Hablar de Backdoors en servicios cifrados vuelve a hacer las rondas después de que surgieron informes de que el gobierno del Reino Unido está tratando de obligar a Apple a abrir la oferta de copia de seguridad de dispositivos de extremo a extremo de iCloud (E2EE). Se dijo que los funcionarios se apoyaban en Apple para crear una “puerta trasera” en el servicio que permitiría a los actores estatales acceder a los datos en Clear.
El Reino Unido ha tenido poderes radicales para limitar el uso de las empresas de tecnología de un fuerte cifrado desde que aprobó una actualización de 2016 a los poderes de vigilancia estatal. Según los informes del Washington Post, los funcionarios del Reino Unido han utilizado la Ley de poderes de investigación (IPA) para colocar la demanda de Apple, buscando el acceso “general” a los datos que su servicio de Protección de Datos Advanced de ICloud (ADP) está diseñado para proteger el tercer lugar) Acceso a la fiesta, incluido Apple en sí.
La arquitectura técnica del servicio ADP de Apple se ha diseñado de tal manera que incluso el gigante tecnológico no posee claves de cifrado, gracias al uso del cifrado de extremo a extremo (E2EE), lo que permite a Apple prometer que tiene “conocimiento cero” de los datos de sus usuarios.
Una puerta trasera es un término típicamente implementado para describir una vulnerabilidad secreta insertada en código para eludir o socavar las medidas de seguridad para permitir a terceros. En el caso de iCloud, el orden permite que los agentes de inteligencia del Reino Unido o la aplicación de la ley obtengan acceso a los datos cifrados de los usuarios.
Si bien el gobierno del Reino Unido se niega rutinariamente a confirmar o negar informes de avisos emitidos bajo la IPA, los expertos en seguridad han advertido que tal orden secreta podría tener ramificaciones globales si el fabricante de iPhone se ve obligado a debilitar las protecciones de seguridad que ofrece a todos los usuarios, incluidos los ubicados. fuera del Reino Unido.
Una vez que existe una vulnerabilidad en el software, existe el riesgo de que pueda ser explotado por otros tipos de agentes, dicen los piratas informáticos y otros malos actores que desean obtener acceso para fines nefastos, como el robo de identidad, o adquirir y vender datos confidenciales, o o incluso para implementar ransomware.
Esto puede explicar por qué la redacción predominante utilizada en torno a los intentos impulsados por el estado de obtener acceso a E2EE es esta abstracción visual de una puerta trasera; pidiendo un vulnerabilidad ser intencionalmente Agregado al código hace que las compensaciones sean más claras.
Para usar un ejemplo: cuando se trata de puertas físicas, en edificios, paredes o similares, nunca se garantiza que solo el propietario o titular de la propiedad tendrá un uso exclusivo de ese punto de entrada.
Una vez que existe una apertura, crea un potencial de acceso: alguien podría obtener una copia de la llave, por ejemplo, o incluso forzar su camino rompiendo la puerta.
La conclusión: no existe una puerta perfectamente selectiva para dejar pasar solo una persona en particular. Si alguien puede entrar, se sigue lógicamente que alguien más podría usar la puerta también.
El mismo principio de riesgo de acceso se aplica a las vulnerabilidades agregadas al software (o, de hecho, hardware).
El concepto de Nobus (“Nadie más que nosotros”) ha sido flotado por los servicios de seguridad en el pasado. Este tipo específico de puerta trasera generalmente se basa en una evaluación de sus capacidades técnicas para explotar una vulnerabilidad particular que es superior a todos los demás, esencialmente una puerta trasera aparentemente más segura a la que solo puede acceder exclusivamente sus propios agentes.
Pero por muy naturaleza, la destreza y la capacidad de la tecnología es una hazaña móvil. Evaluar las capacidades técnicas de otros desconocidos tampoco es una ciencia exacta. El concepto “Nobus” se encuentra en suposiciones ya cuestionables; Cualquier acceso de terceros crea el riesgo de abrir nuevos vectores para el ataque, como técnicas de ingeniería social destinadas a atacar a la persona con el acceso “autorizado”.
Como era de esperar, muchos expertos en seguridad descartan a Nobus como una idea fundamentalmente defectuosa. En pocas palabras, cualquier acceso crea riesgo; Por lo tanto, presionar por las puertas traseras es antitético a la fuerte seguridad.
Sin embargo, independientemente de estas preocupaciones de seguridad claras y presentes, los gobiernos continúan presionando por las puertas traseras. Por eso seguimos teniendo que hablar de ellos.
El término “puerta trasera” también implica que tales solicitudes pueden ser clandestinas, en lugar de ser públicas, así como los puntos de entrada no son puntos de entrada. En el caso de iCloud de Apple, el receptor no puede revelar legalmente una solicitud de compromiso de compromiso de la IPA del Reino Unido, a través de un “aviso de capacidad técnica” o TCN. La intención de la ley es que cualquiera de tales puertas de fondo sea secreta por diseño. (Fuiar detalles de un TCN a la prensa es un mecanismo para eludir un bloque de información, pero es importante tener en cuenta que Apple aún no ha hecho ningún comentario público sobre estos informes).
Según el grupo de derechos The Electronic Frontier Foundation, el término “puerta trasera” se remonta a la década de 1980, cuando la puerta trasera (y “Trapdoor”) se utilizaron para referirse a cuentas secretas y/o contraseñas creadas para permitir a alguien desconocido acceso a un sistema. Pero a lo largo de los años, la palabra se ha utilizado para etiquetar una amplia gama de intentos de degradar, eludir o comprometer la seguridad de datos habilitada por el cifrado.
Si bien los backdoors están en las noticias nuevamente, gracias al Reino Unido después de las copias de seguridad de iCloud encriptadas de Apple, es importante tener en cuenta que el acceso a los datos exige dátiles décadas.
En la década de 1990, por ejemplo, la Agencia de Seguridad Nacional de los Estados Unidos (NSA) desarrolló hardware encriptado para procesar mensajes de voz y datos que tenían una puerta trasera horneada, con el objetivo de permitir que los servicios de seguridad interceptaran comunicaciones cifradas. El “chip Clipper”, como se le conocía, utilizó un sistema de custodia clave, lo que significa que las agencias gubernamentales crearon y almacenaron una clave de cifrado para facilitar el acceso a los datos encriptados en caso de que las autoridades estatales querían.
El intento de la NSA de azotar las fichas con puertas traseras horneadas falló por falta de adopción después de una reacción violenta de seguridad y privacidad. Aunque se acredita al chip de Clipper por ayudar a activar los esfuerzos de los criptólogos para desarrollar y difundir un fuerte software de cifrado en un intento por asegurar datos contra la extralimitación del gobierno de la curva.
El chip Clipper también es un buen ejemplo de dónde se realizó públicamente un intento de exigir el acceso del sistema. Vale la pena señalar que las puertas traseras no siempre tienen que ser secretas. (En el caso de iCloud del Reino Unido, los agentes estatales claramente querían acceder sin que los usuarios de Apple lo supieran).
Agregue a eso, los gobiernos frecuentemente despliegan propaganda emotiva en torno a las demandas de acceder a los datos en un intento por aumentar el apoyo público y/o presionar a los proveedores de servicios para que cumplan, como argumentar que el acceso a E2EE es necesario para combatir el abuso infantil o el terrorismo , o evitar algún otro crimen atroz.
Sin embargo, las puertas traseras pueden tener una forma de volver a morder a sus creadores. Por ejemplo, los piratas informáticos respaldados por China estaban detrás del compromiso de los sistemas de escuchas telefónicas obligatorias el otoño pasado, aparentemente obteniendo acceso a datos de usuarios de telecomunicaciones e ISP de los Estados Unidos gracias a una ley federal de 30 años que había ordenado el acceso a la puerta trasera (aunque, aunque, En ese caso, de los datos no E2EE), subrayando los riesgos de hornear intencionalmente los puntos de acceso general en los sistemas.
Los gobiernos también tienen que preocuparse por las posibles traseras extranjeras que creen riesgos para sus propios ciudadanos y seguridad nacional.
Se sospechan múltiples instancias de hardware y software chino que albergan en las puertas traseras a lo largo de los años. Las preocupaciones sobre posibles riesgos de puerta trasera llevaron a algunos países, incluido el Reino Unido, a tomar medidas para eliminar o limitar el uso de productos tecnológicos chinos, como los componentes utilizados en la infraestructura crítica de telecomunicaciones, en los últimos años. Los temores de las puertas traseras también pueden ser un poderoso motivador.
