Apple no es una empresa que se caracterice por su velocidad de reacción ante las amenazas de seguridad. Ya lo vimos con Flashback, el troyano que llegó a afectar a medio millón de ordenadores Mac. Y lo volvemos a ver en un agujero de seguridad de la tienda de aplicaciones para el iPhone y el iPad que la compañía ha tardado medio año en solucionar. Este fallo, que descubrió un investigador privado, permitiría a los cibercriminales realizar diversas acciones como robar contraseñas del usuario, cambiar aplicaciones gratuitas por aplicaciones de pago sin que la víctima se diera cuenta o acceder a una lista de las aplicaciones que ha instalado el propietario del dispositivo.
Según publica un desarrollador de Google llamado Elie Bursztein, los agujeros se encuentran en el modo en el que la aplicación de la tienda de apps del iPhone y el iPad se comunica con Apple. Algunos de estos procesos están basados en el estándar web y carecían del cifrado de seguridad HTTPS. Este cifrado se utiliza ya de manera casi completa en la banca online y cada vez en más páginas web como redes sociales (por ejemplo Facebook) o servicios en la red (correo electrónico como Gmail, almacenamiento en red como Dropbox).
La falta de este cifrado en algunos procesos clave permitía que el atacante pudiera interceptar la comunicación del usuario con la tienda de Apple. Para ello, era necesario que tanto el atacante como la víctima estuvieran conectados a la misma red (como por ejemplo en una red pública de un restaurante o una plaza) y que la víctima abriera la aplicación de la tienda de apps de su iPhone o iPad. Dentro de los posibles ataques, uno de lo más peligrosos era el que permitía robar la contraseña de Apple del usuario. Esto se realizaría introduciendo una falsa ventana que pide la contraseña de usuario cuando se accede a la aplicación.
Otro de los peligros de estos fallos de seguridad era el de cambiar la aplicación que la víctima quiere descargar de la app. Este cambio puede producirse incluso desde una aplicación gratuita a una de pago. La condición para que este ataque se produzca es más compleja, ya que el usuario debería decidir descargar una aplicación. Más grave es el ataque que permite lanzar una actualización falsa de una aplicación que el usuario tiene instalada y que en realidad esconde la app del atacante, que puede ser gratuita o de pago. Por último, el atacante podía llegar a acceder a una lista completa con todas las aplicaciones que el usuario tiene instaladas en su iPhone o iPad.
Lo cierto es que la lentitud con la que ha reaccionado Apple a este fallo de seguridad ha venido respaldada por la falta de ataques registrados que se aprovechen de esta vulnerabilidad. Aunque también es cierto que la compañía demostró esta misma lentitud con el troyano Flashback, que se aprovechaba de una vulnerabilidad que afectaba a sus equipos Mac y que ya conocía Apple tiempo antes de que el troyano llegara a infectar a medio millón de ordenadores con este sistema. Esta falta de rapidez es un problema que según el experto de seguridad de G Data Eddy Willems podría generar en el futuro más de un quebradero de cabeza a Apple. Y es que el carácter cerrado del sistema del iPhone y el iPad impide que las empresas de seguridad puedan lanzar sus propias soluciones, provocando que la compañía de la manzana sea el responsable último de la seguridad de la plataforma.
