Ivan Krstic: Ingeniero jefe de seguridad en Apple hablará sobre iOS 13 y macOS Catalina en la Black Hat 2019

Se acerca el mes de agosto y con él llega una de las conferencias más importantes para el mundo de la seguridad informática, la Black Hat. Este año se ha confirmado la asistencia de Ivan Krstic, jefe de ingeniería de seguridad y arquitectura de Apple. Ivan impartirá una charla de 50 minutos titulada “Detrás de las escenas de iOS y la seguridad en Mac” en la que abordará diversos temas y aclarará varias dudas acerca de las novedades de iOS 13 y macOS Catalina. El horario estipulado para esta ponencia es el 8 de agosto a las 12:10 PM. Si no puedes asistir al evento o seguirlo en directo no te preocupes, Black Hat publicará los videos de las sesiones en su página web.

Esta no será la primera vez que Ivan participe en este evento, también fue el encargado de representar a Apple en la Black Hat de 2016. Según uno de los adelantos publicado en la página web de Black Hat, Ivan se centrará en tres importantes cuestiones durante su intervención. La primera cuestión abordará el funcionamiento del chip T2, en segundo lugar hablará de la función y aplicaciones Find My para iOS 13 y macOS Catalina y por último abordará el tema de la integridad de la ejecución de código. Sin duda tres interesantes temas que han dado mucho que hablar durante los últimos meses.

Figura 1: Ivan Krstic en Black Hat 2016.

A continuación os dejamos la información publicada en la página web de Black Hat acerca de la sesión de Ivan Krstic:

“Vamos a discutir tres tópicos acerca de la seguridad en iOS y Mac con detalles sin precedentes, ofreciendo el primer debate sobre las nuevas tecnologías que incorporará iOS 13 y Mac. Echaremos un vistazo a como se implementan los códigos de autenticación Pointer Autthentication Code (PAC), también hablaremos de los permisos que se le conceden a las máquinas virtuales y de las tecnologías de protección de páginas que forman parte de la integridad en la estructura de iOS. 

Hablaremos de la secuencia de inicio en iOS Mac con el chip de seguridad T2 y explicaremos cómo funcionan algunos de los ataques y defensas clave en cada punto. 

La función Find My disponible en macOS Catalina e iOS 13 es una función que permite a los usuarios recibir ayuda de otros dispositivos Apple cercanos para encontrar sus Macs extraviados garantizando la protección de los mismos. Discutiremos nuestro eficiente sistema de diversificación de curvas elípticas que deriva claves públicas cortas no-enlazables del keypair de un usuario, y permite a los usuarios encontrar sus dispositivos sin conexión sin divulgar información sensible de Apple.”

Apple ha empezado a pagar por los exploits de iPhone

A pesar del valor que tienen los exploits en el mercado, muchos investigadores y hackers están avisando de estos fallos a la empresa californiana para poder aprovecharse de su programa de recompensas. En 2016 Apple anunció el comienzo de un programa de recompensas para aquellos que encontrasen fallos en los sistemas operativos de Apple, esto es un buen método para hacer que muchos investigadores reporten los fallos que descubren y que resultan de gran valor para la compañía. A pesar de este generoso programa (que ha llegado a recompensar con 200.000 dólares por algún bug) algunas empresas como GrayShift o Azimuth han logrado convertir los exploits de iOS en un negocio.

Desde hace dos años el número de reportes de fallos ha aumentado notablemente. Muchas compañías cuentan con programas de recompensas similares desde hace años, estos programas están diseñados para poder arreglar fallos en sus productos antes de que puedan suponer un problema para los usuarios o para la compañía. El investigador Adam Donefeld, que trabaja para la firma de ciberseguridad Zimperium, ha afirmado que tras descubrir varios bugs ha sido recompensado por ello, a pesar de no formar parte del primer grupo de investigadores que Apple invitó a participar en el programa cuando comenzó en 2016. Según Adam, recibió una llamada de un empleado de Apple que le invitaba a formar parte del programa y le avisó de que recibiría un pago por su ayuda.

Figura 1: Tweet de Ian Beer.

A pesar de que Apple esté incrementando el número de participantes en su programa de recompensas, este no parece que acabe de funcionar como debe. Varios investigadores han tenido quejas por retrasos en los pagos o porque finalmente no han recibido el dinero. Uno de los investigadores afectados ha sido el famoso hacker y trabajador de Google Project Zero Ian Beer, el cual aprovechó la Black Hat de este año para reclamar a Apple alrededor de 2.5 millones de dólares por los bugs descubiertos desde el lanzamiento del programa y poder donarlos a la organización Amnesty International.

Según los expertos de la Black Hat el Phishing es el mejor método de exfiltración de datos

Seguro que alguna vez te has preguntado cual es el camino más fácil que tienen los ciberdelincuentes para robar tus datos. Bien, según algunos de los mejores expertos en ciberseguridad el mejor método para hacerlo es el Phishing. Este ha sido el resultado del estudio realizado por Bitglass sobre la seguridad en un entorno empresarial publicado el pasado martes. Para la realización del estudio Bitglass encuestó a 129 hackers de la White Hat y Black Hat que acudieron a la conferencia Black Hat de 2017 celebrada en Las Vegas.

En Seguridad Apple ya os hemos hablado antes del Phishing, pero para los que no estén familiarizados con este término, Phishing se refiere a un tipo de ataque en el que los atacantes envían emails fraudulentos suplantando a una empresa que parecen una forma legítima de ponerse en contacto con ellos para solucionar un problema de seguridad o con tu cuenta. El objetivo del ataque es adquirir información personal o sensible de los usuarios (cuentas, contraseñas, datos bancarios…). El 59% de los encuestados afirmaron que el Phishing es el mejor método para exfiltrar o robar este tipo de datos. La razón de ello, según un artículo de la prensa (en el que se anunciaba la publicación del estudio) es que los ciberdelincuentes siempre serán capaces de explotar los errores cometidos por los humanos o su ignorancia. El segundo mejor método según los encuestados es el malware o ransomware.

“El Phishing y el malware son estafas que se hacen más potentes cuando llegan a la nube ya que los empleados suelen usarla para compartir información corporativa” dijo Mike Schuricht, vicepresidente de dirección de productos en Bitglass.

Figura 1: Mejores metodos de exfiltración de datos.

Otro tema que quisieron resaltar los encuestados fue la deficiente seguridad que ofrece la protección de dispositivos por medio del uso de contraseñas, reconocimiento facial y controles de acceso. De hecho el reconocimiento facial resulta ser hasta 6 veces menos seguro que el uso del lector de huellas, algo que puede ser una mala noticia para Apple y el nuevo iPhone X. A parte del reporte, los expertos identificaron algunas áreas de la seguridad que comúnmente se pasan por alto en las empresas. Según ellos el mayor punto ciego en la seguridad de una empresa se encuentra en los dispositivos no administrados, las aplicaciones y programas obsoletos, dispositivos móviles, datos almacenados en la nube y en una incorrecta gestión de servicios.

Fue Noticia en Seguridad Apple: del 31 de julio al 12 de agosto

Seguimos en verano y pesar del calor, seguimos trabajando para traeros las mejores noticias en el ámbito de la seguridad informática relacionadas con Apple. Este es nuestro nuevo Fue Noticia, sección en la que os traemos un breve resumen de las noticias más relevantes de las últimas dos semanas. Todo ello aderezado con el mejor contenido de otros sitios de referencia.

Comenzamos el lunes 31 de julio hablando de las vulnerabilidades de Apple Pay a dos ataques publicados en la Black Hat celebrada en USA, que ha puesto en el punto de mira de muchos investigadores al sistema de pago de Apple.

El martes, primer día de agosto, os hablamos sobre la sólida reputación sobre seguridad de los dispositivos Apple y el sistema operativo iOS, indicando que el mayor problema son los usuarios.

El miércoles día 2 anunciamos que Apple había liberado la versión beta de MacOS High Sierra, watchOS 4 y tvOS 11 así como las nuevas características que incluyen estas nuevas versiones.

El jueves día 3 nos hicimos eco las filtraciones sobre el nuevo iPhone 8 cuya fuente no tiene nada que ver con el dispositivo en sí mismo, sino con otro que será también muy popular, el HomePod. El análisis del firmware de este nuevo aparato de Apple es la fuente de esas filtraciones.

El viernes 4 de agosto hablamos de la nueva medida tomada por el gobierno Chino el cual ha obligado a Apple  a eliminar aplicaciones basadas en servicios VPN como ExpressVPN.

El sábado 5 de agosto hablamos de como Apple ha eliminado cientos de aplicaciones fraudulentas relacionadas con el comercio, dentro de la App Store.

El domingo día 6 explicamos cómo solucionar el problema que descarga de la batería en watchOS 4, el nuevo sistema operativo de los Apple Watch, aún en versión beta.

De vuelta a la semana laboral, el lunes 7 de agosto hablamos de Apple y el reto del mercado asiático, debido a la constante amenaza de ser rechazado debido a las estrictas regulaciones impuestas por el gobierno chino.

El martes día 8 nos hicimos eco del rumor que anuncia una posible publicación de un Jailbreak para iOS 10.3.2.

El miércoles día 9 avanzamos la charla de Eleven Paths sobre Seguridad Defensiva vs Seguridad Ofensiva, la cual se llevó a cabo el día 10 de Agosto.

El pasado jueves 10 de agosto hablamos sobre un nuevo leak que el HomePod de Apple ha provocado. En este caso nos centramos en lo que parece la nueva característica del flamante iPhone 8, o iPhone 7S que está por ver, llamada Face ID.

El viernes 11 de agosto publicamos la liberación de la nueva beta 5 de iOS 11. Está apunto de liberarse el nuevo sistema operativo de Apple llamado iOS 11 y se pueden ver las mejoras tanto de estabilidad como de seguridad que el nuevo sistema traerá.

El sábado 12 de agosto hablamos de una nueva característica que gustará a muchos usuarios para realizar sus pagos desde iPhone. Ya puedes utilizar Paypal desde tu sistema operativo iOS y poder garantizarte un pago seguro.

Hasta aquí la información del mundo Apple que como cada dos semanas os traemos a través de nuestro "Fue noticia". Desearos unas felices vacaciones a los que estáis en la playa o en la montaña y nos volvemos a encontrar en dos semanas.

iOS 10.3.3 liberado y parchea Broadpwn ¡Actualiza!

Apple liberó iOS 10.3.3 el pasado miércoles cerrando la vulnerabilidad crítica de BroadPwn, la cual fue conocida hace un tiempo. La actualización de iOS 10.3.3 protege contra el exploit de BroadPwn, del cual se darán más detalles en Black Hat USA. El fallo no se menciona en las notas de seguridad de Apple, el descubrimiento está acreditado a Nitay Artenstein, quién ayudó a encontrar el equivalente en Android y, como comentamos anteriormente, hablará de ello en Black Hat USA. Sin duda es una actualización importante. 

La calificación que tiene BroadPwn es de 9,8 sobre 10, por lo que se entiende que es una vulnerabilidad crítica y que puede afectar gravemente a la privacidad y seguridad de los usuarios. La versión 10.3.3 de iOS no dejaba de ser una versión de mantenimiento que se ha visto acelerada en una versión crítica para la seguridad del dispositivo. En principio, la versión solventaría problemas de estabilidad en ciertas partes del sistema o de aplicaciones de Apple, pero como vemos es más que una versión de mantenimiento. Es más, Apple ha aprovechado y ha solventado 47 fallos de seguridad en esta versión, por lo que es una versión crítica que se debe instalar. 

Figura 1: Vulnerabilidad de BroadPwn solventada en iOS 10.3.3

Esta versión puede ser la última actualización de iOS antes del, muy esperado, iOS 11 de otoño, el cual ya se encuentra en la segunda versión beta pública. De momento toca actualizar la versión de iOS para pasar un verano tranquilo, y en otoño veremos si tenemos nueva versión del sistema operativo iOS.

Broadpwn también podría afectar a tu iPhone

Los chips de la marca Broadcom para la WiFi que van embebidos en dispositivos Android e iOS son vulnerables a un fallo que podría permitir a un atacante ejecutar código en dichos dispositivos, sin necesidad de interacción por parte del usuario, lo cual lo hace más grave. El fallo no se ha descubierto ahora, ya que la gente de Project Zero ya lo verificó hace unos meses. El error fue descubierto por el investigador Nitay Artenstein y publicado como CVE-2017-9417. El investigador lo reportó en privado a Google, quien incluyó una solución para este problema en el boletín de seguridad de Android para este mes de julio. 

El investigador no ha publicado información sobre el error o la forma de explotarlo y está preparado para hacer una presentación sobre Broadpwn en la conferencia de seguridad Black Hat USA de este año que se celebra en Las Vegas. En los pocos detalles que se revelaron sobre el error, Artenstein dice que Broadpwn afecta a millones de dispositivos Android e iOS que utilizan chips de la marca Broadcom. El investigador apunta a la familia Broadcom BCM43xx de chips WiFi incluidos en una gama muy amplia de dispositivos. 

Figura 1: Black Hat USA 2017

Zhuowei Zhang, otro experto en materia de seguridad, ha invertido ingeniería inversa al parche de seguridad de Android para obtener más detalles sobre Broadpwn. Zhang dice que el error parece ser un heap overflow. Los usuarios de los dispositivos afectados, solo deben conectarse a redes de confianza y esperar a que los parches de seguridad estén listos. Esperaremos a ver la presentación en los próximos días del investigador en Black Hat USA para proporcionar más detalles.