Por qué los Mac son resistentes a Thunderspy, un ataque vía ThuderBolt que afecta a todos los PCs desde 2011

Recientemente un investigador de seguridad ha descubierto un fallo en la seguridad de los chips de Intel que controlan los puertos Thunderbolt que permite que un atacante con acceso físico a un ordenador pueda restablecer la contraseña del usuario y acceder a su contenido. Este error, que afecta a todos los PC, tiene un impacto mínimo o nulo en los ordenadores Mac y cabe que nos preguntemos por qué.

Una vulnerabilidad que se remonta a 2012

La vulnerabilidad que Björn Ruytenberg ha descubierto es, de hecho, una combinación de siete fallos de seguridad:

• Esquemas de verificación de firmware inadecuados.
• Débil esquema de autenticación de dispositivos.
• Uso de metadatos de dispositivos no autentificados.
• Ataque de downgrade usando compatibilidades antiguas.
• Uso de configuraciones de controladores no autentificados.
• Deficiencias de la interfaz SPI.
• Falta de seguridad de ThunderBolt en Bootcamp.

Con estos fallos un atacante, siempre que tenga acceso físico a un ordenador, puede llevar a cabo una intrusión que le daría acceso al ordenador saltándose la pantalla de bloqueo.

Aunque estas vulnerabilidades están presentes en los chips de Intel desde 2011, cada sistema operativo maneja la seguridad del dispositivo de forma diferente. Mientras los ordenadores Linux y Windows son vulnerables a este ataque, los ordenadores Mac salen prácticamente indemnes.

Tengo un Mac, ¿el ordenador es seguro?

La respuesta corta es que sí. El ordenador es totalmente inmune al ataque.

La respuesta larga, gracias a nuestro compañero Julio César Fernández de AppleCoding, es algo más compleja. En 2014 se descubrió un exploit que recibió el nombre de BadUSB. Se trataba de un PenDrive que, al conectarse a un ordenador, emulaba un teclado y conseguía inyectar instrucciones y comprometer la máquina. En ese momento los Mac ya eran invulnerables a este ataque y la razón de ello es que los Mac usan una herramienta para virtualizar la memoria a la que se tiene acceso vía DMA (Direct Memory Access) usando Thunderbolt. Gracias a esta virtualización se impide que se conozcan las direcciones de memoria reales del resto del equipo y que, por lo tanto, se pueda sobrescribir dicha memoria para lanzar el exploit.

Ahora, con Thunderspy, aunque el ataque en sí no logre tener éxito, la protección de la virtualización de la DMA queda comprometida. A nivel conceptual podríamos decir que utilizar en primer lugar Thunderspy "seguido" de un ataque mediante BadUSB lograría poder resetear la contraseña de un usuario, aunque la implementación técnica, que tendría que desarrollarse específicamente, tiene un escollo importantísimo: si el ordenador está bloqueado el ataque no puede tener éxito.

A poco que leamos sobre Thunderspy y BadUSB veremos que algunos medios dicen que los Mac son vulnerables y otros que no. En muy resumidas cuentas la situación es la siguiente: si el Mac no se encuentra desbloqueado en el momento de realizar el reseteo de la contraseña del usuario el ataque no tiene efecto. Por ello, aunque tácticamente se trate de una vulnerabilidad, su efecto real es cercano a cero, y todo gracias a las protecciones que Apple implementa en el sistema operativo. Por otra parte es cierto que resetear la contraseña de un usuario da acceso a mucha más información en un ordenador desbloqueado, como las contraseñas del llavero, por ejemplo.

Uso BootCamp en mi Mac, ¿cuál es la situación entonces?

Nos conviene tener presente que el fallo, de hecho, se encuentra en el puerto. El tema está, de forma resumida, en que el puerto tiene su propio sistema de seguridad y este ataque logra comprometer este sistema. A continuación, cuando el sistema operativo se comunica con dicho puerto, la vulnerabilidad del sistema depende de la confianza en la información recibida del puerto. El sistema operativo macOS, que trata al puerto como un dispositivo de no confianza es, por lo tanto, inmune al ataque gracias a la virtualización de la memoria.

¿Qué pasa entonces con BootCamp? Si en el momento de que se produzca el ataque el Mac tiene la sesión iniciada en BootCamp, aunque la sesión esté bloqueada con una contraseña, el ataque es capaz de desbloquear el ordenador.

Tal como ha expresado Apple en contestación al investigador que les ha informado de la vulnerabilidad, los equipos con macOS son resistentes al ataque:

Algunas de las características de seguridad del hardware que usted ha descrito solo están disponibles cuando los usuarios no ejecutan macOS. Si a los usuarios les preocupa alguno de los problemas de su investigación, les recomendamos que usen macOS.

Cabe destacar que la realización de esta clase de ataque, ya sea en un ordenador Mac o Windows, requiere que el responsable retire la tapa trasera del ordenador, conecte algunos cables y utilice otro ordenador para llevar a cabo el ataque. Dicho de otro modo, no es algo que pueda suceder si se deja el ordenador desatendido en una cafetería durante un par de minutos.

Visto lo visto, está claro que los muchos sistemas de seguridad que Apple implementa en sus equipos, tanto a nivel de hardware como el chip T2 o T1, tanto a nivel de software, hacen que los Mac sean resistentes a Thunderspy y a muchos otros ataques que han ido apareciendo a lo largo del tiempo.