El pasado jueves por la tarde Apple liberó macOS Big Sur. Un lanzamiento que muchos esperábamos con ganas y que corrimos a descargar desde el minuto cero. Ya en el proceso de descargas estas eran extremadamente lentas, llegando a indicar días para su completado. Pero eso no fue todo, un fallo en los servidores de Apple impedía que algunas apps arrancaran correctamente y se formularon teorías sobre la poca privacidad de Gatekeeper. Ahora la compañía despeja estas dudas de forma completa y nos ofrece una visión del estado actual y futuro de esta imprescindible protección de los Mac.
Gatekeeper y los OCSP
Hagamos un repaso muy, muy rápido de Gatekeeper. Todos los Mac vienen con un sistema de seguridad que comprueba que las apps que ejecutamos son seguras. Esta comprobación se basa en un pequeño certificado que viene incluido en la app y que "afirma" que Apple ha verificado la app cuando el desarrollador se la ha enviado y ha comprobado que todo está correcto, lo que recibe el nombre de notaría o notarización.
Lo que "afirme" el certificado está muy bien, pero el sistema debe comprobar que el mismo siga siendo valido y no haya sido revocado por motivos de seguridad, así que con la ejecución de cada app el sistema pregunta a los servidores OCSP (Online Certificate Status Protocol) por el estado del certificado. Si los servidores de Apple responden que sigue siendo válido, la app arranca sin más. Si los servidores informan de que ese certificado se ha revocado porque se ha descubierto alguna irregularidad en la app, el sistema bloquea la ejecución y nos sugiere que eliminemos la app para mantener la seguridad en nuestro Mac, un sistema de seguridad que evita que ejecutemos apps potencialmente inseguras.
Este es un sistema que conocemos desde hace tiempo y una parte muy importante y valorada de la seguridad de nuestros Mac. El tiempo de respuesta entre descubrir una irregularidad en una app y que el servidor OCSP lo refleje es muy bajo, por lo que la capacidad de Apple de informarnos sobre apps inseguras es muy alta. Esto evita que, tras descubrir un fallo de seguridad en cualquier app, esta siga ejecutándose o afectando a más usuarios a la espera de que nosotros, los usuarios, nos diéramos eventualmente cuenta de la situación.
Big Sur, la privacidad y la conexión no cifrada
Entonces, ¿por qué hablamos ahora de este sistema? Por Big Sur. Durante el lanzamiento de Big Sur los tiempos de descarga del sistema operativo eran enormes. Personalmente comprobé indicaciones de 7 u 8 horas para una descarga de 12GB. Una descarga que al día siguiente duró unos 7 minutos. Pero esto no fue todo. Durante el lanzamiento hubo alguna clase de error que impedía que las apps arrancaran en nuestros Mac.
Inicialmente pocos teníamos idea de lo que sucedía y rápidamente circuló por la web que la mejor opción para poder ejecutar apps sin esperar un par de minutos mientras botaban en el Dock era desconectar el Mac de la red. Ahora sabemos que un error en la configuración del servidor, en conjunción con otro error en una CDN, fue el responsable de la situación.
El viernes, Jeffry Paul, un investigador de seguridad, publicó un artículo que, aunque más tarde se ha demostrado "poco preciso", desató dudas sobre el sistema de Gatekeeper. En el artículo exponía que Apple sabía todas las apps que ejecutábamos y cuándo lo hacíamos gracias al sistema OCSP que hemos explicado más arriba. Además criticó a la compañía por utilizar una conexión no cifrada para enviar la consulta, exponiendo que cualquier persona podría "escuchar" estos envíos.
La respuesta de Apple y los planes de futuro
Hoy Apple ha respondido y ha aclarado la situación, además de exponer sus planes de futuro para Gatekeeper. Tal como se refleja en este documento de soporte Apple nunca ha vinculado la consulta de certificados con datos que pudieran identificarnos. También ha aclarado que nunca ha utilizado el proceso de notarización para saber qué apps ejecutamos y ha reiterado que el Apple ID o la identificación del equipo nunca han tenido nada que ver con estas comprobaciones de seguridad.
Además, Apple ha realizado y anunciado varios cambios. En un primer lugar, y de gran importancia, la compañía ha anunciado que con efecto inmediato ha dejado de recoger la IP de los equipos que conectan con el servidor OCSP. Además, a partir del año que viene implementará tres importantes medidas:
- Un nuevos sistema de cifrado para las consultas con el servidor OCSP.
- Mejores protecciones para que los servidores estén siempre operativos.
- Una actualización para poder desactivar todas estas protecciones.
Así, si algún usuario prefiere exponerse al riesgo de apps no comprobadas, podrá desactivar, bajo su responsabilidad, el sistema por completo. Antes de terminar, un breve apunte sobre el cifrado. Hubo bastante crítica contra Apple por utilizar conexiones HTTP (sin cifrar) para las consultas del OCSP, lo cierto es que así es como funcionan los OCSP en todo el mundo, ya que si se usara una conexión HTTPS cifrada se entraría en un loop infinito (sí, como el nombre de nuestro podcast). Se debería comprobar el HTTPS mediante el OCSP y para comprobar el OCSP debería usarse la comprobación de HTTPS y así sucesivamente.
En conclusión, el error en los servidores que mantienen el sistema Gatekeeper en marcha nos ha permitido saber más de este inteligente sistema de seguridad y nos ha llevado a conocer los planes de la compañía para llevarlo aún más allá. Puede que sea solo mi opinión personal, pero cuando Apple dice que respeta la privacidad no es una cuestión de marketing, es porque la respeta.
Ver 6 comentarios