Archivar por abril, 2011

iPhone: Apple registra TODOS tus movimientos II

Share on Google+Share on FacebookTweet about this on Twitter

Sinceramente no tenía intención de crear una “segunda parte” a la entrada anteriormente anterior sobre que Apple te rastrea el iPhone, pero dado que una vez más la prensa intenta darle la vuelta a la tortilla y llenan la actualidad con noticias faltas de rigor y artículos de opinión poco explicados, prefiero dedicar unas palabras más sobre el asunto, y que sea el buen lector quien juzgue y saque sus propias conclusiones.

Como ya he dicho, toda la polémica ha saltado por el descubrimiento de un archivo sin codificar dentro de los iPhone con iOS4 (y en los equipos en los que se sincronizan) que contiene un listado con la ubicación geográfica del dispositivo asociada a fecha y hora, y otros datos. Una vez realizado el descubrimiento y comprobado que dicha información es intercambiada con Apple cada X tiempo (desde varias veces la hora hasta una vez a la semana o un incluso un mes) se abren un sin fin de preguntas que todo apunta que no serán nunca contestadas, algunas de las cuales incluso un Senador de EEUU ha remitido personalmente a Steve Jobs:

  • ¿Por qué se almacena un archivo en local con dicha información? ¿Si estos datos tienen algún valor para la empresa, no deberían de ser simplemente transmitidos por algún canal seguro?
  • ¿Por qué se almacena el archivo también en el equipo en el que se sincroniza el dispositivo?
  • ¿Cómo es posible que un archivo con dicha información no se encuentre cifrado?

Recordemos que la práctica de recopilar estadísticas anónimas es común a cualquier empresa, incluyendo Apple o Google, no es ningún secreto. Evidentemente, los mamotretos de las condiciones legales que nos hacen aceptar y que nadie lee tipifican antes o después este tipo de prácticas a las que damos consentimiento… ¿pero hasta que punto es legal dichas prácticas, aun cuando se aceptan dichos términos? O también podríamos pensar hasta que punto el párrafo que especifica iTunes sobre la geolocalización cubre la práctica realiza por Apple, sin contar que dicha advertencia tendría que estar en el propio dispositivo, no en un programa externo.

Pero como decimos esa era la noticia de hace unos días, y por supuesto como era de esperar Apple no ha contestado absolutamente nada. Incluso se ha creado una aplicación que mapea dicho archivo en un mapa, la dejo por aquí para el que quiera probarla:

iPhone Tracker

 

A raíz de la noticia los fanboys y defensores de Apple no han tardado en intentar defenderse como han podido. Algunos dicen que han comprobado que la información contenida no es exacta y posee un alto nivel de inexactitud por ejemplo, mientras que otros simplemente dicen que Google es la primera que realiza este tipo de prácticas. Incluso como digo, podemos leer artículos de nuestra propia prensa que sin dar más información dice simplemente que Google también realiza esta práctica:

Android también posee sistema de rastreo

 

Bueno, pues igualmente me gustaría dar respuesta a todas esas preguntas, y sinceramente no creo que haya que ser muy listo para ello. Para aquellos que dicen o aseguran que la precisión de la geolocalización contenida en el iPhone no es para nada exacta o que posee un índice de error muy alto, me gustaría explicarle dos cosas:

La primera es sencilla, por inexacta que fuese la localización, para mi incluso una imprecisión de 100 kilómetros sería una intromisión directa a la privacidad del usuario, y con cierta probabilidad incluso de poder identificar al usuario. Aseguran que el error es tan algo que de modo alguno es posible asociar dichos datos a una persona física concreta, desde mi punto de vista incluso teniendo un error de 100 kilómetros, los datos te estarían diciendo el horario que sigue esa persona, la zona que frecuenta, las costumbres… si dicha información no es importante, que el señor Jobs haga público su fichero, que de buen agrado me gustaría desgranar y comprobar si es imposible identificar a un usuario por dicho fichero.

En segundo lugar, que dicho archivo de coordenadas no sea exacto es evidente, no todo el mundo tiene activado en todo momento el GPS, sería un gasto de batería un tanto considerable. Tanto Apple como Google usan 3 sistemas para la geolocalización, cada uno de ellos más preciso que el anterior pero requiere de unas condiciones más rigurosas. El sistema más exacto es evidentemente el GPS, pero requiere estar activo y tener una visión del cielo más o menos aceptable, pero tiene un error muy bajo, a lo mejor de unos 5-10 metros. El segundo sistema en grado de proximidad sería la localización por WIFI, que se basa en examinar las redes WIFIs que estén en las proximidades y cotejar dichos BSSID/SSID con una base de datos de Apple/Google por medio de la conexión 3G, si dicha BD posee alguno de los puntos de accesos retransmitidos el servidor devuelve al dispositivo una ubicación aproximada que puede tener un error de unos 50 metros. Por último, el sistema de posicionamiento que se usa es el posicionamiento por GSM, que se basa simplemente en transmitir a los servidores de Apple/Google la torre GSM a la cual están transmitiendo, y este servidor devuelve la localización de dicha torre, con lo que el usuario debe de estar en rango, el problema es que la imprecisión de este sistema es mucho más elevada y puede ser de kilómetros.

No es que el fichero recopilado sea impreciso, es que dependerá del sistema de localización que en dicho momento se esté llevando a cabo, si se está usando el GPS casi con toda seguridad los datos serán exactos, si en otro momento se recopilan datos usando tan solo el posicionamiento GSM los datos tendrán un índice de error mucho mayor. Sinceramente no sé como nadie que en esta obviedad, y en cambio dan explicaciones tan peculiares como por ejemplo que el iPhone posee un fallo por el cual hace que el registro de estas coordenadas sea incorrecto. Por poder puede ser cualquier cosa, pero si sabemos como funcionan los sistemas de localización de estos dispositivos, creo que la solución más simples es la expuesta, y por consiguiente (según la navaja de occan) la correcta. Quien jamás use el GPS y tenga WIFI siempre desactivado, tendrá unos datos recopilados con un índice de error bastante grande, mientras que aquellos que no apaguen WIFI o usen GPS de forma habitual tendrán unos datos con una exactitud de metros. Es así de simple.

 

Por supuesto, no faltan los listillos y muchos otros que se dan prisa a asegurar que Google realiza la misma práctica con Android. Bueno, honestamente no puedo afirmar o negar si Google almacena en los terminales Android algún archivo similar (dudo mucho que lo haga), y para mí al menos no es algo nuevo que Android se comunique con los servidores de Google para transmitir la información que ahora parece una novedad. Según el artículo anterior y cito:

“En el caso de Google, según el análisis del WSJ, el teléfono HTC Android recopila información sobre la ubicación del usuario cada pocos segundos, y lo transmite a Google al menos varias veces cada hora. Además, transmite el nombre, la localización y la fortaleza de la señal de las redes Wi-Fi que pueda haber cerca”

Si alguien ha leído lo que expuse en los párrafos anteriores creo que dará por contestada la pregunta. No, no retransmite la ubicación en la que se encuentra. Sí, retransmite las redes WIFI que tiene al alcance y otros datos relacionados con ellas. ¿Por qué? Precisamente para el posicionamiento por WIFI, que en el caso de Android puede habilitarse o deshabilitarse si se desea, y que de nuevo en caso de Android, este advierte específicamente sobre esto cuando se activa la primera vez con una advertencia bastante clara y contundente, nada de un mamotreto de condiciones legales ilegible que aparece en un programa externo, como es el caso de Apple. Creo honestamente que hay una gran diferencia. Por supuesto, ni que decir tiene que Android que se sepa no guarda ningún archivo conocido en el dispositivo, que sería propenso a ser “robado” por terceras personas.

 

No es la primera vez que expreso mi disconformidad ante las burradas que se realizan con los datos privados de los usuarios. Entiendo que ciertos servicios para que funcionen correctamente o puedan mejorarse requieren de un modo u otro datos que se tratan en su mayoría de forma automatizada (palabra clave en todo este asunto). En el caso de la localización de Android, es cierto que Google podría almacenar dichos datos y usarlos para otros fines, pero nada nos hace pensar de ello. En cambio, el simple echo de que Apple almacene hasta dos copias diferentes de dichos datos nos pone cuanto menos en alerta.

Personalmente, para mí lo más preocupante de todos estos casos de uso indebido de datos privados es siempre la falta de claridad, como el análisis que hice en su día sobre las aplicaciones del AppStore frente a las del Market en tanto y cuanto información reportan estas aplicaciones a sus creadores. Puedo aceptar que un servicio necesite conocer cualquier dato de mi terminal, pero lo único que pido es primero la garantía de que dichos datos no serán usados para fines comerciales y segundo que se me advierta de ello y se requiera de mi consentimiento explícito. Si instalo una aplicación del Market, este me advierte de cada una de las partes a las que podrá acceder la aplicación, mientras que una aplicación dele AppStore no advierte de nada. Pues para mi lo quehace Market de Android es lo mínimo que se puede pedir, y es responsabilidad de los propios desarrolladores el advertir a los usuarios que se van a transmitir datos a otros servidores cuando se vaya a recopilar información anónima o independiente de la propia aplicación. Estas prácticas son abusivas y lamentables.

Hace tiempo, un lector aseguraba que él prefería un OS con el que no pudiese elegir, que se lo diesen todo dado sin posibilidad de nada más. Pues bien, lo siento, yo prefiero tener siempre el control de mi dispositivo, de mi hardware, de mi software y por supuesto de mis datos. Si una aplicación quiere reportar estadísticas de forma anónima que me lo pregunte y yo lo permitiré o lo denegaré. Si Apple o Google necesita conocer ciertos datos para poder ofrecer un mejor servicio, lo entenderé mejor o peor pero al menos que se me explique y en última instancia sea yo quien decida (Google lo hace así).

Como he dicho, solo puedo evaluar este tipo de prácticas como lamentables, y espero que un día puedan ser condenables.

iPhone: Apple registra TODOS tus movimientos

Share on Google+Share on FacebookTweet about this on Twitter

Y nunca mejor dicho.

Hace unos días se hicieron eco de un archivo encontrado en un dispositivo iPhone que contenía desde su primer día de uso un registro con la fecha, hora y geolocalización de dicho dispositivo, incluyendo además las direcciones MAC de los puntos de acceso usados para la geolocalización y otros datos. Dicho de una forma llana, el iPhone registra cada movimiento que haces y lo guarda en un archivo sin cifrar y al alcance de todos.

Ante tal hallazgo, comprobaron que no se trataba de una broma ni de un error, y que afectaba a todos los iPhone y posiblemente iPod/iPad. Esto ya de por sí puede ser algo inaudito, pero más inaudito fue cuando comprobaron que dicho archivo era enviado a Apple de forma habitual, incluso se guardaba en el propio PC cuando se sincronizaba con iTunes. Dicho archivo se encontraría en la siguiente ruta:

“/Library/Application Support/MobileSync/Backups/”

Hace ya un tiempo, Apple incluyó una cláusula en las condiciones legales de sus servicios en los que especificaba que Apple podría recolectar y usar datos de geolocalización de estos dispositivos, y creo recordar que incluso especificaba que podrían ser compartidos por terceros. El problema viene cuando el usuario realmente se entera que su dispositivo lleva meses o años registrando cada X todos los movimientos que realiza. Para demostrar este suceso, no han sido pocos los que han mapeado las coordenadas en un mapa en el que mostraban perfectamente los movimientos y las ubicaciones en las que dicha persona había estado en los últimos meses/años.

Simplemente me parece subrealista que se monte lo que se monte por StreetView de Google y ante esta salvajada prácticamente la prensa se quede muda. Digamos que con toda seguridad Apple posee una base de datos que contiene horas fechas y lugares en los que han estado sus iPhones!! El uso que quieran hacer con esta información es otro asunto. Pero para mi punto de vista incluso esto es el menor de los problemas. Para mi el mayor problema es que dicho archivo podría ser recuperado por una tercera persona. Aplicando por ejemplo el pequeño experimento publicado hace unos días, podríamos recuperar dicho archivo de los iPhone que considerásemos oportuno, y de dicho archivo podríamos inferir desde su domicilio, la ubicación de su trabajo/escuela, sus costumbres, la casa de sus padres/mujer/suegros/hermanos… básicamente el trabajo de días semanas o meses de un detective en tan solo unos segundos, con una precisión mucho mayor y de forma inequívoca además.

Por supuesto como es costumbre, Apple no se ha pronunciado al respecto. Posiblemente dentro de unos días hará un comunicado vago (si es que hace alguno, cosa que dudo) para decir que ha sido un error o cualquier otra excusa absurda de las que estamos acostumbrados. Una vez más, la culpa no es de Apple, es del usuario que confía en ellos y se cree a pies juntillas todo lo que puedan proclamar. Sinceramente, agradezco a Apple la porquería de su sistemas operativos, nos da trabajo a muchos, y les ahorra tiempo a otros. Detectives o Hackers pueden estar frotándose las manos, por no decir cualquier usuario con alguna cualidad de penetración de sistemas que sea un poco curioso 😉

¿Solución? De nuevo no la hay, para ello habría que deshabilitar completamente la geolocalización, tanto GPS como por WIFI, y rezar porque Apple quiera tomar cartas en el asunto, que como digo no son precisamente famosos por corregir fallos de seguridad a tiempo, menos para corregir problemas de privacidad que ellos mismos implementaron. Por supuesto, no es legal lo que ha hecho aun cuando en las condiciones legales de iTunes advierta sobre ello, y en EEUU ya se ha denunciado el suceso y la comisión encargada de este tipo de cuestiones ya ha pedido explicaciones a Apple. Recordemos que las cosas en EEUU suelen ser bastante diferentes a como se ven aquí. Por eso siempre he dicho que la mejor forma de saber que Google es de lo más respetuosa con sus usuarios de cara a la privacidad, es que teniendo en cuenta el volumen de datos que pueden tener de nosotros debido a los servicios que usamos, rara vez tiene problemas serios con las autoridades.

Ya veremos como queda la cosa, personalmente voy a “pedir prestado” un iPhone 4 para echarle un ojo personalmente a tal archivo/s.

Edito: El párrafo de iTunes que hace referencia al uso de estos datos es el siguiente:

“Apple and our partners and licensees may collect, use, and share precise location data, including the real-time geographic location of your Apple computer or device. This location data is collected anonymously in a form that does not personally identify you and is used by Apple and our partners and licensees to provide and improve location-based products and services. For example, we may share geographic location with application providers when you opt in to their location services.”

Traducido de forma simple dice que Apple y sus asociados pueden recolectar, usar y compartir datos de localización, incluyendo datos en tiempo real, ya sean del PC o del iPHone. También añade que los datos serían recolectados de forma anónima, lo cual es absurdo dado que sería francamente sencillo conocer nombres y apellidos de cualquier persona simplemente viendo las ubicaciones que visita dicho usuario.

Comienzan las andanzas para IPv6: ¿Telefónica usará NAT a nivel de ISP?

Share on Google+Share on FacebookTweet about this on Twitter

Primero darle las gracias al correo de un amigo de la red por indicarme la noticia, que sinceramente no había leído ni tenía constancia de ella.

Hace ya un par de meses que publiqué un pequeño artículo sobre el futuro que se avecina con IPv6, y parece que poco a poco comienza a existir movimiento por parte de los ISP al respecto. Recordamos que la transición a IPv6 es obligatoria, no es algo que se debata o que pueda ser discutido!! La extenuación de las direcciones IPv4 es un hecho, la IANNA hace ya dos meses que las agotó, y solo es cuestión de tiempo que los RIR acaben con ellas también. Incluso contando con el mercado negro que ya existe para la compra/venta de direcciones IPv4, esto no hace sino alargar algo más lo inevitable, y es que nos guste o no, de aquí a 3 a 5 años como mucho la interoperatividad entre IPv4 <-> IPv6 tendrá que ser total, estoy seguro que antes de que acabe el año o para el año que viene, empezamos a ver ISP que asignan directamente direcciones IPv6 a sus clientes. De echo no les queda otra… ¿o sí?

La noticia expresaba un poco la hoja de ruta que tomará posiblemente Telefónica ante este “problema”, aunque más interesante ha sido el documento PDF al que se alude, en el que se explica perfectamente (desde un punto de vista empresarial) el problema, y la supuesta solución que podría implantar Telefónica temporalmente mientras la transición está en su punto más crítico.

Para quien quiera leerse el documento completo, lo tiene aquí:

Análisis de Telefónica frente a IPv6

 

Es interesante porque explica en parte el problema de la transición IPv6, y más interesante aun dado que expone el problema desde un punto de vista empresarial, que evidentemente es bastante diferente al punto de vista de un usuario. Dicho documento asegura que el cambio a IPv6 es realmente un problema en mayúsculas que supondrá inversiones muy elevadas para los propio ISP y que depende de una cantidad de factores sumamente grandes. Es un análisis un poco negativo y poco realista desde mi punto de vista.

Es evidente que tal y como se ha desarrollado internet en la última década es algo que no podría haberse imaginado en los 90, años en los que IPv6 ya estaba creado. Es evidente que aun quedan muchos flecos sueltos que hay que pulir para poder realizar este cambio de forma transparente y adecuada para el usuario, pero no olvidemos que el problema que se plantea hoy es simplemente una dejadez de los propios ISP. Es ahora y no antes, cuando las direcciones IPv4 se han acabado cuando comienzan las prisas, y es ahora cuando asegura Telefónica que es imposible tomar las medidas oportunas ANTES de que al propio ISP se le agoten las direcciones IPv4. Es lo que sucede cuando dejas todo al último momento. Desde hace años… muchos años existe infraestructura, tecnología, hardware y software compatible perfectamente con todo el stack de protocolos IPv6 e incluso sus muchos sistemas de interoperatividad. El documento hace referencia por ejemplo a un fallo en la pila IPv6 de MAC OS (que afecta a todas sus versiones) que se detectó hace dos años que hace que sea imposible en determinados casos resolver una dirección IPv6 en el servidor DNS si se realiza una petición para resolver un registro cname en dicho servidor. Es cierto que puede existir software que esté mal implementado, pero como demostré en dicho artículo pasado, prácticamente todo el software y hardware actual está preparado.

El artículo hace referencia también al problema que supone para los administradores de redes el poder localizar y solucionar problemas en la transición, y aunque es cierto que al estar presentes un conjunto mayor de protocolos (con lo que la complejidad aumenta) tampoco es algo que sea compliado de subsanar. Es cierto que cuando tienes que gestionar millones de usuarios como un ISP, el problema si puede ser un problema. Pero creo que es más miedo e incertidumbre que otra cosa. No olvidemos que ahora mismo en otras partes de mundo, hay ISP que ya asignan direccionese IPv6 y permiten una interoperatividad perfecta con las redes IPv4, totalmente transparente para el usuario.

Por todo ello la solución a la que llega Telefónica (o parece llegar) es usar NAT a nivel del ISP. Ya hemos hablado antes de NAT, pero para quien quiera recordar puede leer este artículo en el que se detalla perfectamente. Básicamente NAT es un traductor de direcciones IP, usado principalmente para compartir entre varios dispositivos la misma IP. Esto lo hacen prácticamente todas las puertas de enlace residenciales que tenemos, a partir de una IP púbica que nos asigna el ISP, damos acceso a internet a muchos dispositivos de nuestro hogar. Esto es posible por NAT. Así, todos nuestros dispositivos poseen una IP privada diferente, pero todos comparten la misma IP pública. El problema de NAT es evidente, hace que tengamos que recurrir a las redirecciones de puertos y otras técnicas para exponer un equipo concreto al exterior. En caso de nuestra red no nos importa mucho, al tener acceso a nuestro router, podemos modificar las redirecciones que deseemos y en paz.

¿Pero que pasaría si esto mismo lo usase el ISP? Imaginemos ahora que es el ISP quien por cada 100 personas concede tan solo una IPv4 pública, y da acceso a dichas 100 personas por medio de NAT. A nuestra puerta de enlace llegaría ahora no una IP pública, sino una IP privada (o una publica compartida). El problema al que estaríamos sometidos es el mismo que el tener NAT en nuestro propio router, solo que en esta ocasión no tendríamos acceso al router del ISP. ¿Que sucedería? Que sería imposible para cualquiera de esas 100 personas usar un enorme conjunto de servicios. Ninguna de esas 100 personas podría hospedar ningún servidor, sería inviable las llamadas VoIP, la mayoría de los túneles, programas P2P… ademas, recordemos que tan solo se disponen de 65535 puertos, no es lo mismo repartir estos 65535 entre una subred de 5 o 10 equipos que entre na subred de a lo mejor 100 equipos (o a saber de cuantos mas). Esto supondría posiblemente en cortes de conexiones bastante frecuentes en el momento que cualquier usuario que esté compartiendo la misma IP abusase un poco de los recursos. Y por supuesto, mejor ni hablar de los problemas de seguridad que podría tener el uso de un sistemas así.

¿Es necesario realizar esto por parte del ISP? No. Lo que sucede es que posiblemente dado que Telefónica no está preparada en modo alguno a afrontar la transición, puede darse el caso (y posiblemente se de) que no pueda hacer uso de IPv6 por infraestructura y tampoco pueda asignar nuevas direcciones IPv4, ¿con lo que entonces no podría captar nuevos clientes? Antes de que se de esta situación, lo que tiene pensado es economizar aun más las pocas direccionese IPv4 que les queda mientras que con prisas puedan poner en marcha en su propia red lo necesario para poder actuar correctamente con IPv6 e IPv4 simultáneamente… lo cual a lo mejor tarda un año o dos o tres… y de no actuar ahora de este modo en pocos meses se vería sin poder dar acceso a más clientes.

Se hubiese podido evitar? Si. Telefónica podría haber tenido esto previsto desde hacía mucho tiempo, y simplemente comenzar por ejemplo asignando direcciones IPv6 a nuevos clientes, y que sus propias infraestructuras realizasen las conexiones a las redes IPv4 de forma automática. Dado el documento de Telefónica, parece ser que el tiempo juega ahora en su contra y que no les queda otra que apretar el culo y apresurarse. Según se dice, Telefónica aplicaría esta nueva política SOLO a altas nuevas, posiblemente a partir de Junio/Julio de este mismo año. Es decir, para este verano es posible que todas las altas que se den en Telefónica puedan estar detrás de un dispositivo NAT, lo que automáticamente dará lugar a dolores de cabeza enormes para muchísimos usuarios. Personalmente no tengo este problema porque soy cliente ya bastante viejo de Telefónica, pero o aseguro algo… si por un casual tuviese que darme de alta nueva para acceso a Internet, sea cual sea el servicio que me ofrecen, jamás escogería un ISP que me hace NAT ellos mismos, sería como cortarme las alas.

Espero francamente que esta decisión al final se descarte y se puedan poner en marcha los sistemas de transición adecuados, o al menos que los demás ISP españoles tengan los deberes mejor hechos y no tengan pensado ni por asomo el realizar este tipo de parches, que aunque sean tan solo temporales, puede afectar a miles o millones de clientes durante años.

Proyecto: Búsqueda y Captura de iPhones/iPad. Lo simple que es “Hackear” unos millares de ellos (III)

Share on Google+Share on FacebookTweet about this on Twitter

Después de unos días recopilando datos, ya tenemos los resultados obtenidos. Recordemos que tan solo se han detectado aquellos dispositivos con iOS instalado (cualquier versión) que estuviesen conectados en dicho momento por 3G. Esto quiere decir que es tan solo una muestra de un total mayor. Cualquier iOS conectado por WIFI, fuera de cobertura, con 3G deshabilitado, apagados o sin planes de datos, no están aquí recogidos, que no quiere decir que no sean vulnerables.

También me gustaría indicar que por riguroso que haya intentado ser a la hora de escanear toda la red de datos móviles de los 4 operadores, es posible que haya podido pasar por alto cualquier rango IP de cualquiera de los operadores. No es fácil filtrar de una base de datos de cerca de 4GB todas y cada una de las IPs usadas por los operadores, ya sea por un error mío a la hora de crear los scripts necesarios o simplemente porque la base de datos usada (estaba actualizada dos días antes de comenzar el proceso) modificase/eliminase/añadiese nuevos registros.

Recordemos también que aquí nos referimos a dispositivo vulnerable a un dispositivo con iOS instalado (iPad/iPad 2, iPhone 3G/3GS/4) el cual está expuesto o a un acceso completo a los datos de dicho usuario (aplicaciones, mensajes, fotos, videos, agenda…) o expuestos a un control total del dispositivo (poder realizar llamadas, enviar SMS, geolocalización…). No voy a detallar la vulnerabilidad usada, pero os aseguro que no se trata ni mucho menos de un exploit zero-day, y que afecta por igual a TODAS las versiones de iOS, desde la 1.X hasta la actual 4.3.

Este es el resultado:

Antes que nada aclarar algunos datos. Primero la gráfica está en escala logarítmica por facilidad a la hora de visualizar los datos, no para dar la sensación de que los datos son mayores de lo que son. Por otro lado hay que aclarar algo sobre Yoigo, ya que a nadie le pasará desapercibido que tan solo hayan sido detectado 2 dispositivos, algo completamente irrisorio frente a los 25.786 de Movistar. Al margen de que es posible que me saltase algún bloque de IPs de Yoigo y de que ahora recuerde iPhone/iPad no ha sido jamás ofertado por Yoigo, recordemos que hasta hace muy poco Yoigo carecía de red propia, y todos sus clientes usaban hasta hace muy poco las redes de otros operadores, especialmente la de Movistar. A día de hoy es cierto que Yoigo ya dispone de red propia, pero la gran mayoría (la inmensa mayoría, casi todos) de usuarios continúa usando sin que lo sepan las redes de Movistar de datos. Los usuarios de Android se habrán dado cuenta de ello fácilmente cuando ven que al lado de las rallas de cobertura les aparecerá casi siempre una ‘R’ que significa que se está usando la itinerancia de datos. Por ahora, hasta al menos 2015 los clietes de Yoigo pueden continuar usando las redes de movistar de datos sin ningún coste, como si se tratase de la red propia.

Lo cierto es que se han detectado 40.941 dispositivos, de los cuales 1.460 dispositivos son vulnerables. Me hubiese gustado mostrar un pequeño ejemplo de como controlar un iPhone de forma remota, pero evidentemente no quiero tener problemas con la ley, y simplemente me he ceñido a un “ataque pasivo”. Parezcan muchos parezcan pocos, hablamos de un 3.6% de dispositivos vulnerables, usando como digo una vulnerabilidad/exploit que no es precisamente nueva, que a día de hoy afecta a TODAS las versiones de iOS. Sinceramente no se cuantos dispositivos iOS se usan en España o en el resto del mundo, pero las matemáticas son simples. Si ahora mismo existiesen unos 10.000.000 de dispositivos en el mundo, extrapolando los datos (y son completamente extrapolables en mayor o menor medida), nos dejaría unos 360.000 dispositivos a nuestro control. Un 3.6% no es un porcentaje muy elevado teniendo en cuenta que un exploit Zero-day puede alcanzar fácilmente un 80-100%, pero si es un porcentaje elevado si tenemos en cuenta su simpleza.

En contestación a algunas preguntas que se han realizado, el experimento constaba de dos partes, la detección y el control. La vulnerabilidad afecta al grado de control que podemos obtener de un dispositivo localizado y depende de ciertos factores, que en parte podrían ser evitados. No obstante, lo interesante de todo el experimento es sin duda alguna la detección. Sin conocimientos informáticos más o menos avanzados es imposible impedir que su dispositivo sea detectado. Vuelvo a repetir que la detección sería el primer paso ante cualquier posible vulnerabilidad que se supiese, si no hay detección no hay peligro. Podemos tener la llave que abre el mayor tesoro de todos los tiempos, que si no sabemos donde está dicho tesoro de poco nos va a servir la llave. En cambio si sabemos donde está el tesoro (aun sin tener la llave) podríamos intentar abrirlo de otros modos. Aquí suede lo mismo. La detección no se puede evitar (darle las gracias a Apple) de forma simple, así que mientras que el índice de dispositivos vulnerables no alcanzaría el 4%, los dispositivos detectados rozarían el 100%.

La pregunta interesante que se podrá hacer más de un usuario de iOS ahora es: ¿Habrá accedido alguien sin yo saberlo a mis datos? Y la respuesta es que es posible que sí, tanto de acceder como de eliminar información del dispositivo, como incluso usarlo para fines propios.

La segunda pregunta interesante que hacerse sería caer en el error de creer que la detección usada es completamente indiscriminada, que jamás se podría usar nada de lo expuesto para realizar un “ataque” dirigido contra una persona específicamente, que sepamos por ejemplo que tiene un dispositivo con iOS. Y la respuesta a tal pregunta sería que aunque es cierto que la detección aquí realizada ha sido completamente indiscriminada, se me ocurren más de una forma de realizar detecciones completamente dirigidas, lo cual hace de este tipo de ataques un arma en toda regla. O de lo contrario ¿Por qué os creéis que es tan importante este tipo de problemas? No es porque pueda tener acceso a la información de un usuario cualquiera que viva en cualquier parte del mundo, sino la posibilidad en un momento dado de acceder a los datos de una persona concreta, esté donde esté. Y este es un problema que creo se debería de tener en cuenta dada la proliferación de dispositivos portátiles. Los terminales móviles son usados cada día con mayor frecuencia para tareas que antes estaban solo al alcance de equipos tradicionales. El problema es que los equipos tradicionales como portátiles, netbooks, PCs… generalmente se encuentran siempre aislados de Internet gracias a Cortafuegos o dispositivos NAT, pero los dispositivos móviles, las conexiones 3G no es así, y nuestros dispositivos están completamente expuestos ante cualquier usuario que sea más listo que nosotros en dicho aspecto. Ante la falta de seguridad de algunos dispositivos móviles se une por tanto la gran cantidad que comenzamos a almacenar en ellos, ya no solo se trata de dispositivos para llamar o enviar SMS, sino para comunicarnos por mensajería instantánea, enviar/recibir correos tanto personales como relativos a nuestras empresas, fotos personales, documentos confidenciales… y todo ello expuesto a “cualquiera”.

Una vez más, me gustaría hacer la pequeña reflexión de si soy yo el exagerado y el que vivo en un mundo teórico que nada tiene que ver con la práctica, o son los usuarios los que por regla general no saben simplemente que es lo que sucede a su alrededor. Cada cual que saque sus propias conclusiones.

Un saludo y hasta la próxima 🙂

Curioso video sobre la evolución de los dispositivos móviles

Share on Google+Share on FacebookTweet about this on Twitter

Los chicos de Vodafone nos han dejado este curioso video, usando para la demostración proyección 3D cutting edge:

Volver a arriba

Sobre Mí

Cambiar a la versión para móviles

Creative Commons License
Alma Oscura por Theliel is licensed under a Creative Commons Reconocimiento-No comercial-Sin obras derivadas 3.0 Unported License.
Basado en el trabajo de blog.theliel.es.
Para otros permisos que puedan exceder el ámbito de esta licencia, contactar en blog.theliel.es/about/contactar.