Fue Noticia en seguridad Apple: del 16 al 30 de diciembre

Nos acercamos al final de diciembre y con el año nuevo a la vuelta de la esquina en Seguridad Apple no nos hemos cogido vacaciones para traeros algunas de las mejores noticias en el ámbito de la seguridad informática relacionadas con el mundo de la manzana. Este es nuestro nuevo Fue Noticia, sección en la que os traemos un breve resumen de las noticias más relevantes de las últimas dos semanas. Todo ello aderezado con el mejor contenido de otros sitios de referencia.

Comenzamos el martes 17 alertándoos de que una nueva actualización de seguridad lanzada por Apple podría acabar con miles de MacBook reacondicionados.

El miércoles 18 os contamos la increíble historia de cómo un iPhone ayudó a las autoridades a resolver el asesinato de un bombero de Florida.

El jueves 19 os hablamos de las nuevas técnicas y máscaras impresas en 3D que se están utilizando para romper la seguridad de algunos aeropuertos pero no lo han logrado con la seguridad de Face ID. 

El sábado 21 indagamos un poco más en la historia de Apple en este caso para recordar el Apple IIGS “Woz limited edition”, un ordenador deseado por todos los geeks.

El lunes 23 os avisamos de que la vuelta de Touch ID ya es casi un hecho tras revisar una de las últimas patentes registradas por cupertino.

El martes 24 os explicamos cuales han sido las principales novedades incorporadas en iOS 13.3 e iPadOS 13.3 y que correcciones de seguridad se han realizado.

El miércoles 25 aprovechamos para felicitaros las fiestas e indagamos un poco más en la historia de Apple para contaros las razones por las que Steve Wozniak se quedó sin navidades en el año 1977.

El viernes 27 os contamos cómo el responsable del blackmail a Apple en 2017 ha logrado eludir su entrada en prisión tras ser condenado a 2 años de cárcel.

El sábado 28 volvemos a adentrarnos en la historia de Apple en este caso para hablaros de "El Espiritu de Apple", un pequeño artículo escrito por Andy Hertzfeld a finales de 1988.

Hasta aquí el resumen de Seguridad Apple. Esperamos que estéis teniendo unas felices fiestas y que disfrutéis siempre del mundo Apple y de todo lo que ello depara.

La última actualización de Apple para varios de sus productos soluciona más de 50 vulnerabilidades de seguridad

Esta semana Apple ha publicado varias actualizaciones de seguridad que solucionan numerosas vulnerabilidades en una gran variedad de sus productos, como por ejemplo macOS (Catalina), iOS, iPadOS y Safari entre otros. Esto es una gran noticia ya que demuestra el interés de la marca de la manzana por mantener lo más seguro posible el software y por lo tanto, el hardware. Vamos a ver más en detalle en qué consisten estas actualizaciones de seguridad.

Comenzaremos por macOS Catalina, el cual ha sido el que más actualizaciones ha recibido. En concreto se han parcheado hasta 52 de estas vulnerabilidades. Hay que destacar que el componente que más actualizaciones ha recibido ha sido tcpdump, con un total de 32 de ellas. Por otro lado, también ha solucionado hasta 6 vulnerabilidades en OpenLDAP actualizando a la versión 2.4.28. También se han solucionado otras 4 vulnerabilidades del Kernel, Bluetooth, CUPS, FaceTime, etc.

Entre las diferentes vulnerabilidades que se han solucionado podemos encontrar desde ejecución arbitraria de código hasta elevación de privilegios del Kernel, denegaciones de servicio así como posibles fugas de información personal del usuario. Como podemos ver, no han sido actualizaciones simples, sino que han solucionado problemas realmente graves. Catalina ha sido el que más actualizaciones ha recibido pero macOS High Sierra 10.13..6 y macOS Mojave 10.14.6 también se han actualizado con algunas soluciones a vulnerabilidades.

Figura 1. Listado de algunas vulnerabilidades mostradas en la web de Apple. Fuente.

Por otro lado, en iOS y iPadOS se han aplicado un total de 14 soluciones a diferentes vulnerabilidades, entre ellas una que afectaba a FaceTime que permitía ejecutar código arbitrario reportada por Natalie Silvanovich de Google Projet Zero. El resto de actualizaciones se aplican a iOS 13.3 y iPadOS 13.3 las cuales afectan a los iPhone 6s y posteriores, iPad Air 2 y posteriores, iPad mini 4 y posteriores, etc. Estas actualizaciones solucionan problemas detectados en Callkit, FaceTime, Kernel, Photos, etc.

El sistema operativo del Apple Watch, en su versión watchOS 6.1.1 (para la Serie 1 y posterior) también ha recibido su dosis de actualizaciones. En concreto 10 que afectaban a CallKit, CFNetworks, Facetime, WebKit, etc. Por otro lado, tvOS en su versión 13.3 ha recibido hasta 11 actualizaciones que solucionan varios problemas de seguridad. Finalmente, Safari se ha actualizado a la versión 13.0.4 la cual soluciona 2 vulnerabilidades detectadas en WebKit que permitían ejecución arbitraria de código. Xcode también se ha actualizado a la versión 11.3 solucionando algunos otros problemas.

Más información en la página web de soporte de Apple.

Empleado de un Apple store despedido por enviarse una foto de una clienta al reparar su iPhone

Uno de los trabajadores de una tienda Apple ha sido despedido tras enviarse a si mismo una foto íntima de una clienta después de que esta dejara su iPhone en la tienda para reparar la pantalla. El empleado, cuyo nombre no se ha compartido accedió a la galería de fotos del iPhone de Gloria fuentes mientras el dispositivo se encontraba en la tienda Apple de Bakersfield, California. Fue cuando la señorita Fuentes llego a casa cuando descubrió que se había enviado la fotografía a un número que no le resultaba conocido desde su dispositivo.

“Lo abrí e instantáneamente quise llorar” escribió Gloria en un post de Facebook la semana pasada justo después del incidente “Este chico entró en mi galería y se envió una de mis fotografías extremadamente personales para mi novio. Esta fotografía era de hace un año por lo tanto ha tenido que estar buscando durante un rato… no soy capaz de expresar lo asqueada que me siento” 

Tras darse cuenta del incidente Gloria volvió a la tienda para enfrentarse al trabajador, el cual admitió que era su número pero que no sabía cómo se pudo haber enviado el mensaje. Evidentemente también se lo explico al jefe de la tienda. Tras darse a conocer este incidente Apple no tardó en tomar medidas y avisar de que tras una investigación interna se había determinado que el empleado actuó violando las normas de privacidad impuestas por la empresa para sus empleados. La empresa californiana añadió “Este individuo ya no está asociado a nuestra compañía. Estamos agradecidos al cliente por traer esta situación profundamente preocupante a nuestra atención”.

Figura 1: Parte del post publicado por Gloria Fuentes en su muro de Facebook.

“Le di mi teléfono al empleado y durante un rato estuvo jugando con él, realmente no le presté atención porque pensé que estaba haciendo su trabajo, buscando en la información de mi seguro o lo que sea. Me pidió mi código de acceso dos veces en ese plazo de tiempo.”

Fuentes dijo que le preocupaba que la tienda tuviera acceso a su teléfono antes de asistir a su cita para que le repararan la pantalla por eso mismo eliminó sus aplicaciones de redes sociales e información bancaria almacenada en el dispositivo pero olvidó eliminar las fotografías. La víctima de este incidente, Gloria, no ha dudado en compartir su historia en Facebook porque le preocupa que a otra gente pueda haberle pasado lo mismo. También ha avisado de que presentará cargos contra el ya ex-empleado de la compañía.

Ya está aquí Checkra1n, el primer jailbreak permanente basado en checkm8

Uno de los jailbreaks más esperados del año ya está aquí, esto es una buena noticia para toda la comunidad del jailbreak y para aquellos a los que les gusta acabar con las limitaciones que Apple impone en sus dispositivos. El jailbreak en cuestión es el conocido Checkra1n, se trata del primer jailbreak basado en el exploit checkm8, el que se hizo público hace unos meses. Este nuevo jailbreak llega de la mano de Luca Todesco y su equipo de desarrolladores. Con checkra1n podrás instalar Cydia y otros administradores de archivos con los que disfrutar de una gran variedad de aplicaciones no firmadas por Apple.

Gracias al soporte de inyección de tweaks los usuarios podrán disfrutar de sus tweaks favoritos en iOS 13 y personalizar varias características de su dispositivo. La llegada de checkra1n supone un lavado de cara para la comunidad del jailbreak y animará a numerosos desarrolladores a añadir soporte para iOS 13 en sus herramientas. Como checkm8 es una vulnerabilidad permanente Apple no podrá parchear el jailbreak en futuras actualizaciones (para poder hacerlo tendría que arreglar la memoria de arranque de todos los dispositivos afectados, algo imposible una vez que han abandonado la fábrica). Este jaillbreak es compatible con las versiones más nuevas de los sistemas operativos de Apple (iOS 13.2.x e iPadOS 13.2.x).

Figura 1: Checkra1n ejecutandose en un iPhone.

En cuanto a compatibilidad con dispositivos checkra1n es compatible con todos los modelos de iPhone comprendidos entre el iPhone 6 y el iPhone X y con los iPad comprendidos entre el iPad Air 2 y el iPad Pro de segunda generación (que son los que montan el chip A11 o versiones anteriores). Si quieres adquirir este jailbreak podrás hacerlo desde su página oficial, por el momento la herramienta está disponible únicamente para macOS pero no tardará mucho en salir su versión para Windows. En este caso en concreto es recomendable extremar precauciones a la hora de realizar la descarga debido a que hace un par de meses se descubrió una página fraudulenta que ofrecía la posibilidad de descargar este jailbreak antes de su lanzamiento y que acabó con la inyección de malware en miles de equipos por todo el mundo. Desde Seguridad Apple aprovechamos para recordaros que hacer jailbreak a vuestros dispositivos os ofrece grandes posibilidades de personalización a cambio de una pérdida importante de seguridad. 

Fue Noticia en seguridad Apple: del 28 de octubre al 10 de noviembre

Nos adentramos en el mes de noviembre y con la llegada del frio en Seguridad Apple seguimos trabajando para traeros algunas de las mejores noticias en el ámbito de la seguridad informática relacionadas con el mundo de la manzana. Este es nuestro nuevo Fue Noticia, sección en la que os traemos un breve resumen de las noticias más relevantes de las últimas dos semanas. Todo ello aderezado con el mejor contenido de otros sitios de referencia.

Comenzamos el lunes 28 analizando si los métodos de carga inalámbrica para nuestros dispositivos móviles merecen la pena desde el punto de vista de la seguridad.

El martes 29 os contamos que iOS 13.1.2 sigue causando problemas a los usuarios de iPhone y en qué consisten los mismos. 

El miércoles 30 os explicamos cómo es posible que 18 aplicaciones con malware se colaran en el Apple Store.

El jueves 31 os hablamos de los nuevos problemas surgidos en la batería de los iPhone e iPad tras la llegada de iOS 13.1.3.

El viernes 1 os contamos que el phishing ha golpeado duramente a la compañía de la manzana duran te el primer semestre del año.

El sábado 2 indagamos un poco más en la historia de Apple para hablaros del Apple IIe, una actualización inesperada del Apple II que arrasó en el mercado.

El domingo 3 os hablamos de los problemas que están causando un descenso de la velocidad de carga en los cargadores inalámbricos para dispositivos iOS. 

El martes 5 realizamos un análisis a fondo de iOS 13.2 y os hablamos de sus novedades y de que fallos de seguridad se han resuelto.

El miércoles 6 os alertamos de la importancia de actualizar Xcode a su versión 11.2, especialmente si eres un desrrollador.

El jueves 7 os hablamos del lanzamiento de iOS 13.2.1 una actualización con la que se ha solucionado un fallo que brickeaba el altavoz HomePod.

El viernes 8 os contamos cuales son las novedades incorporadas en MacOS Catalina 10.15.1 y que fallos han sido solucionados respecto a la version anterior.

Finalmente, ayer sábado volvimos a indagar en la historia de Apple para hablaros de la historia detrás de los originales diseños del Macintosh y de cómo surgieron.

Análisis en profundidad de iOS 13.2: Hay que actualizarlo

Ya está aquí iOS 13.2 y al parecer se trata de otra actualización de urgencia más. Apple no está pasando ni de lejos por su mejor momento, desde la llegada de iOS 13 ya son 5 las actualizaciones recibidas por el iPhone y todas ellas se han tratado de actualizaciones de urgencia en las que no se han solucionado algunos problemas importantes sino que se han introducido algunos nuevos. A pesar de las circunstancias en las que ha llegado esta actualización incorpora interesantes novedades. Actualmente iOS 13.2 está disponible para todos los modelos de iPhone comprendidos entre el 6s y el modelo más actual de la gama y para el iPod Touch de séptima generación.

Hace unos días os hablábamos de los problemas de cobertura y de batería que estaban experimentando los dispositivos con iOS 13.1.2 e iOS 13.1.3. Con la llegada de esta actualización no solo no se han solucionado estos problemas sino que han surgido otros nuevos. Uno de los más graves provoca el brickeo de Homepod, esto ocurre al utilizar la nueva versión de audiosOS que al conectarse a los altavoces rompe la conexión con Apple Music. Al intentar restaurar la conexión los Homepod quedan atrapados en un boot loop. Por suerte para los propietarios de Homepod Apple ya ha emitido un comunicado al respecto y ha retirado la actualización de AudioOS hasta que logre solucionarse el problema. Los problemas en las aplicaciones de e-mail y mensajes todavía persisten. 

Figura 1: Nuevos emojis introducidos en iOS 13.2.

Ahora que ya os hemos hablado de lo malo que nos trae iOS 13.2 es hora de hablar de sus novedades. Para empezar se ha añadido Deep Fusion para todas las variantes del iPhone 11, se ha cambiado la resolución de video de la aplicación de la cámara, se han añadido más de 70 emojis y soporte para los AirPods Pro. Homekit ha habilitado routers para controlar dispositivos domésticos conectados a internet y ha añadido a funcionalidad de Secure Video para encriptar los videos grabados por las cámaras de seguridad. En cuanto a Siri ahora puede leerte los mensajes a través de los AirPods y ha añadido nuevos ajustes de privacidad desde los que se puede borrar su historial de búsqueda y configurarla para que no almacene las interacciones que hagamos con ella.

Figura 2: Algunos de los fallos de WebKit resuentos en la actualización.

En cuanto a la seguridad, Apple ha publicado en su página web un listado en el que aparecen 26 de las vulnerabilidades resueltas en esta actualización, 14 de las cuales son relativas a WebKit. A continuación os hacemos un breve listado de algunos de los otros fallos solucionados:

• Se ha solucionado un fallo que no mostraba el teclado al utilizar la barra de búsqueda.                      
• Se ha solucionado un fallo que hacía que no funcionase la función de autocompletar en apps de terceros.                                                                                                                                               
• Se ha arreglado un problema que hacía que a veces no funcionase la opción de deslizar para volver al menú en el iPhone X.                                                                                                                 
• Se ha solucionado un problema que hacía que al recibir mensajes se mostrase el número de teléfono y no el nombre del contacto guardado.                                                                                     
• Se ha mejorado el funcionamiento de AssistiveTouch para activar App Switcher.                              
• Se ha resuelto un fallo que hacía que en algunas ocasiones las notas guardadas no apareciesen.             
• Se ha arreglado un fallo en la app de contactos que hacía que al acceder a ella se mostrase siempre el último contacto abierto.                                                                                                            
• Se ha solucionado un fallo que hacía que no se completasen correctamente los Backups desde la opción “Backup Now” de la aplicación de Ajustes. 

Ahora ya sabes cuales son todas las novedades que incorpora iOS 13.2, así que no esperes y actualiza tu dispositivo, ya que es importante tener el dispositivo actualizado siempre.

Nuevos problemas en iOS 13 afectan a la velocidad de la carga inalámbrica

El lanzamiento de iOS 13 ha sido uno de los lanzamientos más esperados de este año, sin embargo ha resultado ser uno de los lanzamientos más caóticos para la empresa californiana. Con varios bugs desde su lanzamiento, el sistema operativo ya ha recibido tres actualizaciones en menos de dos semanas y a pesar de ello todavía le quedan pequeños fallos y algunos aspectos por pulir. En el día de hoy os hablaremos de uno de los últimos problemas que han surgido con las últimas actualizaciones de iOS 13. El problema en cuestión afecta a todos los usuarios de iPhone e iOS 13 o versiones posteriores.

Un estudio realizado por ChargerLab ha revelado que Apple está reduciendo el rendimiento de los cargadores inalámbricos fabricados por otras empresas en los iPhones que corren iOS 13. Por el momento Apple no ha querido explicar que puede estar causando esta pérdida de rendimiento a los fabricantes, haciendo que varios clientes estén pagando de más por cargadores inalámbricos que no funcionan correctamente. Según el estudio llevado a cabo por ChargerLab se mostró que algunos cargadores de distintos fabricantes que garantizaban 7.5 W de carga debido a la actualización de iOS 13 solo podían operar a 5 W, lo que supone una pérdida del 30% de la velocidad de carga. Por ejemplo, un iPhone 11 ejecutando la primera versión de iOS 13 debería alcanzar el 80% de su carga en un periodo de 2 horas. Tras la actualización a iOS 13.1 se ha podido comprobar que utilizando el mismo cargador durante el mismo periodo de tiempo la carga solo ha ascendido hasta un 55%, una diferencia más que considerable. Tras la actualización a iOS 13.2 la perdida de rendimiento ha persistido y Apple todavía no ha dado una explicación oficial al respecto.

Figura 1: Estación de carga inalámbrica para iPhone y Apple Watch.

Según una fuente interna cualquier proveedor cuyos dispositivos sean completamente compatibles con las especificaciones del sistema de carga Qi contaran con los 7.5 W de carga, sin embargo la compañía no ha compartido cuales con esas especificaciones con los fabricantes haciendo que sus productos no puedan garantizar potencias de cargas superiores a 5 W. El problema en cuestión fue descubierto por el equipo de pruebas de ChargerLab, también pudo comprobar que los cargadores de algunas compañías como Belkin, Mophie o Anker funcionaban correctamente, esto se debe a que cumplen con la regulación de voltaje de frecuencia fija recomendada por Apple. Esta situación es bastante curiosa ya que Apple canceló su proyecto de carga inalámbrica (Airpower) durante el año pasado y no hay indicios de que planee el lanzamiento de una estación de carga inalámbrica ni nada similar.

El Phishing golpea duramente a Apple en este primer semestre de 2019

La conocida firma de seguridad Kaspersky Labs ha afirmado que durante el último año el número de ataques phishing dirigidos a dispositivos de Apple incluyendo iPhones y MacBooks ha crecido masivamente llegando a alcanzar la cifra de 1,6 millones de dispositivos afectados en el primer semestre de 2019. Según la firma de seguridad este crecimiento en el número de ataques se ha dado gracias a innovadores métodos de ingeniería social utilizados por los atacantes. Según los expertos los servicios de soporte de Apple y el gran volumen de dispositivos de la marca que hay en el mercado es lo que atrae a los cibercriminales y está afectando al crecimiento de este tipo de prácticas.

Según el estudio realizado por Kaspersky Labs el número de ataques de phishing sufridos en lo que va de año es aproximadamente un 9% mayor al de los ataques experimentados en todo el año pasado, esto se debe a las innovadoras técnicas de ingeniería social utilizadas por los criminales. A diferencia del phishing, el volumen de software malicioso que amenaza a los usuarios de macOS y iOS es mucho menor que el que afecta a los usuarios de Windows y Android. Por otro lado, el número de casos de páginas web falsas que utilizan la marca Apple para atraer a los usuarios a sitios fraudulentos ha aumentado significativamente en el primer periodo de 2019, alcanzando la exorbitante cifra de 1,6 millones. En el estudio también se ha llegado a la conclusión de que Brasil, La India y Francia son los países que encabezan la lista de países con mayor número de infecciones (reuniendo más del 50% de los casos).

“Aunque técnicamente este tipo de estafas no sea algo nuevo, creemos que suponen un riesgo mayor para los usuarios de Apple que el uso de técnicas similares para otras plataformas como Windows o Android. Esto se debe que el ecosistema alrededor de los Macs y otros dispositivos Apple es considerado más seguro por los usuarios y al pensar eso son menos cuidadosos cuando acceden a páginas fraudulentas” ha dicho Tatyana Sidorina, una de los investigadores de Kaspersky Labs.

Figura 1: Correo phishing alertando de que tu cuenta debe ser verificada.

Como han explicado los investigadores, los esquemas de fraude más utilizados son los diseñados para suplantar la interfaz de servicio iCloud. De esta manera, los ciberdelincuentes podrían robar los credenciales de Apple ID de los usuarios comprometidos. Los enlaces a estos servicios falsos suelen provenir de e-mails no deseados que se hacen pasar por correos electrónicos de soporte técnico. En ellos es común alertar al usuario de que si no accede al enlace proporcionado su cuenta podría ser bloqueada. Otro método de los más utilizados es el uso de páginas o correos que alertan al usuario de que su equipo puede estar viéndose comprometido por una amenaza evidentemente inexistente y que puede solucionarlo actualizando sus credenciales y datos bancarios. Según Kaspersky cerca del 40% de los casos de phishing del último año buscaban monetizar el ataque a parte de obtener los datos de las víctimas.

Safepost actualizado para iOS 13

Hoy podemos anunciar que después de un largo proceso de desarrollo ya tenemos la versión 1.1.0 de Safepost en la Apple Store. Esta versión acompaña a la 1.0.8 con una serie de novedades como el soporte para México, un proceso de login mejorado, nuevas animaciones y un modo oscuro para iOS 13, al igual que fallo de bugs incómodos y una refactorización interna para futuras versiones.

Sin entrar en todo el desarrollo interno de la aplicación, vamos a hablar un poco de todo lo que nos hemos podido beneficiar de iOS 13 adaptando ligeramente la aplicación. Y es que Apple ha añadido bastantes mejoras invisibles que hacen que nuestra app sea sustancialmente mejor con poco esfuerzo. 

Como hemos podido adelantar en otras entradas, en esta nueva versión del sistema operativo móvil de Apple da soporte para que las apps se adapten al nuevo modo oscuro del sistema. El proceso de desarrollo es sencillo, Apple recomienda usar colores semánticos (colores como labelColor o backgroundColor) para unificar la aplicación con el sistema, al igual que colores personalizados en el caso de necesitar colores únicos para la aplicación, de esta manera podemos colocar el color deseado para el aspecto claro y su contrapartida para el modo oscuro e iOS cambiará automáticamente entre ellos sin necesidad de escribir código. 

Figura 1. Storyboard en modo oscuro

Por otro lado, solo con compilar la aplicación para iOS 13, las presentaciones modales de la aplicación se transformarán al nuevo estilo del sistema operativo, aportando nuevas animaciones y la capacidad de descartar la vista con un gesto hacia abajo perfecto para pantallas grandes. Otro detalle a tener en cuenta es la reducción del tamaño de aplicación, gracias a la introducción de la estabilidad del ABI en Swift 5, la reducción del tamaño de algunos Frameworks y la optimización de los recursos de la interfaz la aplicación ha pasado de 15MB a 8MB. Esta es una gran mejora que agradecerán muchos usuarios, ya que verán como ganan bastante espacio en sus dispositivos a medida que se vayan actualizando sus aplicaciones. 

Y hasta aquí el repaso de las novedades de iOS 13 de cara a desarrolladores, hay muchas otras características interesantes como la librería CriptoKit para cifrar las comunicaciones, Sign In With Apple para autenticación y las mejoras en accesibilidad que estamos evaluando en adaptar para continuar mejorando la aplicación. Si tenéis curiosidad de probar la app, aquí tenéis el video y el enlace de descarga. 

Fue Noticia en seguridad Apple: del 2 al 13 de octubre

Comenzamos el mes de octubre y en Seguridad Apple continuamos trabajando para traeros algunas de las mejores noticias en el ámbito de la seguridad informática relacionadas con el mundo de la manzana. Este es nuestro nuevo Fue Noticia, sección en la que os traemos un breve resumen de las noticias más relevantes de las últimas dos semanas. Todo ello aderezado con el mejor contenido de otros sitios de referencia.

Comenzamos el jueves 3 avisándoos del lanzamiento de iOS 13.1.2 e iPadOS 13.1.2 y os explicamos que problemas de seguridad se han resuelto y que novedades incorporan estas actualizaciones.

El sábado 5 os hablamos del popular Macintosh SE y de un huevo de pascua oculto en su ROM, además fue el protagonista de una charla en la Navaja Negra.

El lunes 7 os contamos las novedades que trajeron iOS 13.1 e iPadOS 13.1 a pesar de que Apple tardase menos de 10 en sacar sus actualizaciones de ambos sistemas operativos.

El martes 8 os explicamos por que Apple no podrá parchear Checkm8, la vulnerabilidad que permite hacer jailbreak a todos los iPhone con chips anteriores al chip A12.

El miércoles 9 os presentamos MacOS Catalina 10.15 y os hablamos de que novedades nos ofrece desde el punto de vista de la seguridad (se han parcheado numerosas vulnerabilidades en el kernel de MacOS y en Webkit).

El jueves 10 os hablamos de las nuevas funciones de salud que incorporará Apple en sus dispositivos contando con el apoyo de las instituciones médicas estadounidenses.

El viernes 11 os contamos los últimos rumores acerca de cual será el aspecto del nuevo iPhone 12 que saldrá a la venta el próximo año.

Finalmente, ayer sábado os hablamos de MacsBug, el interruptor del programador de los Macintosh. Un botón, en muchas ocasiones físico, que ayudaba a facilitar la vida de los programadores en las décadas de los 80 y 90.

Se lanza iOS 13.1.2 e iPadOS 13.1.2 para seguir solucionando pequeños fallos en iOS 13

Apple ha lanzado iOS 13.1.2 para todos los modelos compatibles con la actualización, esta nueva actualización de seguridad llega tan solo unos días después del lanzamiento de la primera revisión de seguridad de iOS 13. Con el lanzamiento de iOS 13.1.1 e iPadOS 13.1.1 Apple solucionó un bug que estaba permitiendo a los teclados de terceros ganar acceso completo al dispositivo sin solicitar al usuario ninguna clase de permiso, también se aprovechó la actualización para solucionar fallos menores y añadir mejoras de rendimiento. A pesar de ello un desarrollador ha compartido un exploit que aparentemente persiste tras las actualizaciones y que abriría la posibilidad de realizar un jailbreak en los dispositivos que montan el chip Biónico A11. 

Según el registro de la actualización iOS 13.1.1 estaba enfocada a solucionar unos fallos que podían afectar a la función de restauración del dispositivo a través de un backup, la actualización también solucionaba un pequeño problema de exceso de consumo de la batería y un problema relativo a las sugerencias de Safari que se volvían a activar tras apagarlas. Por último la actualización solucionó un problema solo presente en los iPhone y que afectaba al reconocimiento de órdenes para Siri y la función de recordatorios que se veía afectada por problemas de sincronización. En cuanto al registro de cambios de iPadOS 13.1.1 se mencionaba la resolución de varios bugs y la realización de mejoras de rendimiento para los nuevos iPad. Pero sin duda el mayor de los cambios es el relativo al problema mencionado anteriormente con los teclados fabricados por terceros.

Figura 1: Actualización de iOS 13.1.2

Con la llegada de iOS 13.1.2 e iPadOS 13.1.2 se ha seguido trabajando en pulir pequeños detalles y solucionar algunos fallos menores, de hecho es sorprendente que Apple haya hecho dos actualizaciones de este tipo con tan poco tiempo de diferencia. Las novedades introducidas en iPadOS 13.1.2 e iOS 12.1.2 han sido la solución de un fallo en la cámara que mostraba la pantalla en negro y hacía necesario su reinicio, un fallo qué impedía que la linterna se encendiese en algunas ocasiones. También se ha solucionado un problema relacionado con la barra de progreso de iCloud Backup, que permanecía en pantalla tras realizar un backup exitoso, problemas asociados a la perdida de los datos de calibración de la pantalla, un fallo que hacía que no funcionasen los Shortcuts en Homepod y problemas a la hora de conectar los dispositivos al bluetooth del ciertos coches.

Fue Noticia en seguridad Apple: del 16 al 30 de septiembre

Comienza el otoño y en Seguridad Apple seguimos trabajando para traeros algunas de las mejores noticias en el ámbito de la seguridad informática relacionadas con el mundo de la manzana. Este es nuestro nuevo Fue Noticia, sección en la que os traemos un breve resumen de las noticias más relevantes de las últimas dos semanas. Todo ello aderezado con el mejor contenido de otros sitios de referencia.

Comenzamos el martes 17 avisándoos de que Apple ha dejado de firmar iOS 12.4 justo después de parchear un importante bug.

El miércoles 18 os contamos cómo iOS 13 notificará a sus usuarios cuando haya aplicaciones realizando acciones sospechosas.

El viernes 20 os enseñamos cómo podéis acceder a los contactos de un iPhone con iOS 13 saltándoos la pantalla de bloqueo.

El sábado 21 ahondamos un poco en la historia de Apple para contaros cómo Steve Wozniak gastó una broma con el ordenador “Zaltair” durante la presentación del Apple II.

El lunes 23 os contamos cuales son las mejoras de seguridad y privacidad incorporadas por iOS 13 y Android 10.

El martes 24 os hablamos del creciente mercado de los exploits para iOS y las razones de su gran crecimiento durante los últimos años.

El miércoles 25 os explicamos como un fallo en un programa de la empresa AVID ha dejado fuera de juego casi todos los MacBook Pro de Hollywood.

El jueves 26 os contamos la percepción que tiene una alta directiva de Apple acerca de las criptomonedas y del potencial de las mismas.

Finalmente, el sábado pasado hablamos sobre Joanna Hoffman, la mujer que no temía a Steve Jobs y su contribución al proyecto Macintosh.

Esto es toda la actualidad del mundo Apple por estas dos semanas. Seguiremos informando de todo lo que suceda en el mundo de la manzana mordida. 

El mercado de exploits para iOS no para de crecer con recompensas de hasta 2 millones de dólares por un Zero-day

No es la primera vez que en este blog os hablamos del creciente mercado de vulnerabilidades que está surgiendo en la red. Una de las principales empresas dedicadas a este pequeño nicho de mercado es Zerodium, la cual llega a ofrecer cantidades de hasta 2 millones de dólares por algunos exploits de iOS y ha incrementado su oferta hasta 2.5 millones por exploits para Android. Esto en parte se ha debido a que hace un tiempo iOS era un sistema operativo más hermético y que a medida que ha ido actualizándose han ido apareciendo numerosas nuevas vulnerabilidades mientras que Android ha ido incrementando su nivel de seguridad con cada actualización.

El mercado de los Zero-days está inundado de exploits enfocados a iOS, la mayoría de ellos se centran en Safari e iMessage. Debido a la popularidad obtenida por Apple durante la última década parece que numerosos investigadores están enfocando su trabajo por completo a la explotación de iOS. "Han destruido la seguridad de iOS, nos están reportando tantos exploits de iOS que estamos empezando a rechazar algunos de ellos." ha dicho el fundador de Zerodium Chaouki Bekrar. Crowdfense, otra empresa dedicada a la compraventa de exploits ha explicado a Vice que numerosos investigadores están intentando vender sus exploits pero que en muchas ocasiones son rechazados por no ser Zero-click exploits (aquellos capaces de hackear el dispositivo de una víctima sin tener acceso físico a él y sin tocar nada). Por otro lado, son numerosos los exploits que requieren que la víctima haga click en un link pero no se paga mucho por ellos.

Figura 1: Sistema de recompensas de Zerodium

El mes pasado Apple anunció que está aumentando su programa de recompensas y que en un futuro cercano pretende incluir en él a todas sus plataformas. Actualmente el fabricante californiano ofrece recompensas de hasta 1 millón de dólares por los Zero-days, la cual es la mayor recompensa jamás ofrecida por una compañía tecnológica del sector. A pesar de ello esta recompensa no puede competir con las ofrecidas por compañías como Zerodium o Crowdfense.

Otra de las razones por las que iOS se ha convertido en un software “más fácil” de hackear es debido a la fragmentación de Android. Un exploit que funciona en una versión concreta de Android podría no funcionar en determinados dispositivos. Por otro lado actualmente la mayoría de dispositivos que están corriendo iOS 12 o cualquier otra versión del sistema operativo son iPhone, iPad e iPod haciendo que un mismo exploit funcione en decenas de millones de dispositivos.

Las nuevas mejoras de seguridad y privacidad que incorporan iOS 13 y Android 10

Sin los sistemas operativos que los hacen funcionar tanto los iPhones como el resto de Smartphones no serían más que un bonito y caro pisapapeles. Este año tanto Android como iOS recibirán grandes e importantes actualizaciones. Aunque en el ámbito de la privacidad ya haya un claro ganador (iOS 13) ambos sistemas operativos vienen pisando fuerte con sus nuevas mejoras de seguridad. A continuación os explicamos brevemente en que consisten algunas de las novedades y mejoras de seguridad y privacidad incorporadas en esta nueva remesa de sistemas operativos.

Durante los últimos años Apple ha trabajado arduamente para mantener la información de sus usuarios a salvo, al contrario que Google, cuyo modelo de negocio se basa en parte a la publicidad personalizada basada en la información de los usuarios y sus búsquedas en el navegador. Durante la WWDC Apple explicó a los usuarios que pretendía ofrecerles un mayor control sobre los permisos de localización que solicitan algunas aplicaciones, además presentó un nuevo método para logarse en sitios web y servicios de manera anónima para no ser rastreado ni bombardeado con publicidad personalizada (Sign in with Apple).

Google también asegura estar apostando por la privacidad, el CEO de la compañía dijo en una entrevista al New York Times: “La privacidad no puede ser un bien de lujo solo para la gente que pueda permitírsela”. Con la llegada de Android 10 Google ha dado un gran paso en la dirección correcta ofreciendo a sus usuarios la posibilidad de gestionar la información que comparten con las aplicaciones que utilizan y de saber en qué ocasiones lo hacen.

Figura 1: Comparativa iOS 13 y Android 10

En cuanto a la seguridad por un lado tenemos a iOS 13, en el que se ha incrementado la seguridad especialmente en los apartados de IoT y de localización, ahora cada vez que una aplicación quiera acceder a tus datos recibirás una alerta con la que podrás decidir si proporcionar tu ubicación solo una vez o indefinidamente. También podrás aprovechar un nuevo método basado en balizamiento Bluetooth para encontrar tu iPhone perdido aunque este no tenga acceso a internet. En el campo de la domótica Apple ha incrementado su seguridad cifrando toda la información y videos utilizados por Homekit.

Android 10 también incluirá varias mejoras de seguridad entre las que entran la gestión de datos de localización en las aplicaciones que estén en segundo plano, un nuevo apartado dedicado a la privacidad en los ajustes de seguridad y la descarga e instalación de actualizaciones de seguridad automáticas a través del App Store. Pero sin duda la mayor ventaja con la que cuenta el sistema operativo Android se basa en el gran número de fabricantes que lo escogen como sistema operativo nativo, esto fortifica su seguridad a cierto modo ya que a pesar de utilizar el mismo SO no todos los dispositivos responderían de la misma forma frente a un ataque con malware.

Una forma de saltarse la pantalla de bloqueo en iOS 13

Los usuarios de iOS 13 deberán actualizar su firmware para parchear una vulnerabilidad que ha sido descubierta recientemente por el investigador Jose Rodriguez. El fallo en cuestión permite a cualquier usuario hacer un bypass al bloqueo del iPhone y acceder a los contactos. Este exploit afecta a aquellos dispositivos que dispongan de iOS 13, el nuevo sistema operativo de Apple que será lanzado durante este mes. Para llevar este “hack” a cabo es necesario responder a una llamada utilizando una de las opciones de Siri que permite responder a través de un mensaje de texto. Una vez que Siri se vuelve a activar la aplicación debería de cerrarse pero no sucede así. La aplicación de contactos se queda abierta permitiendo el acceso a los contactos del dispositivo.

Según Jose Rodriguez las versiones beta de iOS 13.1 ya no cuentan con este fallo, el nuevo sistema operativo será lanzado al público el 30 de septiembre. Aunque esta vulnerabilidad no sea algo bueno tampoco supone un problema mayor, sobre todo si la comparamos con un exploit que permitiese la inyección de malware, de hecho aprovechar una vulnerabilidad de este tipo para inyectar malware resulta muy complicado (casi imposible) ya que sería necesario acceso físico al dispositivo además de que la transición entre aplicaciones fuese bastante más lenta. Por suerte para los usuarios las consecuencias de este exploit se puede solucionar fácilmente instalando la actualización de iOS 13.1 o simplemente desactivando Siri cuando la pantalla este bloqueada desde el menú de preferencias (esta función viene activada por defecto).

Figura 1: Accediendo a los contactos a través de Siri

Durante los últimos meses Apple ha tenido que responder a una avalancha de reportes por fallos de seguridad que podían afectar potencialmente a sus clientes. En agosto el equipo de Project Zero descubrió un ataque web que tenía como principal objetivo el mercado chino. Los usuarios que visitaron los sitios web infectados fueron inyectados con spyware en sus dispositivos. Este malware era capaz de escapar del sandbox y engañar al kernel para acceder a la información de los iPhone. Tras esta mala racha y con la llegada de iOS 13 y sus nuevos dispositivos Apple pretende apostar por la seguridad y la privacidad de sus usuarios más que nunca, de hecho iOS 13 incorporará un montón de nuevas funciones de seguridad, si todavía no sabes en qué consisten en este post podrás descubrir algunas de ellas. 

Apple deja de firmar iOS 12.4 justo después de parchear el bug que permitía hacer jailbreak en iOS 12.4.1

Con iOS 13 listo para su lanzamiento Apple ha decidido dejar de firmar iOS 12.4. Esto ha sucedido apenas dos semanas después del lanzamiento de la última versión estable de iOS 12 y de solucionar el bug de iOS 12.4 que permitía la realización del jailbreak a dicha versión. Este movimiento es una de las prácticas habituales de Apple, cada vez que la empresa de la manzana presenta una nueva generación de dispositivos y su respectiva actualización de sistema operativo deja de firmar las versiones anteriores para poder garantizar la seguridad de sus usuarios y evitar que los nuevos dispositivos utilicen versiones antiguas de software.

Esta última actualización se ha debido en parte a que en iOS 12.4 se volvió a introducir una antigua vulnerabilidad conocida. En este caso el fallo de seguridad fue descubierto por los investigadores de Google Project Zero a principios de año. Poco después de la llegada de iOS 12.4 el investigador Pwn20wnd aprovecho este fallo en el software para trabajar en una nueva versión de Unc0ver jailbreak, el que ha sido uno de los primeros jailbreak en afectar directamente a la versión más actual del sistema operativo en ese momento.

Figura 1: Apple deja de firmar iOS 12.4

Cuando esto sucedió Pwn20wnd aseguró que era muy posible que este bug se estuviese utilizando con otros propósitos como la construcción de malware. Tras arreglar este bug de nuevo en iOS 12.4 y dejar de firmar esta versión de software Apple cierra la puerta al jailbreak, al downgrade y a los posibles ataques que aprovechen esa vulnerabilidad.

Fue Noticia en seguridad Apple: del 2 al 15 de septiembre

Con el final del verano a la vuelta de la esquina en Seguridad Apple seguimos trabajando para traeros algunas de las mejores noticias en el ámbito de la seguridad informática relacionadas con el mundo de la manzana. Este es nuestro nuevo Fue Noticia, sección en la que os traemos un breve resumen de las noticias más relevantes de las últimas dos semanas. Todo ello aderezado con el mejor contenido de otros sitios de referencia.

Comenzamos el martes 3 explicandoos como los investigadores de Google Project Zero han conseguido acceder a las fotos de un iPhone a través de iMessage.

El miércoles 4 comentamos nuestras reflexiones sobre la información publicada acerca del ataque publicado Google Project Zero que podría haber afectado a iOS, Android y Windows.

El jueves 5 os hablamos de las últimas novedades en el mundo del jailbreak, abordando temas acerca de iOS 13 y el chip A12(X). 

El viernes 6 os presentamos una patente de Apple que muestra cómo sería posible utilizar los patrones de la estructura de nuestra piel para desbloquear el Apple Watch series 6.

El sábado 7 os explicamos por qué vuestros ordenadores Apple vintage adquieren un tono amarillento con el paso de los años y cómo es posible restaurarlos para que luzcan como el primer día.

El lunes 9 os contamos cual ha sido la respuesta de Apple a Google acerca del incidente ocurrido con iOS durante la semana pasada.

El miércoles 11 aprovechamos para indagar en algunos detalles de los que Apple no compartió mucha información durante su keynote, entre ellos el chip U1 o las Apple tags.

El viernes 13 os hablamos de como la llegada del iPhone 11 podría impulsar la reapertura de la Apple Store de la quinta avenida en Nueva York.

Finalmente, el sábado se habló de MacMan o el iMac G3, un ordenador que salvó a Apple de la bancarrota y de paso revolucionó la industria del diseño de ordenadores. Interesante artículo que viene de nuestro hombre MacMan.

En unos días más resumen sobre la actualidad del mundo Apple y de las noticias que revolucionan a la manzana mordida. Su seguridad, sus noticias, su tecnología, todo ello en Seguridad Apple.

Apple responde a Google sobre el incidente en iOS publicado la semana pasada

Ya publicamos hace unos días que este incidente, detectado por Google Project Zero, daría mucho que hablar. Ahora es el turno de Apple, el cual ha respondido con un comunicado sobre el incidente que puso en jaque al sistema iOS durante años, intentando quitarle importancia. Vamos a analizar brevemente el comunicado para ver los puntos más importantes que destacan en el documento. Seguro que este no será el último capítulo que enfrenta a los dos gigantes, Apple y Google.

El comunicado, bastante escueto por cierto, de Apple se publicó el 6 de septiembre y en él intentan restarle importancia al incidente. Comienzan indicando que este estaba muy focalizado, es decir, no era un ataque en masa a todos los usuarios de iOS (ya comentamos que estaba centrado en usuarios de una zona muy determinada de China). Aún no sabemos qué páginas web fueron el catalizador principal del ataque para poder evaluar este hecho.

Figura 1. Comunicado oficial de Apple. Fuente.

Por otro lado, también se defiende diciendo que ellos ya parchearon todos los problemas hace meses, exactamente 10 días después de que Google les informara, y que también ha dado la falsa impresión que todavía estaba en vigor. De nuevo, también destacan que Google ha exagerado la magnitud de los dispositivos afectados y sus efectos, como por ejemplo la monitorización en tiempo real de las actividades del usuario. Por último, y posiblemente la más importante de todas, es que Apple desmiente que hubiera sido un ataque de dos años, tal y como indica el documento de Google Project Zero. Es más, incluso se defienden diciendo que ellos ya habían detectado previamente el ataque y por lo tanto cuando Google contactó con ellos, ya estaban trabajando en su resolución. Finalmente, reducen el ataque a un periodo de sólo dos meses.

Como podemos observar, existen muchas contradicciones entre ambas empresas a la hora de evaluar el impacto de este incidente. Probablemente este no será el último comunicado o artículo que veremos sobre este grave problema. Por ejemplo, falta constatar si también afectó o no a usuarios de Android o Windows también. Una cosa sí que es totalmente cierta. Tal y como comenta Chema Alonso en su blog, el ataque existió, independientemente del resto de detalles. Como ya dijimos en nuestro anterior artículo, lo que realmente importa es que Apple tome nota e intente evitar que vuelvan a ocurrir.

Novedades en el mundo del Jailbreak: iOS 12.4.1, el chip A12(X) e iOS 13

Durante estas últimas semanas ha habido unas cuantas novedades bastante relevantes para el mundo del jailbreak, si no estás al tanto de ellas o crees que se te ha podido escapar alguna has llegado al sitio indicado. A continuación os hablaremos de algunas de las últimas noticias que serán importantes para el futuro del jailbreak. Hace unos días Apple lanzó la versión 12.4.1 de iOS, una actualización que será la última de iOS 12 ya que la empresa californiana pretende lanzar al público iOS 13 durante la segunda semana de septiembre. Por el momento no se ha desarrollado ningún jailbreak para esta versión y con la inminente llegada de iOS 13 es muy posible que nunca llegue a lanzarse.

Por otro lado iOS 12.4 todavía está siendo firmado, algo que no sucederá durante mucho tiempo. Esto significa que no volverá a ser posible la realización de un downgrade para aquellos que estén corriendo iOS 12.4.1 o la beta de iOS 13. Si eres un entusiasta del jailbreak y utilizas un iPhone XS, XSMax, XR o un iPad Pro del 2018 debes saber que Pwn20wnd está trabajando activamente para acabar con las limitaciones del jailbreak en dispositivos con chip A12(X), el desarrollador no se ha dado por vencido y sigue esforzandose para hacer posible la instalación de Cydia en estos dispositivos facilitando así la instalación de Tweaks y otras herramientas.

Figura 1: Unc0ver jailbrek y Cydia.

Mientras todo el mundo centra su atención en iOS 12.4 y su jailbreak, Luca Todesco, el desarrollador de Yalu jailbreak ha logrado realizar un jailbreak en iOS 13 beta 8 (la última beta de iOS 13) con lo que ha demostrado que el jailbreak en iOS 13 es totalmente posible. Aunque esto sea una gran noticia para la comunidad del jailbreak es muy posible que el jailbreak de Luca Todesco nunca vea la luz ya que recientemente anunció su retirada en el lanzamiento de jailbreaks al público. Desde Seguridad Apple queremos recordaros que la realización de jailbreaks es una práctica que en algunos casos puede resultar peligrosa y dañina para nuestros dispositivos, ya que a pesar de la obtención de nuevas funcionalidades la seguridad del dispositivo puede verse seriamente comprometida.