Apple [ha compartido] recientemente, después de actualizar el sitio de iOS dedicado a los negocios, un nuevo documento detallando sobre cómo funciona el Touch ID y el Secure Enclave. Como os contamos unos meses atrás, el Touch ID realiza una imagen codificada de nuestra huella y la almacena en local en una recóndita zona del procesador A7, Secure Enclave, donde es difícil acceder. El documento habla por ejemplo de como se comunica este corprocesador con el resto de del sistema para asegurar que nuestra huella nunca está expuesta.
Cada Secure Enclave está provisto durante la fabricación con su UID (ID Único) que no es accesible a otras partes del sistema y no es conocido por Apple. Cuando el dispositivo se enciende, una clave efímera se crea y se asocia con su UID que se usa para encriptar la porción Secure Enclave en la memoria del dispositivo.
Adicionalmente, la información guardada en el sistema de archivos por el Secure Enclave está encriptada con una clave asociada al UID y un contador anti repeticiones.
La verdad es que con esta explicación parece algo seguro, incluso seguro de Apple o la NSA, ya que la información a parte de toda la encriptación única que lleva encima está siempre en local. Esto también se aplica a nuestra huella hecha por el sensor Touch ID. Se verifica que la huella que se lee en el sensor se corresponde con las que están guardadas, permitiendo la identificación, el desbloqueo o la compra de media.
La comunicación entre el A7 y el sensor Touch ID tiene lugar sobre el la interfaz serial del bus. El A7 envía la información al Secure Enclave pero no puede leerla. Está encriptada y autenticada con una clave de la sesión que está acordada usando la clave del sensor Touch ID y el Secure Enclave. La clave de sesión usa el esquema de cifrado AES y se intercambia en los dos lados dando una clave aleatoria que establece la clave de la sesión en AES-CCM.
En la siguiente sección del documento se detalla en qué circunstancias se podrá usar la clave de desbloqueo en lugar del Touch ID, como por ejemplo cuando no se ha desbloqueado el dispositivo en más de 48 horas o cuando el Touch ID no reconoce la huella después de cinco intentos.
Apple además cierra la puerta a que terceros puedan acceder a la información de la huella o al sensor Touch ID.
La autenticación del Touch ID y la información asociada con las huellas inscritas no están disponibles a otras aplicaciones a o terceros.
Después de la presentación del nuevo Samsung Galaxy S5 vemos como aquí las dos empresas difieren. Samsung, a diferencia de Apple, ha abierto su sensor de biométrico para que los desarrolladores puedan hacer uso. Es algo parecido a lo que pasa con Siri: las posibilidades son infinitas pero Apple no da pie a ello siempre con la seguridad como bandera.
El documento detalla también las características técnicas del Touch ID y cómo transmite la información que escanea. Como hemos dicho la información se queda en el dispositivo. No va ni a iTunes, ni iCloud ni a las copias de seguridad. También se explica paso a paso como se desbloquea el dispositivo paso a paso, desde que ponemos el dedo encima hasta que se desbloquea.
No solo se habla del Touch ID y de Secure Enclave, sino que se habla acerca de la seguridad de red, pasando por encima del reciente caso de SSL y TLS, de los servicios de internet como el Llavero de iCloud o Facetime, Siri o iMessage.
Con esto Apple quiere reafirmarse como empresa dominante en cuanto a seguridad de sus sistemas se refiere para que más empresas lo vean como una plataforma segura para almacenar y proteger su información. A pesar de ello, escándalos como el fallo de seguridad de iOS y OS X no ayudan a mantener esta reputación. Si quieres saber más sobre la seguridad de iOS, definitivamente debes echar un vistazo al documento.
Apple | iOS Security
