iMessage no es tan seguro después de todo
Apple ha implementado una serie de defensas de corto y largo plazo a su protocolo de iMessage después de que varias vulnerabilidades fueron descubiertas por un equipo de investigadores de la Universidad Johns Hopkins.
Este ataque es diferente a la que los investigadores de la Universidad de Johns Hopkins han descubierto en marzo, ya que este permitió a un atacante descifrar fotos y videos enviados por iMessage.
El documento técnico informa sobre cómo otro método conocido como un «ataque de texto cifrado» les permitió descifrar retrospectivamente ciertos tipos de elementos útiles y datos adjuntos cuando el remitente o el receptor está todavía en línea.
El escenario requiere que el atacante intercepte los mensajes utilizando certificado TLS robados o por acceso a los servidores de Apple.
En general, nuestra determinación es que mientras que el protocolo de encriptación end-to-end de iMessage es una mejora sobre los sistemas que utilizan el cifrado de sólo tráfico de red (por ejemplo, Google Hangouts), los mensajes enviados a través de iMessage pueden no ser seguros contra adversarios sofisticados.
El equipo también descubrió que Apple no procesa las claves de cifrado a intervalos regulares, de la manera que lo hacen los protocolos de cifrado moderno como Signal y OTR. Esto significa que se puede utilizar el mismo ataque en los datos históricos de iMessage, que a menudo están respaldados hasta dentro de iCloud.
Los investigadores creen que el ataque también podría ser utilizado en otros protocolos que usan el mismo formato de cifrado, como característica de Handoff de Apple, que transfiere datos entre dispositivos a través de Bluetooth.
Apple fue notificado del asunto tan pronto como le fue posible (noviembre del 2015) y como resultado había parcheado el protocolo de iMessage en iOS 9.3 y OS X 10.11.4.
Sin embargo, la recomendación a largo plazo del equipo, es que Apple debe reemplazar el mecanismo de cifrado de iMessage con uno que elimina las debilidades en el mecanismo de distribución del protocolo base.
