Fue Noticia en seguridad Apple: del 21 de mayo al 2 de junio

Continuamos con el mes de junio y con la llegada del calor, pero en Seguridad Apple seguimos trabajando para traeros las mejores noticias en el ámbito de la seguridad informática relacionadas con el mundo de la manzana. Este es nuestro nuevo Fue Noticia, sección en la que os traemos un breve resumen de las noticias más relevantes de las últimas dos semanas. Todo ello aderezado con el mejor contenido de otros sitios de referencia.

Comenzamos el lunes 4 hablándoos del Security Update 2018-003 y del parcheo de más de 30 vulnerabilidades gracias a la llegada de macOS 10.13.5.

El martes 5 os contamos que novedades incorpora Mojave, el nuevo Sistema Operativo de Apple centrándonos en el apartado de la concesión de permisos.

El miércoles 6 os explicamos por qué el gobierno ruso se ha enfrentado contra Telegram y como finalmente Apple ha liberado su última actualización.

El jueves 7 os hablamos del nuevo método que utilizará iOS 12 a la hora de gestionar las contraseñas de sus usuarios.

El viernes 8 os informamos de que Apple ha liberado la API de Apple Health para los desarrolladores ofreciendo así la posibilidad de trabajar conjuntamente con aplicaciones de terceros.

El sábado 9 indagamos un poco más en la historia de Apple para hablaros del fracaso de la primera demo de Apple II con el juego de la vida de Conway.

El domingo cerramos la semana hablándoos de los primeros ataques que han tenido lugar tras la entrada en vigor de la nueva Ley General de Protección de Datos y que afectan a grandes empresas como Google o Facebook.

El lunes 11 os avisamos de la llegada del innovation Day 2018, evento que tendrá lugar en el auditorio de Telefonica en Madrid y en el que se verá el presente y el futuro de la red.

El martes 12 os informamos de que Apple ha dejado de firmar iOS 11.3.1 reduciendo así las posibilidades de aprovechar un nuevo jailbreak tras el lanzamiento del exploit de Ian Beer.

El miércoles 13 os hablamos de algunas de las novedades de las que ha hablado Apple en la WWDC 2018 y del hardware que no presentó.

El jueves 14 os hablamos de como macOS Mojave dificultará la instalación de malware en los dispositivos en los que se encuentre en funcionamiento.

El viernes 15 os contamos por qué Apple ha prohibido la subida de aplicaciones que mineen criptomonedas a su App Store.

Finalmente, ayer sábado contamos como de nuevo un Apple Watch sirve para ayudar a resolver un crimen aportando nuevas pistas a la investigación.

Apple permitirá que Telegram se actualice

Hace unos días, en Seguridad Apple os hablamos de la prohibición del uso de la aplicación Telegram en Rusia y de la petición que realizó el gobierno ruso a Apple de no permitir las actualizaciones de la aplicación y de eliminarla de la versión rusa de App Store. Este intento del gobierno ruso de acabar con la aplicación en el país se debe a que Telegram se ha negado a proporcionar a las autoridades las claves de cifrado que utiliza para proteger las conversaciones almacenadas.

Según Rusia, obtener estas claves podrían utilizarse para combatir el terrorismo, ya se han dado casos en los que algunos autores de atentados han utilizado esta aplicación para comunicarse. Este caso es bastante parecido al existente entre Apple y las autoridades americanas, por eso mismo Pavel Durov, CEO de Telegram, al ver que la actualización de la aplicación había sido bloqueada acusó a Apple de haberse rendido ante el gobierno ruso y de no haberse puesto de su lado. Tras unos días de espera finalmente Apple ha liberado la actualización de Telegram dando la posibilidad a los usuarios de todo el mundo de obtener la versión 4.8.2.

Figura 1: Tweet de Pavel Durov agradeciendo a Apple la actualización de Telegram.

Esta actualización era de especial importancia para la compañía ya que la aplicación no cumplía con los nuevos requisitos de la Unión Europea respecto a la nueva ley de protección de datos, algo que podría haberse traducido en grandes sanciones y multas. Tras la liberación de la actualización Pavel Durov agradeció a Apple y en especial a Tim Cook que les permitiesen actualizar la aplicación. En esta nueva versión de la aplicación aparte de cumplir con la GDPR de la Unión Europea se han incorporado algunas funciones nuevas como el modo noche o la corrección de un fallo que hacía que algunos stickers no se pudiesen compartir correctamente. Sin duda un tema interesante del que os mantendremos informados con cualquier novedad.

Fue Noticia en seguridad Apple: del 23 de abril al 5 de mayo

Entramos en el mes de mayo y en Seguridad Apple no descansamos para traeros las mejores noticias en el ámbito de la seguridad informática relacionadas con el mundo de la manzana. Este es nuestro nuevo Fue Noticia, sección en la que os traemos un breve resumen de las noticias más relevantes de las últimas dos semanas. Todo ello aderezado con el mejor contenido de otros sitios de referencia. 

Comenzamos el lunes 23 avisándoos de que Rusia ha pedido a Apple que elimine Telegram de la App Store rusa para dificultar su uso en el país.

El martes 24 os contamos cómo funciona el programa de sustitución de baterías que ha lanzado Apple para solucionar posibles problemas con los MacBook Pro sin Touch Bar lanzados entre finales de 2016 y comienzos de 2017.

El miércoles 25 os presentamos OSX/Shlayer, un malware que se hace pasar por una actualización de Adobe Flash Player para infectar sistemas con adware.

El jueves 26 os hablamos del Trusthacking, una de las nuevas amenazas a las que se enfrentan los dispositivos iOS y de qué medidas ha tomado Apple para prevenirlo.

El viernes 27 os contamos como exportar usuarios y contraseñas desde Google Crhome a tu iPhone o Mac.

El sábado 28 os hablamos de XServer, los servidores desconocidos para rack de Apple, los cuales tuvieron una corta pero intensa vida.

El domingo cerramos la semana contándoos por que Apple ha caído dos puestos en el ranking de mejores marcas de ordenadores según la revista Best & Worst.

El lunes 30 os hablamos de las nuevas actualizaciones de seguridad lanzadas por Apple durante la semana pasada y de la actualización del navegador Safari a su versión 11.1.

El martes 1 os recordamos que ya está aquí la cuarta temporada de ElevenPaths Talks y os invitamos a participar en las siguientes sesiones.

El miércoles 2 os hablamos de la decisión tomada por Apple de finalizar la producción de estaciones base WiFi Airport ya que no han logrado alcanzar los beneficios esperados.

El jueves 3 os avisamos del lanzamiento de las Betas de iOS 11.4, tvOS 11.4 y WatchOS 4.3.1 actualizaciones que incorporan correcciones de errores y alguna leve mejora.

El viernes 4 os contamos cómo es posible utilizar el Touch ID para comandos sudo en el Terminal de vuestro MacBook Pro.

Finalmente, ayer sábado explicamos la influencia de Atari a la hora de crear los primeros ratones para el Apple Lisa y Macintosh.

Rusia pide a Apple que elimine Telegram de la AppStore

La aplicación de mensajería Telegram ha tenido, recientemente, algunos problemas con el gobierno ruso. Éste ha pedido a los desarrolladores del servicio de chat cifrado que entreguen las claves de cifrado al gobierno ruso. Telegram se negó a ello y un tribunal de Moscú falló en contra de Telegram, al considerar que no cumple con la legislación local. Esto ha permitido a Rusia bloquear el funcionamiento de la aplicación en el país. Ahora, Rusia le pide a Apple que retire Telegram de la AppStore de Rusia en un intento por hacer más difícil que los usuarios lo descarguen. 

Mientras que los usuarios de Telegram existentes pueden acceder al servicio mediante el uso de una VPN, el acceso normal al servicio se ha bloqueado mediante la restricciones de direccionamiento IP. Después del respaldo del tribunal para llevar a cabo la prohibición de la aplicación en el país, muchos creen que el gobierno ruso podría usar la prohibición de Telegram como precedente y dirigirse a otros servicios que también brindan cifrado de extremo a extremo a los usuarios, por ejemplo, iMessage o WhatsApp.  

Figura 1: Pavel Durov

Telegram, que fue fundada por un empresario ruso Pavel Durov, también ha tenido problemas en otras partes del mundo. Se le ha mirado con lupa desde diferentes gobiernos, por distintas cosas, y está bloqueada en otras partes del mundo como, por ejemplo, Pakistán. Sin duda, esta historia no ha finalizado y tendremos que ver cual es la posición que toma la gente de Apple.

Apple elimina Skype de la AppStore en China

Apple ha retirado la aplicación de Skype de la tienda de aplicaciones en China, tras una solicitud del Ministerio de Seguridad Pública de dicho país. Apple ha confirmado la acción al NY Times. Según informa el propio Apple, el Ministerio de Seguridad Pública ha notificado que varias aplicaciones de protocolo de voz por Internet no cumplen con las leyes locales, por lo que la empresa de Cupertino ha decidido aceptar la petición del gobierno Chino y ha eliminado la aplicación de la tienda en el país. Esto fue comentado el pasado martes, en un comunicado enviado por Apple. 

Por el momento, Skype continúa operando en el país, pero el documento indica que no está claro cuanto tiempo seguirá siendo así. El gobierno utiliza el llamado 'Gran Cortafuegos de China' para bloquear el acceso a ambos sitios web y a una serie de servicios de mensajería, incluido Gmail, Facebook, WhatsApp, Telegram o Twitter. Se cree que el gobierno bloquea las aplicaciones que utilizan el cifrado extremo a extremo, así como los servicios que no cumplen con las reglas del gobierno para identificar cuentas con los nombres completos de los usuarios. El gobierno chino también es hostil con las aplicaciones de mensajería extranjeras. 

Figura 1: iTunes muestra que el item no está disponible en China

Microsoft, propietaria de Skype, dijo que la aplicación fue eliminada temporalmente de la tienda de Apple y que la compañía estaba trabajando para restablecer la aplicación lo antes posible. El verano pasado Apple anunció que estaba abriendo un nuevo centro de datos en China para cumplir con las nuevas leyes que requieren las empresas extranjeras, para que los datos queden dentro del país. Para ello Apple se asocio con varias empresas locales, ¿Realizará la misma maniobra Microsoft?

Fue Noticia en Seguridad Apple: Del 23 de Noviembre al 6 de Diciembre

Estamos ya en Diciembre y la Navidad está a la vuelta de la esquina. Pero lejos de ser unos tiempos de paz y prosperidad, el mundo de la seguridad informática no se detiene nunca. En Seguridad Apple sí lo hacemos, pero solo por un momento, para ofreceros el resumen de las noticias publicadas en este blog durante las últimas dos semanas, así como un rápido vistazo a los contenidos más interesantes de otros sitios de referencia.

El lunes 23 de noviembre os hablamos de la posibilidad de introducir passwords con TouchID gracias a un nuevo Tweak para iOS9 denominado iTouchSecure, que permite ahorrar tiempo y evitar recordar contraseñas.

Al día siguiente os contamos las reticencias de las principales compañías del mercado digital, Apple, Google, Microsft, Twitter y Samsung, a debilitar los sistemas de cifrado de sus dispositivos y aplicaciones.

El miércoles os presentamos los nuevos ajustes de privacidad y seguridad incluidos en iOS 9, que permiten multitud de configuraciones y personalizaciones, siempre con la seguridad del usuario y su información como meta.

Un día después os explicamos cómo funciona el módulo rsh/libmalloc, una vulnerabilidad que afecta a sistemas OS X 10.10.5 permitiendo a un atacante realizar una escalada de privilegios mediante la modificación del fichero sudoers.

El viernes os anunciamos el comienzo del Cybercamp Madrid 2015, un evento orientado a la ciberseguridad organizado por Incibe en el que se dieron cita los principales profesionales del sector de la seguridad informática.

Comenzamos el fin de semana con la lista de los ganadores de los Premios Bitácoras 2015, en el que el blog Oficina de Seguridad del Internauta obtuvo el galardón a mejor blog de seguridad informática de 2015.

Cerramos el mes de Noviembre presentando un bug aparecido en sistemas OS X 10.11.1 que permite bypassear la confirmación de AppleScript  y la ejecución de código, siendo por tanto una vulnerabilidad crítica que pone en grave riesgo la seguridad de los usuarios.

Diciembre comenzó con la presentación de una técnica para desde una interfaz CLI ser capaz de listar los contactos de Telegram a partir de los metadatos que almacena la aplicación, lo cual supone un grave problema para la privacidad.

El miércoles 2 os explicamos cómo instalar MacOS "Classic" en una Raspberry Pi, un proceso nada sencillo que hacie uso de RetroPie, una herramienta de hardware emulado.

El jueves os presentamos la nueva versión del navegador Google Chrome, la 47, que además de nuevas funcionalidades pone punto y final a 41 vulnerabilidades, una de ellas crítica, que comprometían la seguridad de los usuarios.

Por último, el viernes hablamos sobre la cuota de usuarios que ya se habian pasado a iOS 9. Más del 70% de usuarios ya disponen del nuevo sistema operativo, mientras que la suma entre iOS 8 e iOS 9 ya supera el 92% de la cuota de usuarios de Apple en dispositivos móviles. Sin duda, son buenos números para ver cómo los usuarios van actualizando sus dispositivos, siempre que sea posible

Esto ha sido lo que hemos publicado, pero como ya tradición, os dejamos una lista de otros artículos en otros medios que creemos que merece la pena que leáis. Aquí van:

• El punto seguido que nuestro compañero Chema Alonso ha decidido poner. Podemos leer su artículo "No es un adiós, es un hasta luego".
•  El lenguaje de programación Swift de Apple es Open Source. Esto fue presentado en el evento de desarrolladores de 2014, y un año después ya la tenemos disponible y como Open Source. La licencia es Open Source Apache 2.0. 
• Los compañeros de Hackplayers publican un fallo en las VPN denominado Port-Fail. Este fallo permite mostrar las direcciones IP reales de los usuarios. Este fallo afecta a las VPN IPSec o PPTP que permiten port-forwarding. 
• Las viejas vulnerabilidades son como los vierjos rockeros, nunca mueren. Millones de Smart TV, teléfonos y routers en riesgo por viejas vulnerabilidades.

Y ahora sí se acabó esta sección por hoy. Volveremos a repasar toda la actualidad dentro de dos semanas y esperamos veros todos los días en los post diarios de Seguridad Apple.  

Telegram y la privacidad con tus contactos

El investigador Ola Flisbäck ha publicado una técnica en Github que permite desde una interfaz CLI listar rápidamente los metadatos de Telegram que pueden ser utilizados para identificar con quién estás hablando. A pesar de que todavía se necesita un poco de trabajo extra al uso de la herramienta para obtener el máximo de información, si la configuración de la aplicación de Telegram muestra cuando estuvo conectado por última vez, o también conocida como Last Seen, el atacante solamente necesita saber el número de teléfono para empezar a acceder a esta información, obteniendo con quién estás enviándote mensajes.

Tanto en Android como en iOS no se requiere que se acepte a alguien como contacto para poder monitorizarle o conocer información de él. Además, estas aplicaciones utilizan una notificación a todos los contactos cuando se utiliza o se deja de utilizar la aplicación, es decir, para a segundo plano según comenta Flisbäck. Haciendo uso de esta información, según comenta el propio investigador, hace que sea sencillo utilizar ésta para saber con quién se está hablando. 

Figura 1: Last Seen en iOS

Un atacante puede ver a la víctima y a otra como van pasando a estado background a medida que se envían mensajes de ida y vuelta. El enfoque parece funcionar especialmente bien si la víctima y el atacante tienen contactos mutuos. Esto permite que el malo pueda reducir la lista de posibles personas que participan en la conversación por ver quién está en línea o fuera de línea en un momento dado. Se recomienda deshabilitar la opción Last Seen que además permite que te espíen de otras muchas formas. Recordad que en este artículo tenéis todos los riesgos de privacidad con Telegram.

Wickr: Mensajería instantanea con seguridad militar en iOS

WhatsApp ha tenido un gran impacto en nuestras vidas y en nuestra forma de entender la mensajería instantánea, gracias al auge de los smartphones. En el mundo de los que quieren espiar WhatsApp también ha tenido un gran impacto debido a los problemas de seguridad, sobretodo referente a la privacidad. Es difícil comenzar un artículo de una herramienta de mensajería instantánea sin hablar de WhatsApp o Telegram, pero hoy queremos hablaros de Wickr, que es promocionada como la única aplicación de envío de mensajes para móviles con grado de seguridad militar. Su creadora es Nico Sell, fundadora de r00tz y una de las organizadoras de la DEFCON.

La comunicación es realizada utilizando un modelo entre pares (peer-to-peer) cifrados. No existen servidores centralizados, por lo que se evita, a priori, que los datos queden almacenados en servidores pertenecientes a la empresa. El identificador (ID) e información del dispositivo son hasheadas con varias iteraciones de SHA256 más un salt. Los datos que se almacenan en el dispositivo son cifrados con AES-256, pero además se dispone de una característica que es la destrucción de información.

Figura 1: Nico Sell hablando de Wickr

A los datos se les configura un TTL, Time To Live, con el que una vez pasado ese tiempo los datos son eliminados del dispositivo. Este borrado se hace de manera forense, también denominado wipping. Los mensajes también son cifrados en tránsito con AES-256, es decir, cuando el emisor envía un mensaje al receptor, la información viaja cifrada en todo momento.

Un dato muy importante es que la contraseña y los hashes de la contraseña no se alojan en el dispositivo. Las claves de cifrado se utilizan una única vez y son regeneradas en cada mensaje. Hemos podido probar la herramienta y nos ha parecido realmente interesante, por las capas de seguridad y privacidad que aporta.

Creación, configuración y uso de Wickr

Lo primero de todo es crear una cuenta, para ello solamente se debe utilizar un ID y una contraseña. El ID es importante, ya que posteriormente nos podrán buscar gracias él. Una vez creada la cuenta, se pedirá confirmación vía e-mail para validar la creación. Este e-mail se debe facilitar en un paso previo al mostrado en la imagen.

Figura 2: Creación del id de Wickr

En la parte de configuración  se dispone de las opciones configurables que se mencionaban anteriormente. Tanto en la parte de cuenta como de conexiones ID podemos configurar más emails o números de teléfono asociados a la cuenta. Cabe destacar el listado de bloqueos, a modo de lista negra que dispone la herramienta.

Figura 3: Configuración de la cuenta de Wickr

El apartado de Default Destruction permite configurar el TTL de los mensajes en el dispositivo. Esto no es novedad en este tipo de herramientas, pero es algo que sigue sorprendiendo a muchos usuarios, no involucrados en el mundo de la seguridad. Es importante tener presente de que esta característica no aportaría si los mensajes quedasen copiados en alguna otra ubicación, como por ejemplo un servidor intermedio. En teoría, y gracias al cifrado en tránsito, esto no ocurrirá, existiendo dos copias de los mensajes, una la tuya y otra la del receptor.

Figura 4: Configuración de la autodestrucción de mensajes

Cuando escribimos un mensaje a otro destinatario, se dispone de un área en el que se van almacenando los mensajes. En la imagen se puede visualizar un ejemplo de ello. Si se pulsa sobre el icono de la aplicación se obtienen otras funcionalidades para anexar archivos o realizar fotografías que pueden ser enviadas a través de la aplicación.

Figura 5: Envío de mensajes por Wickr con autodestrucción

Una vez que transcurre el TTL configurado en el dispositivo, podemos observar como se van eliminando los mensajes. En la imagen siguiente se puede observar este hecho.

Figura 6: El mensaje se autodestruye cuando se acaba el TTL

Tras probar la herramienta podemos decir que las funcionalidades que nos encontramos no son novedosas, aunque si hace hincapié en asignar un gran número de medidas de seguridad para asegurar la privacidad de los usuarios. Estas medidas están bien elegidas y los usuarios a los que les gusta el modo paranoico para proteger su privacidad le recomendamos su uso.

Telegram permite borrar un mensaje remotamente, ¿o no?

Esta semana hemos leído en The Next Web un artículo en el que se anuncia el aumento de privacidad de Telegram en iOS y Android para permitir eliminar remotamente un mensajes enviado a una persona. Esto se une a las opciones de enviar mensajes con autodestrucción en conversaciones normales o en chat privados en los que se usa criptografía extremo a extremo.

Figura 1: Artículo sobre privacidad en Telegram en TNW

Esto no obstante podría no ser tan efectivo como se piensa por varios motivos. En primer lugar porque siempre se podría tener una captura de pantalla, pero además existen herramientas como Telegram Anti-Delete Protection Tool que permite al destinatario guardar cualquier mensaje borrado, ya sea normal, en chat seguro o con autodestrucción.

Figura 2: Telegram Anti Delete Protection Tool

Esto quiere decir que sí, que la herramienta Telegram pone todas las herramientas que están a su alcance, pero la tecnología tiene unos límites que deben ser conocidos por el usuario para gestionar de la mejor forma posible su privacidad.