¿Qué tan seguro es FaceTime de Apple?

Si cree que Apple, el tráfico FaceTime se cifra de extremo a extremo mediante AES-256. Esto es seguro, en el sentido de que alguien que intercepta el tráfico no puede descifrarlo (hasta donde se conoce públicamente).

Sin embargo, el cifrado es difícil y la seguridad podría verse comprometida si Apple comete un error de implementación. Es decir. debido a un error de programación, es posible que el tráfico no se cifre correctamente. Apple ha demostrado previamente que crearon sistemas bastante seguros (por ejemplo, el iPhone en el estuche del FBI), por lo que no es probable.

Incluso si el tráfico está cifrado, el sistema no es seguro sin autenticación. Si configura una conexión con la persona incorrecta, una conexión encriptada no ayudará. En ese caso, puede contar sus secretos a alguien que se hace pasar por otra persona. Por supuesto, en el caso de FaceTime sería bastante difícil hacerse pasar por alguien, porque puedes ver su rostro y escuchar su voz. Verificar que estás hablando con la persona adecuada es bastante fácil, aunque no existe una solución técnica para esto en FaceTime.

Dependiendo de quién sea su adversario, una posible falla está en la forma en que los dispositivos se autentican entre sí: piden a los servidores de Apple la clave pública del receptor, de la cual dependen para verificar que de hecho se están comunicando con el dispositivo correcto.

Apple controla estos servidores de clave pública y puede enviar a uno de los dispositivos su propia clave pública en lugar de la del receptor. Su dispositivo confiará en esta clave, pero Apple, de hecho, podrá descifrar su comunicación antes de volver a cifrarla con la clave real del receptor y enviársela. Eso le permite a Apple espiar sus comunicaciones sin que usted lo note. Ese es un tipo de ataque de hombre en el medio.

Por lo tanto, la afirmación de Apple de que Apple no puede espiar tus comunicaciones solo es válida mientras Apple no quiera espiarte. Eso significa que cualquier persona que tenga control sobre los servidores de Apple (empleados deshonestos de Apple, ejecutivos malintencionados de Apple, agentes de la ley, agencias de inteligencia o piratas informáticos que atacaron los servidores de Apple) podría hacerse pasar por su contacto y registrar sus conversaciones.

No sé mucho más sobre los protocolos que utilizan, pero Apple tiene la reputación de preocuparse por sus sistemas de seguridad y emplea criptógrafos reales para diseñar estos sistemas. Si descartamos los servidores de claves de Apple maliciosos o comprometidos, debería estar bien.

Aquí está el criptógrafo Matthew Green escribiendo sobre esto.