Apple asegura que su software "Keychain" permite a sus
usuarios guardar de forma segura sus contraseñas en sus Macs. Sin
embargo, los cibercriminales han probado lo contrario.
Una falla fundamental
encontrada en las Macs permite que una aplicación maliciosa tome las
contraseñas que tienes guardadas en el Keychain, o incluso desde otras
'apps'.
Con
esto tus contraseñas de iCloud, notas, fotos, correo electrónico, banca
en línea y redes sociales (es decir, todas) están expuestas a esta
vulnerabilidad. El profesor en ciencia computacional de la Universidad
de Indiana XiaoFeng Wang y su equipo de investigadores encontraron
varias maneras en las que esta aplicación podría entrar a otras 'apps'.
Los investigadores
encontraron que un software malicioso puede introducirse al
Keychain, borrar contraseñas antiguas y esperar a que las tengas que
volver a escribir. Cuando lo haces, entonces las toma.
También
encontraron un problema con la forma en la que Apple categoriza los
programa de Mac a través de una ID única conocida como BID. Por ejemplo,
los cibercriminales pueden asignar el BID de la aplicación de correo
electrónico a una pieza de malware y así entrar a muchos de los programas en los que confías.
El equipo de la
Universidad de Indiana analizó las 1,612 principales 'apps' de Mac y
encontró que 89% de ellas son susceptibles a este tipo de ataque.
Para comprobarlo, los investigadores introdujeron una 'app' maliciosa a la App Store de Apple para robar contraseñas. El malware estaba disfrazado como una aplicación de chistes llamada "Joke Everyday".
Apple en silencio
Apple no realizó
comentarios sobre esta falla el martes.
Sin embargo, una
persona con conocimiento sobre la forma de operar de Apple dijeron que
la firma está trabajando en una reestructura de cómo su sistema
operativo Mac OS X separa las aplicaciones. También comentaron que se
trata de un trabajo pesado, por lo que se necesitará que todos los
desarrolladores independiendes de la firma establezcan nuevas medidas de
seguridad y actualicen todas las 'apps'.
Arreglar el Keychain será todavía más
difícil, dijo esa persona. Apple también está mejorando el cómo revisa
los nuevos programas que llegan a su App Store.
El equipo
de investigadores dijo que compartió la información el martes luego de
que Apple tardara demasiado en arreglar el problema. Ellos notificaron
por primera vez a la firma en octubre. Apple hizo cambios a su sistema
operativo en enero, pero estos no arreglaron la falla.
"Esto es muy serio",
dijo Wang. "Si continúabamos en silencio, hubiera sido injusto para los
usuarios de Apple. Es muy probable que alguien ya conozca este tipo de
vulnerabilidad".
La política de Apple al encontrar virus dañinos consiste en
arreglarlos de manera silenciosa. A principios de este mes, CNNMoney
dijo que la forma en que la firma realiza actualizaciones de seguridad
necesita un cambio.
Wang dijo que esto podría haberse evitado si Apple se hubiera
comunicado mejor con los ingenieros que desarrollan de manera
independiente los programas de software para las Macs.
"Apple necesita
informar a los desarrolladores de las 'apps' sobre qué deben hacer. En
algunos casos, Apple falla en proveer una prueba de seguridad a estas
personas", dijo Wang.
El investigador y estudiante líder de la investigación, Luyi
Xing, dijo que Apple les contestó en un inicio, pero no comenzó a
trabajar con los analistas en seguridad –ni compartió su progreso– hasta
después de que hicieran público este reporte.
"Ahora nos mandan un par de correos
electrónicos al día", dijo Xing.
Una persona con conocimiento sobre las políticas de
seguridad de Apple dijo que ellos fueron tomados por sorpresa por la
repentina publicación de este reporte, luego de que la compañía se
estuviera comunicando con los investigadores.
"El problema
se habría solucionado si nos hubieran tomado más en serio, Ahora tienen
que hablar activamente con nosotros. Esto es más evidencia de que
debemos salir a la luz en algunos casos", dijo Wang.
Los investigadores podrían
pagar por su atrevimiento. Apple normalmente retira los permisos de
desarrolladores a quienes hablan sobre problemas de malware de
la empresa –aún cuando se trata de una investigación de seguridad. El
investigador Charlie Miller obtuvo una suspensión de un año de la App
Store en 2011 por esta misma razón.
Wang espera que Apple no haga lo mismo con su
equipo de seis personas.
"No creo que sería justo. Nuestra
intención es ayudar a Apple, de hecho encontramos más de lo que
compartimos. Existe otra vulnerabilidad que es bastante seria y no la
hemos comentado", dijo.
No hay comentarios:
Publicar un comentario