Nuevas técnicas y máscaras en 3D rompen la seguridad de un aeropuerto pero no pueden con el Face ID

Muchos de los usuarios de iPhone y iPad utilizamos a diario Face ID como medio de autenticación. Este método de seguridad es posiblemente uno de los más seguro que existen, a pesar de haber sufrido algún que otro intento de romperlo. Pues ahora ha aparecido un reciente estudio que no hace mas que reforzar la confianza en Face ID. En la revista Fortune nos hablan de un test realizado por una empresa de IA que fue capaz de engañar no sólo la seguridad de aeropuertos, sino también de alguno métodos de pago pero que no ha podido con el Face ID de Apple.

En concreto, las aplicaciones de pago que han podido superar sus controles de seguridad utilizando estas máscaras han sido AliPay y WeChat. Para los aeropuertos ha sido incluso más fácil, ya que sólo fue suficiente utilizar una fotografía de la persona. La empresa encargada de dicha prueba se llama Kneron, y el procedimiento consistía en ir a diferentes lugares públicos (como por ejemplo algunas tiendas en Asia donde el reconocimiento facial está muy extendido) e intentar superar los controles de seguridad, tanto de pago como de identificación.

Figura 1. Ejemplo de máscara 3D utilizada en las pruebas. Fuente.

El que se haya podido superar la identificación de una persona para gestionar implica que es posible realizar compras y cualquier otro tipo de gestión importante (por ejemplo, alguna bancaria) utilizando sobre todo alguna de estas máscaras en 3D. Además, realizaron también unas pruebas en diferentes medios de transporte (como aeropuertos o un algunas estaciones de metro o tren en China) los cuales simplemente poniendo una foto delante de la cámara reconocían al usuario y les permitía pagar (en el caso de los trenes) o simplemente acceder (como en el caso de los aeropuertos). 

Eso sí, conseguir una de estas sofisticadas máscaras 3D no es sencillo ni barato. Aunque desde luego, una persona que intente superar algunos de estos controles, el coste de la misma no será su principal problema. En definitiva, esta empresa ha demostrado que se puede superar el reconocimiento facial en diversas ubicaciones críticas que permiten tanto hacerse pasar por otra persona como realizar gestiones como por ejemplo, comprar. Eso sí, ninguna de estas pruebas pudo superar el control de seguridad de Face ID, igual estos sitios que han sido comprometidos deberían de revisar sus sistemas de seguridad y emular a los de la manzana.

Dentro de las instalaciones "top secret" dedicadas a llevar al límite los dispositivos de Apple

Muy cerca del nuevo y flamante Apple Park, sede de Apple, se encuentran otro tipo de instalaciones (sin un cartel que indiquen para qué son) las cuales se utilizan para "machacar" literalmente los componentes de algunos dispositivos Apple como el iPhone. Aquí se calientan, se enfrían, de golpean, se sumergen en agua, se intenta acceder a la información, etc. Son unas instalaciones muy seguras donde no es fácil acceder y su misión principal es sencilla: mantener la privacidad de los datos almacenados.

Dentro de estas instalaciones, los dispositivos se desmontan y los diferentes componentes se insertan dentro de cajas las cuales irán pasando todas las fases de pruebas (ver figura 1). El objetivo final es que estos chips las superen todas para de esta forma, comprobar si es posible o no recuperar la información que almacenan. Son la gran línea de defensa que tiene Apple para que su lema de mantener los datos privados del usuario sea una realidad.

Figura 1. Interior de uno de los laboratorios de pruebas "extremas" a los circuitos de sus productos. Fuente.

Los productos de Apple están construidos desde la base en estos principios para preservar la privacidad del usuario, en una especie de filosofía que llaman "privacy by design" (privacidad por diseño). Esto implica que cada fase tiene un proceso al más estilo SecDevOps centrado en los datos, los cuales tienen que estar seguros (básicamente por cifrado) en cada paso, siempre y cuando sea totalmente necesario obtener o procesar dicha información del usuario. Es decir, Apple aplica el principio de no obtener ni procesas ningún dato privado, a no ser que sea estrictamente necesario.

El "Secure Enclave" (en este enlace hay un PDF de Apple sobre la versión iOS) es el término que utilizan para definir todo su entorno, implementación (hardware), técnicas y procesos para asegurar la información del usuario. Este término se utilizó por primera vez con el iPhone5, donde el "Secure Enclave" empieza a tener una entidad especial, separada del resto del dispositivo totalmente protegido con por ejemplo, datos biométricos, claves, etc. Este concepto se hace realidad en con los chips diseñados por Apple, como por ejemplo el T2. Estos chips pasan mucho tiempo sufriendo este tipo de pruebas hasta que finalmente se instalan en un Apple Watch, un iPhone o un Mac Book.

Figura 2. Publicidad del chip T1 (Secure Enclave). Fuente.

Apple llama a estas instalaciones de pruebas o laboratorios de "health" and "fitness". La parte "health" (se llama así debido a los datos más críticos de un usuario, su datos médicos) simboliza a los datos del usuario y se encarga de poner en práctica toda la protección necesaria para mantener estos datos privados. La parte "fitness" es la que se encarga de la recolección de datos y su protección durante este proceso (data stream). Muchos empleados de Apple se enrolan de forma voluntaria dentro de estros procesos (totalmente anónimo) para probar los métodos con sus datos privados.

Figura 3. Cartel de Apple en el CES de Las Vegas. Fuente.

Más información sobre estos procesos de testeo así como alguna que otra entrevista, se pueden encontrar en el artículo original de Independent. Ya vimos como Apple sacó pecho sobre esta filosofía con la pancarta que colgaron en el CES de Las Vegas este año que decía "Lo que pasa en tu iPhone, se queda en tu iPhone" (figura 3).

Por qué está teniendo Apple tantos problemas de seguridad últimamente

Apple es hasta ahora, uno de las plataformas más seguras que existen. Pero debido a los problemas que está teniendo, no sólo con Sierra, sino también con iOS, esta imagen de plataforma segura se está dañando. En menos de un mes Apple ha tenido que reparar dos bugs críticos, el problema del root sin contraseña en macOS y en iOS el de una aplicación de terceros capaz de recuperar las contraseñas almacenadas en el keychain. ¿Qué está pasando?

En el caso del acceso root sin contraseña establecida, era un fallo tan grave que Apple sacó el parche en el mismo día de enterarse de su existencia. Esto es algo realmente impresionante para una empresa de este tamaño. Apple se disculpó ante los usuarios y dijeron que mejorarían la auditoría a los equipos de desarrollo para que este suceso tan grave no se volviera a repetir. 

Pero estos problemas de seguridad parece que no vienen solamente de este último mes. Durante 2017 han aparecido varios problemas en todas los productos Apple siendo el mes de mayo el que más problemas tuvo (66 vulnerabilidades en total). Luego en septiembre apareció otro problema, esta vez no de seguridad pero muy visible para el usuario. De repente al intentar escribir la letra "i" era la letra "A" la que aparecía. Este último ejemplo, aunque no sea de seguridad deja en evidencia la raiz del problema: según Wired, Apple tiene que mejorar las pruebas (test) de sus productos antes de sacarlos al mercado.

Figura 1. Algunas de las vulnerabilidades encontradas en Apple en mayo de 2017. Fuente.

Y es que Apple tiene que sacar productos nuevos cada 12 meses como máximo (ciclo en el que se presenta algún producto nuevo)  sin contar los productos que ya están en el mercado y que tiene también que actualizar. Los últimos problemas que hemos comentado tanto para macOS y iOS son un claro ejemplo que demuestra que a los equipos de QA parece que no tienen tiempo suficiente para testear o probar debidamente los productos antes de lanzarlos al mercado, poniéndolos en circulación demasiado pronto. Lejos quedan atrás aquellos días como cuando se lanzó el Apple OS X 10.6 Snow Leopard en 2009, uno de los lanzamientos más robustos de la compañía en el cual pusieron todo el esfuerzo posible para que saliera al mercado con el menor número de bugs posible. 

De hecho, en el mundo Apple es bastante habitual encontrar usuarios que mantienen una versión anterior del sistema operativo por su estabilidad, evitando actualizar a la última versión hasta que no ha pasado un tiempo razonable. De todas formas, como dijimos al principio, Apple es una de las empresas con los productos más seguros al mercado y seguro que pondrán más medios para las pruebas y más atención en el futuro a los nuevos productos que saquen al mercado en los próximos meses.