Las apuestas son demasiado altas para que Apple haga girar las hazañas del iPhone

Hoy, Apple respondió al descubrimiento de Google de una falla importante de seguridad de iPhone con una declaración erizada que acusó a su rival de crear "falsas impresiones". Pero Apple hizo muy poco para aclarar esas falsas impresiones, y parece haber creado algunas propias, como veremos al hacer una lectura atenta.

Primero, hablemos de lo que Apple hizo confirmar. Cuando Google publicó originalmente información detallada sobre las vulnerabilidades de iOS, evidentemente no dijo específicamente por qué fueron creadas ni a quién fueron dirigidas. Tras la divulgación de Google, TechCrunch reportado que las hazañas fueron parte de un ataque patrocinado por el estado que estaba destinado a atacar a la población minoritaria uigur de China. (Los atacantes también según los informes Dispositivos Android y Windows.) Se ha informado ampliamente que China está persiguiendo a la minoría uigur en el país con tortura, internamiento y vigilancia; Solo ayer, Reuters y CNN informaron que China está tratando de piratear las telecomunicaciones para rastrear a los uigures en toda Asia. Por lo tanto, hay un contexto inminente con respecto a la fuente potencial y el objetivo de las vulnerabilidades de iOS como el revelado por Google.

Apple confirmó hoy que las hazañas de iOS estaban dirigidas a los uigures; Apple dice que "afectaron a menos de una docena de sitios web que se centran en el contenido relacionado con la comunidad uighur". Pero el encuadre de Apple minimiza el contexto y las posibles consecuencias de la explotación contra esa comunidad en favor de la irritación en la publicación del blog de Google y la posterior cobertura de los medios .

Para su crédito, Apple reveló y confirmó que la hazaña se dirigió a la comunidad uigur, lo que Google no hizo. Pero la declaración de Apple se centra casi por completo en las fallas percibidas de Google, en lugar de la persecución en curso de una minoría religiosa en China, que es uno de los mercados más grandes de Apple y también el foco de una guerra comercial en curso que implica directamente los productos de la compañía.

Varias veces en la declaración de hoy, Apple toma algo que Google mismo dijo y lo hace girar como un acto de omisión.

Manzana:

Primero, el ataque sofisticado se enfocó estrechamente, no una explotación amplia de iPhones "en masa" como se describe. El ataque afectó a menos de una docena de sitios web que se centran en contenido relacionado con la comunidad uigur.

Google:

A principios de este año, el Grupo de Análisis de Amenazas (TAG) de Google descubrió una pequeña colección de sitios web pirateados. Los sitios pirateados se estaban utilizando en ataques indiscriminados de pozos de agua contra sus visitantes, usando iPhone 0-day.

Aquí Apple se repite El reclamo original de Google, pero lo gira al conectarlo a una línea más adelante en el artículo de Google sobre el ataque como "en masa". Las personas razonables pueden estar en desacuerdo sobre el alcance de "en masa", que significa tanto "un grupo" como "todos juntos ", pero Google ciertamente no omitió información sobre el vector del ataque.

Manzana:

La publicación de Google, emitida seis meses después del lanzamiento de los parches de iOS, crea la falsa impresión de "explotación masiva" para "monitorear las actividades privadas de poblaciones enteras en tiempo real", avivando el temor entre todos los usuarios de iPhone de que sus dispositivos se habían visto comprometidos.

Google:

Los usuarios reales toman decisiones de riesgo basadas en la percepción pública de la seguridad de estos dispositivos. La realidad sigue siendo que las protecciones de seguridad nunca eliminarán el riesgo de ataque si te atacan. Ser objetivo podría significar simplemente haber nacido en una determinada región geográfica o ser parte de un determinado grupo étnico. Todo lo que los usuarios pueden hacer es ser conscientes del hecho de que la explotación masiva todavía existe y comportarse en consecuencia; tratar sus dispositivos móviles como parte integral de sus vidas modernas, pero también como dispositivos que, cuando se ven comprometidos, pueden cargar todas sus acciones en una base de datos para ser potencialmente utilizadas en su contra.

(…)

No entraré en una discusión sobre si estas hazañas cuestan $ 1 millón, $ 2 millones o $ 20 millones. En cambio, sugeriré que todas esas etiquetas de precios parecen bajas para la capacidad de apuntar y monitorear las actividades privadas de poblaciones enteras en tiempo real.

Apple toma las citas de Google aquí completamente fuera de contexto. Google está hablando de la percepción de riesgo y la vulnerabilidad inherente de la informática, que no está realmente en discusión. También está hablando de la focalización masiva de una comunidad específica; Como aprendimos hoy, esa comunidad es una minoría religiosa que es perseguida activamente en China. Es extraño que Apple los margine aquí al ignorar los matices del ataque y extrapolar las preocupaciones de Google a "todos los usuarios de iPhone".

Manzana:

En segundo lugar, toda la evidencia indica que estos ataques al sitio web solo estuvieron operativos durante un breve período, aproximadamente dos meses, no "dos años" como lo implica Google.

Google:

TAG pudo recopilar cinco cadenas de exploits de iPhone separadas, completas y únicas, cubriendo casi todas las versiones desde iOS 10 hasta la última versión de iOS 12. Esto indicó que un grupo hizo un esfuerzo sostenido para piratear a los usuarios de iPhones en ciertas comunidades durante un período de al menos dos años.

(…)

El análisis inicial indicó que al menos una de las cadenas de escalada de privilegios todavía era de 0 días y sin parches en el momento del descubrimiento (CVE-2019-7287 y CVE-2019-7286). Reportamos estos problemas a Apple con un plazo de 7 días el 1 de febrero de 2019, lo que resultó en el lanzamiento fuera de banda de iOS 12.1.4 el 7 de febrero de 2019. También compartimos los detalles completos con Apple, que fueron divulgado públicamente el 7 feb 2019.

¿Dónde implica Google que los ataques al sitio web estuvieron operativos durante dos años? Google dice explícitamente que su evidencia indicaba "un grupo que hizo un esfuerzo sostenido" durante esos dos años, no que los usuarios de iPhone estuvieran comprometidos todo ese tiempo, y señala su divulgación de esas vulnerabilidades a Apple. La lectura de Apple aquí es falsa en el mejor de los casos.

Google:

No hubo discriminación objetivo; simplemente visitar el sitio pirateado fue suficiente para que el servidor exploit ataque su dispositivo, y si tuvo éxito, instale un implante de monitoreo. Estimamos que estos sitios reciben miles de visitantes por semana.

Manzana:

Independientemente de la magnitud del ataque, nos tomamos la seguridad de todos los usuarios extremadamente en serio.

Apple no se ha ganado un "independientemente" aquí. No nos ha dado idea de la escala real del ataque. Ni siquiera responde a la estimación de Google de que miles de visitantes pueden haber sido afectados por semana. Incluso si tomamos la palabra de Apple de que la hazaña solo estuvo operativa durante dos meses, eso es potencialmente decenas de miles (o más) de víctimas involuntarias que son miembros de una población vulnerable que actualmente está siendo blanco de un gobierno represivo. "Tomar la seguridad de todos los usuarios extremadamente en serio" mantendría el foco en los usuarios bajo ataque, no en los investigadores de Google que descubrieron los exploits.