Cómo desbloqueó el FBI «el iPhone de San Bernardino»

El caso conocido coloquialmente por «el iPhone de San Bernardino» provocó hace cinco años un enorme debate mundial sobre privacidad y seguridad. Si recuerdas, uno de los asesinos que participaron en la matanza en el centro de asistencia de esa ciudad californiana donde murieron catorce personas, usaba un iPhone 5c a cuyos datos cifrados las autoridades querían acceder para investigar el suceso.

El FBI vinculó el atentado con el extremismo islamista, lo consideró un ataque terrorista y consiguió que un juez federal estadounidense ordenase a Apple «una asistencia técnica razonable» para saltarse el cifrado. En la práctica, la resolución ordenaba a Apple que proporcionase al FBI un firmware personalizado para que pudieran bajo ataques de fuerza bruta saltarse la contraseña de desbloqueo del terminal.

El CEO de Apple, Tim Cook, informó que había facilitado algunos datos que estaban en su poder sobre el terminal pero se negó a desarrollar una puerta trasera para piratear su software y anunció la interposición de una apelación porque consideraba que la decisión «amenazaba la seguridad de sus millones de clientes». Efectivamente, en la práctica, se requería de Apple que hackeara el iPhone saltándose sus propias medidas de seguridad y cifrado.

Proveedores de soluciones de ciberseguridad y en general toda la industria alertaron de la problemática de debilitar la seguridad informática. El Information Technology Industry Council (ITI), voz global del sector tecnológico que incluye compañías como Apple, Dell, Facebook, Google, Microsoft, IBM, Intel o Twitter, emitió una declaración en respuesta a las voces que pedían un debilitamiento de las herramientas de cifrado para luchar contra el terrorismo o la delincuencia:

«El debilitamiento de la seguridad con el objetivo de promover la seguridad, simplemente no tiene sentido y el debilitamiento del cifrado o la creación de puertas traseras en dispositivos permitirían vulnerabilidades que serán explotados por “los malos”, lo que causará graves daños a nuestra sociedad y nuestra economía«.

iPhone de San Bernardino

Finalmente, después de una gran batalla judicial, política y mediática, el FBI envió un documento a la corte que llevaba el caso para que suspendiera las vistas previstas ante la eventualidad que “una parte externa” ayudara a establecer un posible método para desbloquear el iPhone sin comprometer la integridad del sistema de seguridad de Apple. O al menos no públicamente.

El método de la agencia para descifrar el código ha sido un secreto hasta ahora. Cinco años después, el Washington Post ha publicado una información en la que asegura conocer cómo el FBI desbloqueó el iPhone de San Bernardino.

Por lo que cuentan, una pequeña empresa australiana llamada Azimuth Security dio un paso al frente con una solución. El desafío era que la agencia solo tenía un cierto número de oportunidades para adivinar el código de acceso del teléfono. Una vez que se alcanzaba el límite de intentos fallidos en la contraseña, el dispositivo borraba automáticamente sus datos.

Azimuth encontró una vulnerabilidad en un software escrito por Mozilla para obtener acceso al sistema. Posteriormente, encadenó dos exploits más para tomar el control del chipset del teléfono y ejecutar sus propios programas en él.

En este punto, los empleados de Azimuth diseñaron un software para probar todas las combinaciones posibles de códigos de acceso sin que el teléfono borrara sus propios datos y, finalmente, lograron desbloquear el dispositivo. FBI pagó 900.000 dólares a esta firma de seguridad, pero los datos no revelaron nada útil al FBI para seguir el caso.

Tanto para nada. Al menos, Apple esquivó una bala importante y no tuvo que debilitar la seguridad de sus clientes. Y un debate enorme. El caso provocó un debate mundial de dimensiones colosales que se repite regularmente.

Bajo el socorrido argumento de la seguridad, unos pocos piden la eliminación del cifrado y otros muchos argumentan que el terrorismo o la simple delincuencia (como en los casos adicionales conocidos) no puede ser la excusa para recortar derechos fundamentales de manera general y limitar la seguridad de los dispositivos con los que manejamos cuentas bancarias, compras on-line, teletrabajo y un larguísimo etc.

¿Tú que opinas?