Cuando Apple anunció que su nueva tecnología relacionada con su servicio iCloud de EE. UU. buscará material de pornografía infantil, se encontró con feroces críticas por las preocupaciones de que esa función  se pudiera usar para la vigilancia gubernamental. Ante la resistencia pública, Apple insistió en que su tecnología se podría considerar responsable.

En una entrevista con el Wall Street Journal, el vicepresidente de Apple, Craig Federighi, afirmó: "Los investigadores de seguridad pueden examinar constantemente lo que pasa en el software [del teléfono] de Apple. Así que, si de alguna manera se realizan cambios para ampliar el alcance de esto, de una forma que nos hayamos comprometido a no hacer, se puede verificar y detectar lo que ocurre".

Pero Apple ha demandado a una empresa que fabrica software para permitir que los investigadores de seguridad hagan exactamente eso.

En 2019, Apple presentó una demanda contra Corellium, que permite a los investigadores de seguridad probar dispositivos móviles de forma económica y sencilla emulando su software en vez de exigirles que accedan a los dispositivos físicos. El software, que también imita los dispositivos de Android, se puede utilizar para solucionar esos problemas.

En la demanda, Apple argumentó que Corellium había violado su copyright, que había permitido la venta de exploits de software utilizados para hackeos y que no debería existir. La start-up respondió alegando que su uso del código de Apple era un caso clásico de uso justificado y protegido. El juez se ha inclinado en gran medida hacia Corellium por ahora. Parte de este caso que duró dos años se resolvió la semana pasada, unos días después de que se hiciera pública la noticia de la tecnología CSAM de la empresa. 

El pasado lunes, Corellium anunció una subvención de 12.850 euros para un programa que se promociona específicamente como una forma de analizar iPhones bajo un microscopio y responsabilizar a Apple. El martes, Apple presentó una apelación continuando con la demanda.

En una entrevista con MIT Technology Review, el director de operaciones de Corellium, Matt Tait, afirmó que los comentarios de Federighi no coincidían con la realidad: "Decir eso es muy poco ético por parte de Apple. Hay mucho peso en esa declaración. IOS está diseñado de tal manera que resulta muy difícil inspeccionar los servicios del sistema".

"iOS está diseñado de tal manera que resulta muy difícil inspeccionar los servicios del sistema", Matt Tait, Corellium.

Matt Tait no es el único que cuestiona la posición de Apple. El director de tecnología del Observatorio de Internet de la Universidad de Stanford (EE. UU.) David Thiel, autor del libro Seguridad de las aplicaciones de iOS, afirma: "Apple exagera sobre la posibilidad de cualquier investigador de examinar el sistema en su conjunto". Thiel tuiteó que la empresa invierte mucho dinero para evitar justo lo que afirmaba que era posible.

Y añadió: "Se requiere un sistema complicado de exploits de alto nivel, binarios de origen dudoso y dispositivos obsoletos. Apple ha gastado grandes cantidades de dinero específicamente para impedir esto y dificultar ese tipo investigación".

Responsabilidad sobre la vigilancia

Si alguien quiere ver exactamente cómo funciona la nueva y compleja tecnología de Apple, no puede simplemente mirar dentro del sistema operativo del iPhone que acaba de comprar en la tienda. El enfoque de seguridad del "jardín vallado" de la compañía ha ayudado a resolver algunos problemas fundamentales, pero también significa que el teléfono está diseñado para mantener alejados a los visitantes, bienvenidos o no.

(En cambio, los teléfonos con el sistema Android son totalmentalmente diferentes. Si bien los iPhones son famosos por su bloqueo, todo lo que se necesita para desbloquear un Android es conectar un dispositivo USB, instalar herramientas de desarrollo y obtener el acceso root de nivel superior).

El enfoque de Apple significa que los investigadores quedan atrapados en una batalla interminable con la empresa para tratar de obtener el nivel de acceso que necesitan.

Sin embargo, hay algunas posibles formas en las que Apple y los investigadores de seguridad podrían verificar que ningún gobierno esté dando malos usos a las nuevas funciones de seguridad infantil de la empresa. Apple podría entregar el código para su revisión, aunque no es algo que haya dicho que vaya a hacer. Los investigadores también pueden intentar aplicar ingeniería inversa a la función de manera "estática", es decir, sin ejecutar los programas en un entorno real.

No obstante, en realidad, ninguno de esos métodos permite ver el código que se ejecuta en directo en un iPhone actualizado para ver cómo funciona. En cambio, todo todavía depende de la confianza no solo en que Apple está siendo abierto y honesto, sino también en que ha escrito el código sin errores o descuidos. 

Otra posibilidad sería otorgar acceso al sistema a los miembros del Programa de Investigación de Seguridad de los Dispositivos de Apple para comprobar las declaraciones de la empresa. Pero el grupo, según Thiel, está formado por investigadores externos de Apple y está sujeto a tantas reglas sobre lo que pueden decir o hacer que no necesariamente resolvería el problema de la confianza.

"Apple ha gastado mucho dinero intentando evitar que la gente pueda liberar sus teléfonos", David Thiel, Observatorio de Internet de la Universidad de Stanford.

Eso deja solo dos opciones. En primer lugar, los hackers pueden acceder al sistema de iPhones antiguos mediante la vulnerabilidad de día cero. Además de ser difícil y costoso, la maniobra se puede detener con un parche de seguridad. "Apple ha gastado mucho dinero para evitar que la gente pueda liberar sus teléfonos. Han contratado a personas expertas para hacerlo más difícil", explica Thiel. 

O un investigador podría usar un iPhone virtual para desactivar las funciones de seguridad de Apple. En la práctica, eso significa acudir a Corellium. También existen límites a lo que cualquier investigador de seguridad podrá observar, pero si Apple escanea cosas más allá de las fotos que se comparten en iCloud, un investigador también que podría detectarlo. 

Sin embargo, si algo que no sea material de pornografía infantil aparece en las bases de datos, sería invisible para los investigadores. Para abordar esa cuestión, Apple requerirá que dos organizaciones de protección infantil de distintas jurisdicciones tengan la misma imagen en sus bases de datos. Pero la empresa ofreció pocos detalles sobre cómo funcionaría, quién gestionaría las bases de datos, qué jurisdicciones estarían involucradas y cuáles serían las fuentes finales de la base de datos.

Dificultades reales

Thiel señala que el problema que Apple intenta resolver es real: "No es una preocupación teórica. No es algo que la gente mencione solo como una excusa para implementar la vigilancia. Es un problema real que está muy extendido y debe abordarse. La solución no es cómo deshacerse de este tipo de mecanismos. Se trata de hacerlos lo más impermeables posible a futuros abusos".

Pero Tait, de Corellium y antiguo especialista en seguridad de la información del servicio de inteligencia británico GCHQ, señala que Apple intenta seguir con su bloqueo y al mismo tiempo parecer transparente: "Apple está tratando de conseguir el pastel y comérselo también. Con su mano izquierda, dificultan el acceso al sistema y demandan a las empresas como Corellium para eliminar su existencia. Pero, con su mano derecha, dicen: 'Oh, hemos creado este sistema realmente complicado y resulta que algunas personas no confían en que Apple lo haya hecho honestamente, pero no pasa nada porque cualquier investigador de seguridad puede acceder y comprobarlo por sí mismo".

Y concluye: "Yo me quedo pensando: '¿Qué quiere decir con que se puede hacer esto?'. Apple ha diseñado su sistema para que nadie pueda hacerlo. La gente es capaz de hacer este tipo de cosas a pesar de eso, no gracias a eso".

Apple no ha respondido a una solicitud de comentarios.