que lo comunicó pero no ha solucionado este problema todavía, y ya han pasado más de 100 días. Es un problema bastante desconcertante, ya que una información que en principio debería de estar cifrada se pasa a otra ubicación sin cifrar. Es decir, un sistema operativo debe de cifrar y proteger la información a toda costa, no lo contrario. Estamos seguros que pronto veremos nueva información sobre este problema.

Una forma de saltarse la pantalla de bloqueo en iOS 13

Los usuarios de iOS 13 deberán actualizar su firmware para parchear una vulnerabilidad que ha sido descubierta recientemente por el investigador Jose Rodriguez. El fallo en cuestión permite a cualquier usuario hacer un bypass al bloqueo del iPhone y acceder a los contactos. Este exploit afecta a aquellos dispositivos que dispongan de iOS 13, el nuevo sistema operativo de Apple que será lanzado durante este mes. Para llevar este “hack” a cabo es necesario responder a una llamada utilizando una de las opciones de Siri que permite responder a través de un mensaje de texto. Una vez que Siri se vuelve a activar la aplicación debería de cerrarse pero no sucede así. La aplicación de contactos se queda abierta permitiendo el acceso a los contactos del dispositivo.

Según Jose Rodriguez las versiones beta de iOS 13.1 ya no cuentan con este fallo, el nuevo sistema operativo será lanzado al público el 30 de septiembre. Aunque esta vulnerabilidad no sea algo bueno tampoco supone un problema mayor, sobre todo si la comparamos con un exploit que permitiese la inyección de malware, de hecho aprovechar una vulnerabilidad de este tipo para inyectar malware resulta muy complicado (casi imposible) ya que sería necesario acceso físico al dispositivo además de que la transición entre aplicaciones fuese bastante más lenta. Por suerte para los usuarios las consecuencias de este exploit se puede solucionar fácilmente instalando la actualización de iOS 13.1 o simplemente desactivando Siri cuando la pantalla este bloqueada desde el menú de preferencias (esta función viene activada por defecto).

Figura 1: Accediendo a los contactos a través de Siri

Durante los últimos meses Apple ha tenido que responder a una avalancha de reportes por fallos de seguridad que podían afectar potencialmente a sus clientes. En agosto el equipo de Project Zero descubrió un ataque web que tenía como principal objetivo el mercado chino. Los usuarios que visitaron los sitios web infectados fueron inyectados con spyware en sus dispositivos. Este malware era capaz de escapar del sandbox y engañar al kernel para acceder a la información de los iPhone. Tras esta mala racha y con la llegada de iOS 13 y sus nuevos dispositivos Apple pretende apostar por la seguridad y la privacidad de sus usuarios más que nunca, de hecho iOS 13 incorporará un montón de nuevas funciones de seguridad, si todavía no sabes en qué consisten en este post podrás descubrir algunas de ellas. 

Fue Noticia en Seguridad Apple: del 22 de julio al 4 de agosto

Ya estrenando nuevo mes dese hace unos días, una parte comenzando vacaciones, otra regresando y desde Seguridad Apple, como siempre, al pie del cañón, seguimos subiendo noticias, para que estéis al tanto de lo que rodea al mundo Apple en temas de seguridad informática. Hoy toca un nuevo post de Fue Noticia, donde os dejamos las noticias que se han ido publicano a lo largo de estas dos últimas semanas.

El lunes 22 de julio comenzamos hablando sobre el robo de productos de Apple, y como el verano hace aumentar este tipo de delitos.

El martes 23 de julio os contamos que el ingeniero jefe de Apple, Ivan Krstic, dara una charla en la Blak Hat 2019, donde hablará de iOS 13 y macOS Catalina.

El miércoles 24 de julio escribimos sobre las más de 100 vulnerabilidades solucionadas por Apple en sus productos.

El jueves 25 de julio informamos sobre la sanción millonaria a Apple en su disputa con VirnetX.

El sábado 27 de julio os hablamos sobre HyperCard, que permitía crear documentos multimedia.

El domingo 28 de julio toco el turno de hablar sobre el cierre automático de pestañas en Safari, si normalmente te despistas y dejas pestañas con contenido sensible, quizás te interese seguir los pasos y proteger tu privacidad.

El martes 30 de julio se hablo de un tema que en los últimos tiempos afecta a varias compañías con sus asistentes virtuales, y es que las conversaciones que tienes con Siri las revisan empresas externas.

El miércoles 31 de julio se volvió a hablar sobre la guerra de patentes entre VirnetX y Apple, y es que la compañía de Nevada ha ganado su apelación a la californiana en relación a las patentes 6,502,135 y 7,490,151.

El viernes 2 de agosto hablamos sobre unas pruebas de rendimiento del Macbook Air de 2019 respecto al modelo de 2018. Todo esto se trata sobre su SSD.

Y por último, pasamos al sábado 3 de agosto, donde se público un post sobre Clarus "The DogCow", el icono de un perro creado por Susan Kare que se convirtió en la mascota de Apple durante años.

Nos vemos como siempre en dos semanas en el repaso de la actualidad del mundo Apple. Que paséis un gran verano y tened en cuenta los consejos para tener un verano seguro con vuestros iDevices de Apple. 

Las conversaciones de Apple Siri son revisadas por empresas externas poniendo en riesgo la privacidad de los usuarios

Ya no es sólo un problema de Google o Amazon, Apple también tiene que revisar su política de seguridad respecto a Siri y las escuchas. Según una filtración realizada a The Guardian, cientos de conversaciones privadas entre por ejemplo, doctores y pacientes, temas de negocios, encuentros sexuales, etc son captadas por el asistente digital. Activar accidentalmente Siri es bastante habitual (no sólo desde el móvil, desde el Apple Watch o incluso el HomePod entre otros) y este "despertar" puede provocar la captura de estas conversaciones privadas no autorizadas.

Pero no sólo se suben la conversaciones, otros datos privados como por ejemplo la localización, detalles de los contactos y datos de las aplicaciones también se suelen descargar en la nube durante el proceso de captación de conversaciones. Apple no especifica en sus condiciones legales de contrato con el usuario si estas conversaciones son monitorizadas también por seres humanos, pero parece ser que una pequeña porción de ellas al parecer sí que están pasando por manos de empresas externas subcontratadas. De hecho, la tarea principal de estas empresas es precisamente detectar si Siri se ha activado accidentalmente o de forma deliberada, para mejorar la experiencia de usuario y las respuestas.

Figura 1. Apple Watch también puede activar Siri de forma accidental. Fuente.

Pero ¿qué dice Apple al respecto?. En principio, sobre estas subcontratas, Apple comenta que son necesarias para justamente eso, entender y reconocer mejor lo que el usuario le está diciendo a Siri. También comentan que sólo una pequeña porción de las peticiones (un 1% y sólo de unos pocos segundos de duración) a Siri son analizadas de esta forma. Las conversaciones no están asociadas con el ID de Apple del usuario y además, afirman que todas las operaciones resultantes de estos análisis están revisadas y bajo las condiciones de confidencialidad de Apple.

Figura 2. Cartel de Apple en la entrada del CES celebrado en Las Vegas este año. Fuente.

Apple se preocupa bastante por su reputación en temas relacionados con la privacidad el usuario. De hecho, es su arma de batalla principal contra Google o Amazon en el mundo de los asistentes digitales. Sólo tenemos que recordar el cartel que colocaron en Las Vegas en el pasado CES que decía "Lo que ocurre en tu iPhone, se queda en tu iPhone..." ¿seguro?

PwnedWord: El atajo de Siri que te dice si tu contraseña se ha filtrado

No debería extrañarnos que se diga que en la red se filtran contraseñas constantemente, y que existen multitud de sitios que permiten consultar si una determinada cuenta o contraseña se ha visto comprometida, algo que todo deberíamos comprobar periódicamente. Ahora podremos hacer está comprobación a través de un atajo en Siri, que se llama PwnedWord, y va a permitir a los usuarios verificar si sus contraseñas se han filtrado con la técnica ‘k-anonymity’.

¿Cómo se realiza la consulta? Envía los 5 primeros caracteres del hash a pwnedpasswords.com, el servicio devolverá todas las contraseñas que coincidan con esos primeros 5 caracteres del hash enviado, para terminar en el propio iPhone se comprobará el hash completo de la contraseña con el hash de todas las devueltas por el servicio.

Figura 1 - Usando PwnedWord (Fuente)

Como resultado, el atajo te mostrará un mensaje felicitándote por tener una contraseña robusta y ‘nunca’ filtrada, o por el contrario, te indicará el número de veces que se ha visto comprometida. Si tu contraseña se ha filtrado, no olvides cambiarla de inmediato, además, si no lo haces ya, ves pensando en agregar un doble factor de autenticación.

Antes de descargar el atajo de icloud y poder hacer uso de él, tienes que activar la opción que permita atajos no confiables, esto se encuentra en el apartado de configuración, dentro de la opción de atajos.

Como deshabilitar las Sugerencias de Siri (búsqueda, consulta y en pantalla de bloqueo)

Desde su aparición, las Sugerencias de Siri se han ido volviendo más inteligentes y en algunos casos sorprendentemente útiles, van desde recomendarte canciones, enviar un mensaje a un amigo con el que hablas regularmente o muchas cosas más. El alcance de las Sugerencias de Siri no se limita a las aplicaciones del sistema, sino que Siri también realiza sugerencias relativas a aplicaciones de terceros que tengamos instaladas o que utilicemos habitualmente en nuestro dispositivo. A pesar de que en muchas ocasiones estas sugerencias sean útiles pueden llegar a cansarnos o sugerirnos cosas con las que no estamos de acuerdo o pueden causar situaciones embarazosas si compartes tu dispositivo con otra persona.

Si no te gustan o simplemente no te resultan útiles las Sugerencias de Siri estás de suerte, a continuación te contamos como puedes desactivarlas por completo, solo tendrás que seguir estos tres pasos:

1. Abre la aplicación de Ajustes y accede a “Siri y Busqueda”.                                                               
2. Desliza la página hacia abajo hasta encontrar el apartado “Sugerencias de Siri”.                               
3. Desactiva los interruptores de “Sugerencias de Buscar”, “Sugerencias de Consultar”, “Sugerencias en la pantalla bloqueada”. 

Figura 1: Configuración de Sugerencias de Siri

Hecho esto las Sugerencias de Siri no deberían volver a molestarte. Si por el lado contrario sí que te resultan útiles pero no quieres que Siri te realice sugerencias acerca de algunas aplicaciones en concreto también te ofrecemos una solución para que puedas seguir disfrutando de esta interesante función en el resto de aplicaciones. Solo tendrás que desactivar la función para determinadas Apps haciendo lo siguiente:

1. Abre la aplicación de ajustes y accede a “Siri y Busqueda”.                                                                     
2. Desliza la página hacia abajo hasta encontrar el apartado “Sugerencias de Siri”.                               
3. En la lista de Apps selecciona las cuales no quieras recibir sugerencias y pulsa sobre ellas.                  
4. En la pestaña que se muestra a continuación desactiva los interruptores “Sugerencias de Siri” y “Permitir en pantalla de bloqueo”. 

Esta alternativa puede resultarte muy útil si disfrutas de las Sugerencias de Siri pero hay algunas para determinadas aplicaciones que no te hagan disfrutar de tu experiencia de usuario completamente.

Fue Noticia en seguridad Apple: del 15 al 28 de abril

Nos acercamos al final de este mes de abril y en Seguridad Apple continuamos trabajando para traeros algunas de las mejores noticias en el ámbito de la seguridad informática relacionadas con el mundo de la manzana. Este es nuestro nuevo Fue Noticia, sección en la que os traemos un breve resumen de las noticias más relevantes de las últimas dos semanas. Todo ello aderezado con el mejor contenido de otros sitios de referencia.

Comenzamos el martes 16 presentándoos Succession, una interesante alternativa a Cydia Eraser con la que podrás quitar el jailbreak de tu dispositivo sin tener que restaurarlo.

 

El miércoles 17 os explicamos cómo es posible que el Apple Pencil no te deje abrir tu coche mientras esté cargando.

El jueves 18 os contamos cómo funcionan los ataques Phishing realizados tras el robo de un teléfono. 

El viernes 19 os informamos  de que es posible que la seguridad de Face ID incremente enormemente gracias a la incorporación de un escáner de retina.

El sábado 20 indagamos en la historia de Apple para hablaros de los discos Twiggy y del gran fracaso que supusieron para la empresa.

 

El domingo 21 os enseñamos como unos pequeños ajustes en la configuración de Siri pueden ayudar a que tu dispositivo sea más seguro.

El lunes 22 os explicamos detalladamente las razones por las que Apple ha sido llevada a juicio al incumplir la ley de mercado estadounidense.

El martes 23 os alertamos de un nuevo y peligroso caso de malvertising en el buscador de Chrome para iOS.

El miércoles 24 os contamos como ejecutar macOS en cualquier hardware de PC, algo que hasta ahora parecía imposible.

El jueves 25 os hablamos de cuales son las ultimas patentes registradas por Apple y que nos revelan acerca del futuro de los productos de la compañía californiana.

El viernes 26 os presentamos Proximitus Tweak, un tweak con el que nunca os olvidareis vuestros accesorios ya que te notificara cuando estos dejen de estar en el rango de tu bluetooth.

Finalmente, ayer sábado hablamos de cómo Apple invirtió más de 15 millones de dólares para publicitar sus PowerBook en la película "Misión: Imposible" y que finalmente fue un fracaso.

Estos ajustes en la configuración de Siri pueden ayudarte a mejorar la seguridad de tu iPhone

Con la llegada del iPhone 6S e iOS 6 también llegaron dos grandes novedades la primera de ellas eran los mapas de Apple y la segunda el nuevo asistente de voz de Apple (ya en castellano). Durante los últimos años Siri ha ido evolucionando y ofreciendo cada vez más funcionalidades, desde establecer alarmas hasta publicar por ti en tus redes sociales o realizar llamadas a través de Facetime. Aunque Siri mayoritariamente ofrezca ventajas también puede ser utilizado para jugarte una mala pasada. Con su función “Hey Siri” cualquier usuario (con una voz que se asemeje a la tuya) puede activar el asistente de tu dispositivo y darle instrucciones incluso estando bloqueado.

Para evitar este tipo de incidentes solo tendrás que cambiar un poco la configuración de tu iPhone. El primer paso será deshabilitar la función de Siri con el teléfono bloqueado ya que como se ha demostrado en otras ocasiones es posible utilizar el asistente de voz para realizar un bypass al passcode o para realizar llamadas y enviar mensajes. También es recomendable desactivar la función “Hey Siri” (sobre todo si está activado el uso de Siri con el dispositivo bloqueado), aunque sea una función bastante útil es más seguro activar el asistente utilizando uno de los botones físicos de nuestro dispositivo, así también evitaremos activarlo por error.

Figura 1: Configuración de Siri

Para cambiar la configuración de Siri solo tendrás que seguir los siguientes pasos:

1. Entra en la aplicación de ajustes.                 
                                                                                             
2. busca el apartado “Siri y Buscar”.                                                                                                          
3. En la configuración utiliza los interruptores para deshabilitar las funciones que desees.

En esta página de configuración también podrás seleccionar el lenguaje o el género de tu asistente, además de completar tu información personal para que tu asistente te conozca un poco mejor.

Spotify lleva a Apple ante la Comisión Europea por competencia desleal

Hace apenas una semana la empresa de reproducción de música en streaming Spotify presentó una queja formal contra Apple a la Comisión Europea. Los motivos principales de la queja son que la compañía californiana cobra un 30% de los pagos recibidos por algunos servicios de terceros. Esta cantidad resulta abusiva en muchas ocasiones y obliga a estas compañías a subir el precio de sus productos (lo que afecta a sus clientes) o a conformarse con unos beneficios bastante menores haciendo que en algunas ocasiones no sea rentable mantener sus aplicaciones en la App Store.

El responsable de la queja no ha sido ni más ni menos que el propio CEO de Spotify, Daniel Ek, el cual también ha anunciado la existencia de la misma. En su queja también ha reclamado que a muchos otros servicios como Uber, Deliveroo o Glovo no se les impone un porcentaje que pagar a la compañía por poder estar en su App Store. Otro de los principales motivos por los que se ha efectuado esta denuncia son las pocas facilidades que ha puesto Apple para que el servicio pudiese integrarse en Apple Watch o porque todavía no puede utilizarse conjuntamente con Siri. Antes de la denuncia ambas empresas han estado comunicándose directamente para solucionar este problema por las buenas, sin embargo la discusión no parece haber llegado a buen puerto.

Para dar a conocer el desacuerdo Spotify ha creado una web llamada TimeToPlayFair, en la que quiere transmitir su mensaje, “Cuando la competencia es leal, tanto los consumidores como las empresas ganan”. El lema viene acompañado de un video de dos minutos en el que se ilustra a la perfección como ve Spotify el comportamiento de Apple. En la página también puedes encontrar 5 hechos por los que Apple no juega limpio. Por el momento no se sabe cómo acabará esta disputa, es posible que las dos compañías acaben llegando a un acuerdo beneficioso para ambas o que Spotify decida extender su queja a otros organismos internacionales fuera de Europa, lo que podría desenlazar con multas millonarias para la compañía californiana.

La maravillosa y curiosa relación de Apple con Jim Henson y su obra

En el artículo de la semana pasada hablamos de la relación de Matt Groenning y Apple, donde el creador de los Simpsons incluso llegó a realizar algún trabajo para la empresa de la manzana. Esta vez vamos a hablar de la gran admiración de Apple por  otro artista llamado Jim Henson, creador de entre otras maravillas, de los famosos teleñecos y Cristal Oscuro. Las referencias a Jim Henson son continuas durante toda la carrera de Apple, hasta el punto que hoy día continua (Siri ha tomado el testigo).

Jim Henson era al parecer un usuario de los ordenadores Apple de la época y esto lo aprovechó la compañía de Steve Jobs como elemento publicitario, ya que Jim Henson era muy popular por aquel entonces. En 1984, en el informe anual de inversores es cuando aparece por primera vez su imagen. Apple presentó un documento para sus accionistas e inversores donde se hablaba de personalidades y artistas que habían creado su obra o parte de ella en un ordenador Apple. Y uno de ellos era Jim Henson. 

Figura 1. Páginas donde se muestra a Jim Henson y sus trabajos realizados con un Macintosh. Fuente.

Pero su aparición más conocida fue en la fantástica campaña de Apple llamada “Think Different” a finales de los 90. El elemento estrella de esta publicidad  consistía en un vídeo narrado por Richard Dreyfuss donde aparecían celebridades como Albert Einstein, Pablo Picasso, etc. Y por supuesto, también Jim Henson (en el segundo 45 aproximadamente del vídeo del enlace anterior). Pero, además, también lo hace en un precioso y entrañable cartel publicitario de esta misma campaña donde aparece junto a la rana Gustavo (Kermit).

Figura 2. Cartel de la campaña de Apple Think Different donde aparece Jim Henson y la rana Gustado. Fuente.

A partir de este punto la relación entre Apple y Henson es mas frecuente y curiosa. Por ejemplo, en la serie Fraggle Rock, el ordenador que tiene Doc (el entrañable anciano y su perro Sprocket) es un Apple II. En Sesame Street (Barrio Sésamo en España) aparecen en varias escenas ordenadores Apple. Scooter, uno de los personajes es usuario de un iPad y un iPhone. Hay un largo etcétera que puedes consultar en este enlace. Incluso existe un videojuego de Barrio Sésamo exclusivo para plataforma Apple y el anuncio del iMac de color verde, está narrado nada más y nada menos que por la rana Gustavo.

Figura 3. Respuesta de Siri cuando le preguntas what zero divide by zero is?. 

Pero el mejor de todos es el que podéis probar en cualquier momento con Siri en inglés. Si le preguntamos “Siri: ¿qué es dividir por cero?” ("what zero divide by zero is?") , responderá: “Imagina que tienes cero galletas y las repartes entre cero amigos. ¿Cuántas galletas recibe cada persona? fíjate, no tiene sentido. Y el monstruo de las galletas está triste porque no hay galletas. Y tú estás triste porque no tienes amigos.” Simplemente genial ;)

Nota: Por cierto, si queréis saber todo sobre Jim Henson, no os perdáis este podcast de Todopoderosos (que se graba en la Fundación Telefónica) donde dan un repaso genial a su vida y obra.

Fue Noticia en seguridad Apple: del 24 de diciembre al 13 de enero

Nos adentramos en 2019 y en Seguridad Apple aprovechamos para brindaros nuestros mejores deseos para el año que entra. A continuación os traemos algunas de las mejores noticias en el ámbito de la seguridad informática relacionadas con el mundo de la manzana. Este es nuestro nuevo Fue Noticia, sección en la que os traemos un breve resumen de las noticias más relevantes de las últimas tres semanas. Todo ello aderezado con el mejor contenido de otros sitios de referencia.

Comenzamos el lunes 24 deseándoos unas felices fiestas y avisándoos de que a pesar de las Navidades la actividad en este blog no cesa para que podáis disfrutar de interesantes artículos durante las vacaciones. 

El martes 25 os contamos como una vulnerabilidad de WebKit afecta a las últimas versiones de Safari permitiendo la ejecución de código arbitrario de manera remota.

El miércoles 26 os explicamos cómo podéis mejorar la seguridad de vuestro iPhone al desactivar Siri cuando la pantalla está bloqueada.

El jueves 27 os enseñamos un Shorcut para el teclado con el que podréis acceder rápidamente al menú de forzar detención en Mac.

El viernes 28 os avisamos de la llegada de la beta de iOS 12.1.3 para desarrolladores y os contamos cuales son las novedades que incorpora.

El sábado 29 aprovechamos el final del año para hacer una recopilación de las mejores anécdotas y curiosidades de la historia de Apple de las que os hemos hablado este año.

El domingo 30 os hablamos de algunas herramientas de gestión de contraseñas en iOS y de la importancia de los TOTP.

El lunes 31 aprovechamos para despedir el año deseándoos unas felices fiestas y una buena entrada en el 2019.

El martes 1 os alertamos de que algunas aplicaciones comparten nuestra ubicación sin permiso y os contamos como evitarlo en iOS.

El jueves 3 damos comienzo a una serie de dos artículos en la que recopilamos algunas de las mejores herramientas preinstaladas de Mac.

El viernes 4 finalizamos la serie Recopilación navideña de herramientas para Mac, la serie en la que os hablamos de algunas de las mejores aplicaciones preinstaladas de Mac.

El sábado 5 finalizamos nuestra recopilación de las mejores anecdotas y curiosidades de la historia de Apple de las que os hemos hablado.

El lunes 7 os hablamos de la actualización del USB C con USB Type-C Authentication Program permitiendo el uso de criptografía para la autenticación de dispositivos.

El martes 8 os contamos cuales son las novedades del lenguaje de programación Swift 5, uno de los lenguajes predilectos de Apple.

El miércoles 9 os alertamos del perfeccionamiento de las técnicas en los ataques Phishing telefónicos a los dispositivos de Apple.

El jueves 10 os recordamos que el ramsonware sigue siendo una amenaza global y os contamos las predicciones de Bitdefender para este año.

El viernes 11 os hablamos de lo que supondrá la participación de Apple, Tesla y otras grandes empresas de la Nasdaq en el blockchain

El sábado 12 de enero hablamos sobre, seguramente, el huevo de pascua más famoso de la historia de Apple. Os recomendamos su lectura, ya que siempre es interesante conocer la historia de Apple. Sin duda, unas semanas de noticias e interesantes artículos en Seguridad Apple.

Mejora la seguridad de tu iPhone deshabilitando Siri con la pantalla bloqueada

En la batalla por dominar el campo de los asistentes inteligentes, los gigantes tecnológicos luchan por ser el elegido para ayudarte en tu vida cotidiana. Esto se traduce en colocar su producto en el mayor número de dispositivos y situaciones posibles. Por su parte Apple ha logrado implementar Siri en la pantalla de bloqueo del iPhone permitiéndote realizar acciones como consultar el tiempo o hacer llamadas sin desbloquear el teléfono. A pesar de que Siri y el resto de asistentes cuenten con un alto nivel de seguridad todas estas integraciones abren la posibilidad de encontrar nuevos bugs que comprometen la seguridad de nuestros dispositivos.

El problema reside en que Siri puede controlar varios aspectos de tu dispositivo, este “control” es necesario para poder navegar por tu dispositivo a través de comandos de voz pero puede suponer un gran riesgo si alguien tiene acceso a tu teléfono ya que podría manipular a Siri para obtener información importante acerca de ti o incluso desbloquear tu teléfono sin conocer tu passcode o utilizar la biometría. Un claro ejemplo de ello es el reciente bug descubierto por Jose Rodriguez, un investigador que ha logrado bypasear la pantalla de bloqueo de iPhone accediendo a la lista de contactos. Cuando se utiliza Siri para realizar una llamada múltiple, iOS solicita autorización para acceder a los contactos y añadir gente a la llamada, pero cuando Apple añadió la función de Facetime grupal en iOS 12.1.1 se olvidó limitar el acceso a los contactos.

Figura 1: Puedes desactivar Siri desde los ajustes.

Apple todavía no se ha manifestado acerca de este incidente, pero por lo general la empresa californiana no tarda en solucionar este tipo de vulnerabilidades a través de actualizaciones una vez que salen a la luz. Por lo general el bypass a la pantalla de bloqueo de los iPhone no es una de las principales fuentes de preocupación para los usuarios de iOS, en parte porque requieren acceso físico al dispositivo, sin embargo estas prácticas son muy fáciles de llevar a cabo y no requieren de ningún tipo de formación, así que pudiendo desactivar Siri en la pantalla bloqueo, por qué correr un riesgo innecesario?

Una patente revela que podría traer Siri offline a sus dispositivos

Desde el lanzamiento de Siri en el iPhone, muchos usuarios han querido una versión del asistente de Apple que sea capaz de funcionar sin conexión. De hecho cabe la posibilidad de que Siri sin conexión sea más útil, ya que al disponer de conexión podremos resolver muchas de nuestras cuestiones simplemente tecleándolas en Google. Hace unos días ha salido a la luz una patente de Apple que nos hace pensar en la posibilidad de que Apple implemente una versión offline de su asistente en iOS. La principal idea de esta patente es poder realizar acciones como activar el cronometro, acceder a la galería, a los contactos o activar otras funciones que nos ayuden a movernos por el móvil sin la necesidad de conectividad.

Finalmente paree que Apple ha considerado el lanzamiento de un modo offline par Siri, como se ha detallado en el documento de la patente de una aplicación. La patente detalla cómo sería un asistente personal offline que se podrá utilizar cuando el dispositivo no esté conectado a internet. Para trabajar online Siri necesitaría ser capaz de lanzar su algoritmo de reconocimiento de voz a través del dispositivo en lugar de hacerlo como hace ahora, enviando los datos recogidos a la nube, donde son procesados y posteriormente enviada una respuesta.

Figura 1: Esquema de la patente de Siri sin internet.

“Dependiendo de las palabras reconocidas y de la estructura de la solicitud, el asistente offline podría llevar a cabo un numero de tareas predefinidas almacenadas en el módulo de procesamiento. En el almacenamiento se encuentran los módulos para tareas habituales como el establecimiento de una alarma o la reproducción de una canción que se encuentre en el almacenamiento interno del teléfono, haciendo posible la ejecución del módulo adecuado en función de la solicitud recibida.” han dicho en Appleinsider.


Aunque la existencia de un asistente personal inteligente como Siri sin acceso a la red era algo que parecía imposible en 2011, los chips que incorpora Apple a día de hoy en sus dispositivos disponen de potentes mecanismos neurales que son capaces de soportar el procesamiento de preguntas y ofrecer respuestas a tiempo real. Por el momento Offline Siri es solo una patente, pero puede que no tardemos en verlo integrado en nuestros dispositivos.

Algunos coches ya pueden integrar Siri

Según Volkswagen América, ya está disponible la integración del famoso asistente de Apple en VW Car-Net. Si todavía no conoces el servicio Car-Net, este es un servicio que permite a los conductores ejecutar aplicaciones de su móvil a través de CarPlay y Android Auto. Por suerte para aquellos conductores que posean un vehículo con servicio Car-Net y un dispositivo que corra iOS 12 podrán usar algunos comandos de voz para realizar comprobaciones en su vehículo o para controlar su dispositivo móvil mientras conduzcan.

Con esta integración podremos encender los intermitentes, bloquear las puertas, calcular la autonomía o la carga de la batería y muchas cosas más. También será posible personalizar las interacciones a tu gusto como el control de la climatización o cual es la ubicación del vehículo. Otra de las integraciones utilizadas por la marca es Verizon Connect, este servicio se utiliza para realizar llamadas de emergencia, detección automática de fallos, asistencia en carretera y la localización de vehículos robados. Sin embargo es un servicio de pago que dispone de un periodo de prueba de seis meses al adquirir un coche de la marca.

Figura 1: Siri integrado en Car-Net

A parte de la comodidad, esta integración está enfocada a la seguridad al volante, la posibilidad de realizar o coger llamadas mientras conduces sin preocuparte de darle a un botón o poder controlar el climatizador de tu coche solo con la voz puede reducir el número de distracciones al volante y  con ello el número de accidentes de tráfico.

“Constantemente buscamos formas innovadoras a la hora de hacer que Car-Net sea más útil y relevante. La integración de Siri ayudará a nuestros conductores a mantener la vista en la carretera y las manos en el volante” ha dicho Abdallah Shanti, Vicepresidente y jefe de información de la marca alemana en América.

Un nuevo bypass del bloqueo del iPhone permite acceder a las fotos del dispositivo

Un nuevo bypass publicado por José Rodríguez, el cual ya publicó otros dos hace unas semanas, permite acceder a las fotos del dispositivo e incluso, enviarlas a otro. El bypass es un proceso totalmente manual el cual no requiere ninguna instalación de algún tipo de programa o técnica de seguridad compleja adicional. Y además afecta a los nuevos X y XS con la versión iOS 12.0.1. 

Son necesarios exactamente 13 pasos y llevar un buen ritmo durante todo el proceso para poder llegar a extraer fotos del iPhone. La raíz de este problema es el mismo que en los otros bypasses publicados por Rodríguez, el uso de Siri para activar VoiceOver para de esta forma, llegar a poder realizar ciertas tareas sin ser necesario desbloquear el teléfono. Aquí tenéis el vídeo donde se muestra todo el proceso de bypass:

VoiceOver es una característica de iOS centrada en ofrecer un servicio a personas con discapacidad visual, el cual va describiendo todo lo que ocurre en la pantalla del iPhone (o el Mac también). Utilizando esta función es posible ejecutar comandos a través de Siri incluso teniendo el iPhone bloqueado (siempre que esté activada la opción de Siri en la pantalla de bloqueo, como veremos más adelante), algo que debería de ser incompatible por seguridad. Es muy probable que Apple solucione este problema en la próxima actualización iOS 12.1 la cual está prevista que se publique a finales de este mes.

De momento y mientras esperamos esta nueva actualización que resuelva este problema, podemos mitigarlo desactivando el acceso de Siri cuando el dispositivo está bloqueado. Para ello tendremos que ir a Ajustes -> Siri y Buscar -> Siri con pantalla bloqueada (desactivar esta opción). 

Apple actualiza su guía de seguridad para iOS y añade nuevas entradas tras la llegada de iOS 12

Tras el lanzamiento de iOS 12 Apple ha hecho una revisión de su guía de seguridad para iOS, en la que se detalla el funcionamiento de las nuevas aplicaciones y mejoras incluyendo las sugerencias de Siri, la nueva aplicación de Shortcuts, Screen Time y mucho más. Según el historial de revisiones de la guía de Apple, en esta ocasión se han añadido un gran número de entradas nuevas incluyendo los accesorios para Homekit TV Remote. A continuación os haremos un breve resumen de algunas de las nuevas entradas contempladas en la guía.

Comenzamos con Siri, sus sugerencias y su funcionamiento con Shortcus ahora son generadas utilizando machine learning y enviando los datos recopilados de forma anónima a Apple con el fin de comprobar si la predicción ha sido acertada. En cuanto a los Shortcuts, desde que pueden correr javascript en determinadas páginas, las descargas de iOS te advierten de la posibilidad de contener malware con una notificación emergente que te da la opción de continuar o cancelar la descarga.

“Los Shortcuts son versátiles, se asemejan mucho a los scripts en los programas, se utiliza un sistema de cuarentena para aislar los Shortcust descargados de internet. El usuario es advertido la primera vez que intenta utilizarlos y se le da la oportunidad de analizarlo, incluyendo la información acerca de su origen”. Ha dicho Apple.

Figura 1: Shortcuts.

En la guía de seguridad también se ha incluido ScreenTime la nueva aplicación que mide el tiempo de uso de la pantalla, con esta aplicación los usuarios podrán controlar el tiempo y los datos consumidos por cada aplicación, además de fijar límites para ellos. Apple resalta que esta función puede usarse para controlar el tiempo y las aplicaciones utilizadas por los niños. En cuanto a las tarjetas exprés o los carnets de estudiante, Apple ha dicho que las funciones NFC funcionaran incluso cuando iOS este bajo un régimen mínimo (lo que sucede cuando se encuentra en modo de ahorro de batería), según la compañía incluso requiriendo ser cargado el dispositivo tendría energía suficiente para que el NFC funcione correctamente. Para hacerlo iOS ha hecho que no sea necesario autenticarse con Face ID o Touch ID ya que los sensores consumen una gran cantidad de energía.

Figura 2: ScreenTime.

Para terminar hablamos de Homekit TV Remote, en la guía se ha confirmado que en un futuro el control remoto recibirá soporte de Siri y hará que puedan utilizarse muchos de sus comandos. Cuando el usuario active la función del micrófono (utilizando el botón incorporado en el mando para ello) el audio será enviado a su Apple TV a través de una conexión de red local. Si queréis conocer todos los detalles acerca de las nuevas funcionalidades de iOS 12 podéis encontrar el White Paper en formato PDF en la página oficial de Apple.

Comprueba la seguridad de tus contraseñas con Shortcuts y Siri en iOS 12

iOS 12 fue presentado el pasado lunes con interesantes novedades, entre ellas el control del tiempo en pantalla, notificaciones agrupadas, mejoras en realidad aumentada, nuevos animojis y extensiones de Siri. Dentro de esto último, Apple anunció Shortcuts, una nueva aplicación desarrollada a partir de Workflow que integra todo el poder de Siri con la flexibilidad y capacidad de scripting de su antecesora.
Como ya se explicó en anteriores entradas del blog, cualquier usuario es capaz de automatizar diferentes acciones con Shortcuts  de una forma intuitiva y sencilla, con la novedad de poder lanzar cualquier acción a través de Siri junto a una mayor integración con aplicaciones de terceros.

Para demostrar el poder de esta aplicación, vamos a crear un nuevo Shortcut para consultar si un correo puede estar comprometido por algún servicio con en el que esté registrado. Para ello, vamos a crear el siguiente diagrama de uso:

1. Pedir un correo determinado. 
2. Crear una variable donde almacenar el número de resultados.
3. Componer una url a partir del correo introducido que consuma la API de Haveibeenpwnd. 
4. Realizar una consulta GET a la API. Recoger la respuesta en una variable. 
5. Si no hay resultados dar respuesta con 0 resultados. 
6. Si hay un resultado o más iterar sobre todos ellos. 
7. Recoger el nombre de cada servicio y añadirlo en una lista. 
8. Aumentar la variable de conteo de servicios. 
9. Dar una respuesta con las variables enseñando los resultados. 

Figura 1: Captura del Shortcut

Con esto podremos observar como al introducir un correo, nuestro dispositivo consultará los servicios comprometidos y emitirá una respuesta dictada mediante Siri con los resultados. Además, dentro del apartado de ajustes de Shortcuts podremos añadir una frase para activar la acción a través de un comando de voz, así como también poder incluirlo en la lista de acciones rápidas dentro del Widget de la aplicación.

No hay duda que todas las novedades que ha traído Shortcuts abren un nuevo abanico de posibilidades en dispositivos iOS. Ofrece a un usuario la capacidad de componer flujos de trabajo automatizados de forma intuitiva y sencilla, por lo que con poco esfuerzo, puede añadirse nuevas funcionalidades a iOS que hasta ahora pensábamos irrealizables. Como siempre, dejamos el shortcut creado disponible para su descarga y modificación.

Fue noticia en Seguridad Apple: del 30 de julio al 1 de septiembre

Entramos en el mes de septiembre y en Seguridad Apple seguimos trabajando para traeros algunas de las mejores noticias en el ámbito de la seguridad informática relacionadas con el mundo de la manzana. Este es nuestro nuevo Fue Noticia, sección en la que os traemos un breve resumen de las noticias más relevantes de las últimas dos semanas. Todo ello aderezado con el mejor contenido de otros sitios de referencia.

Comenzamos el lunes 30 presentándoos Sileo, una nueva alternativa para el jailbreak que te permitirá conservar todos los tweaks que obtuvieses con Cydia en versiones de jailbreak anteriores.

El martes 31 os hablamos de iBombShell y de cómo usar esta herramienta para crear funciones para macOS.

El miércoles 1 os invitamos a seguir la última temporada de las ElevenPaths Talks y os recordamos que si os perdisteis algún capítulo de las temporadas anteriores podréis encontrarlo en nuestro canal de YouTube.

El jueves 2 os presentamos AnyTrans For Cloud, una herramienta con la que administrar todos tus servicios en la nube simultáneamente de una manera más sencilla.

El sábado 4 indagamos un poco más en la historia de Apple, esta vez para hablaros del primer fracaso de la empresa californiana, el Apple III.

El lunes 6 os alertamos de un nuevo scam. En este caso la estafa se centra en torno al call center de Apple Care y tiene como objetivo a los consumidores de contenido pornográfico.

El miércoles 8 os presentamos JelbrekTime, un nuevo jailbreak, en este caso para watchOS 4.1, sin duda un gran paso para acercar Cydia a nuestras muñecas.

El jueves 9 os hablamos del modo protección de USB recientemente implementado por Apple y con el que se pretende erradicar el uso de herramientas como GrayKey diseñadas para crackear dispositivos iOS.

El sábado 11 echamos la vista atrás para indagar en la historia de cupertino y os contamos como levantar el ordenador y dejarlo caer era una solución que recomendaba el servicio técnico de Apple.

El lunes 13 os invitamos a seguir de cerca la segunda temporada de Code Talks for Devs, en la que se abordan temas tan interesantes como el uso de los webhooks implementados por Latch.

El martes 14 damos comienzo a una serie de artículos en las que os damos una serie de consejos para no comprometer la seguridad de vuestro Mac este verano.

El miércoles 15 finalizamos la serie: Como evitar que te roben la password en el chiringuito este verano, una interesante lista de consejos que te ayudaran a mantener tu Mac más seguro.

El jueves 16 os contamos como podéis convertir vuestras llamadas telefónicas en combates Pokemon con un interesante tweak de Pokemon Go.

El viernes 17 damos comienzo a una serie en la que os presentaremos algunos de los tweaks más interesantes para este verano.

El sábado 18 iniciamos una interesante serie de dos artículos en la que os contaremos algunas curiosidades y anécdotas interesantes acerca de la historia de Apple.

El domingo concluimos con la segunda y ultima parte de la serie: Top 10 tweaks que no puedes perderte para este verano, la serie en la que os presentamos algunos de los mejores tweaks gratuitos de este 2018.

El lunes comenzamos la elaboración de una guía de seguridad con la que ayudaros a proteger vuestros equipos durante las vacaciones y que os ayudará a comprender la terminología en ciberamenazas.


El martes 21 os presentamos el chip T2 de Apple, un chip que incorpora nuevas características de seguridad que podría significar el fin de los Hackintosh.

El miércoles 22 continuamos con la guía de seguridad para tu Secure Summer, la guía con la que os ayudamos a comprender mejor la terminología de las ciberamenazas.

El jueves 23 os avisamos de que ya está disponible el paper de iBombShell para macOS, el cual se puede encontrar en inglés y castellano.

El viernes 24 concluimos la serie Guía de seguridad para tu Secure Summer, en esta última parte abordamos los últimos términos de nuestro diccionario de amenazas y os damos algunos consejos para protegeros de ellas.

El sábado 25 finalizamos la serie Anécdotas y curiosidades de la historia de Apple, una recopilación de interesantes historias acerca de la compañía de cupertino.

El domingo, tras haber concluido con una serie en la que os enseñábamos terminología de ciberseguridad, damos comienzo a una nueva guía de seguridad para macOS.

El lunes comenzamos la semana hablándoos de la ultima entrevista realizada a Patrick Wardle, uno de los mayores expertos en seguridad de Apple.


El martes 28 continuamos con nuestra guía de seguridad para macOS, en esta entrega os hablamos del cifrado y la protección de la información.

El jueves 30 os presentamos SmallSiri, un interesante tweak que reduce el tamaño del interfaz de Siri ofreciendo a los usuarios un asistente con un aspecto más minimalista.

El viernes 31 finalizamos el mes de agosto y con él nuestra guía de seguridad para macOS. En esta última entrega os hablamos de la seguridad de red.

Finalmente, ayer sábado hablamos de System 1.0 y el primer huevo de pascua de Apple. Un interesante artículo que vino de la mano de nuestro compañero especializado en la historia de la informática.

Dentro de dos semanas volveremos con un nuevo resumen sobre la actualidad del mundo Apple. Seguro que Septiembre trae grandes novedades, no hay que olvidar que en dos semanas tenemos keynote.