El cataclismo del lanzamiento de Big Sur, con instalaciones colgadas, lentitud del sistema y aplicaciones que no se abrían dieron rápidamente paso a investigar qué estaba pasando y esta investigación trajo unas conclusiones algo precipitadas que no se ajustan a la realidad, lo que ha dado un fin de semana lleno de artículos técnicos en un sentido y otro.
Vamos a intentar explicar lo que ha pasado
Con el lanzamiento de macOS Big Sur el jueves, los usuarios de Mac comenzaron a tener problemas al intentar abrir aplicaciones mientras estaban conectados a internet. La pagan de estatus del sistema en Apple atribuía la situación a los problemas con el sistema de notarización de la ID de desarrollador, y el desarrollador Jeff Johnson determinó que se trataba de problemas con el servidor OCSP de Apple.
Qué es OCSP
Recuerda que, desde Mojave, Apple exige que para que se pueda instalar una aplicación, ésta tiene que estar firmada y registrada en Apple, de manera que se pueda verificar su autenticidad. La parte de macOS que se encarga de esto se llama Gatekeeper, y puedes encontrarlo en las Preferencias del Sistema.
Gatekeeper realiza comprobaciones online para verificar si una app contiene malware conocido y si el certificado del desarrollador es válido.
Las siglas «OCSP» se refieren a Online Certificate Status Protocol stapling, o más brevemente «grapado de certificados». Apple utiliza este «grapado» de certificados para ayudar a agilizar el proceso de tener millones de dispositivos Apple comprobando la validez de de millones y millones de certificados cada día.

Como el nombre implica, se utiliza para verificar la validez de un certificado sin necesidad de descargar y escanear largas listas de revocación de certificados. macOS utiliza OCSP para asegurarse de que el certificado del desarrollador no ha sido cancelado antes de que se abra la aplicación. (por ejemplo, es lo que se hace si alguien intenta abrir Fortnite).

El servicio de notarization de Apple es un sistema automatizado que escanea el software para asegurarse de que no tiene contenido malicioso, comprueba la firma del código y devolve el resultado rápidamente. Si no hay problemas, el servicio de notarización genera un ticket para que se adjunte al software, y además lo publica online para que Gatekeeper pueda encontrarlo.
Qué pasa si la aplicación no puede conectar con el servidor OCSP
Si un dispositivo de Apple no puede conectar a la red pero quieres abrir una aplicación, la validación del certificado se supone que va a «tener un fallo suave» (es decir, se cancela sin notificar al usuario) de manera que, al detectar que no puede conectarse a internet permite abrir la aplicación de todas formas.

Ese proceso de conexión a los servidores de Apple para la notarization aparece en la Consola como trustd
—el nombre del proceso en macOS responsable de comprobar con los servidores de Apple si una app está «notarizada», y su misión es conectarse a un dominio llamado ocsp.apple.com
.
¿Entonces qué ha pasado?

El problema viene porque porque el servidor nunca se «cayó». Seguía recibiendo las peticiones, pero era tan extremadamente lento en procesarlas que al final hacían «timeout», es decir, se cancelaban pasado un tiempo, por falta de respuesta.
Al no colgarse el servidor, sino que seguía recibiendo peticiones (el sistema sabía que el servidor seguía activo porque al realizar un Lookup obtenía las DNS correctas), no se producía el «fallo suave» sino que se quedaba esperando respuesta, lo que provocaba que las apps no se abrieran y/o que todo el sistema funcionase lento (por eso desconectarse de internet resolvía el problema).
Pero aparte de los problemas técnicos, aquí se habla de privacidad y de enviar información personal a Apple
Eso parece haber sido una mala interpretación -o desconocimiento- de lo que realmente estaba pasando con la notarización. En realidad, macOS envía información opaca sobre el certificado del desarrollador de las aplicaciones que se quieren abrir, pero no el nombre de la aplicación (un desarrollador utiliza el mismo certificado en todas sus aplicaciones) o la ID del dispositivo. Fuente
Apple, además ha respondido específicamente a este caso, actualizando su nota «Abrir apps de forma segura en el Mac» (la nota en español aún no se ha actualizado)
macOS se ha diseñado para mantener a los usuarios y sus datos a salvo al tiempo que se respeta su privacidad.
Gatekeeper realiza comprobaciones online para verificar su una app contiene malware conocido y si el certificado del desarrollador se ha cancelado. Nunca hemos combinado datos de estas comprobaciones con información sobre los usuarios de Apple o sus dispositivos. No usamos datos de estas comprobaciones para saber qué está abriendo o utilizando en su dispositivo cada usuario.
Las comprobaciones de notarización sólo son para saber que la app no contiene malware y se realiza a través de una conexión cifrada que es preparada para superar un fallo del servidor.
Estas comprobaciones de seguridad nunca han incluido el Apple ID del usuario o la identidad de su dispositivo. Para proteger aún más la privacidad, hemos dejado de incluir la dirección IP asociada con las comprobaciones de certificado de ID de Desarrollador, y nos aseguraremos que cualquier dirección IP se elimina de los registros security checks have never included the user’s Apple ID or the identity of their device. To further protect privacy, we have stopped logging IP addresses associated with Developer ID certificate checks, and we will ensure that any collected IP addresses are removed from logs.
¿Por qué realizar ese tráfico usando peticiones sin cifrar?
Es habitual que OCSP utilice HTTP, para evitar bucles. Si se utilizar HTTPS para comprobar un certificado con OCSP entonces también tendrías que comprobar el certificado de la conexión HTTPS usando OCSP. Eso implicaría abrir otra conexión HTTPS y así sucesivamente.
Por supuesto, aunque OCSP no requiere cifrado, si es necesario que las respuestas vengan firmadas por el servidor.
Los problemas para Apple
A pesar de que hay una explicación técnica para el funcionamiento en HTTP sin cifrar para este mecanismo, y que la parte del respeto a la privacidad por parte de Apple ha quedado bastante claro, aún hay dos grandes sombras planeando sobre este tema.
El primero es, por supuesto, el problema de imagen, que nuevamente trae sombras de épocas pasadas cuando Apple parecía incapaz de prever la demanda de sus productos y la carga que iba a suponer.
Que la empresa más valiosa del mundo tenga un tropezón de este tamaño el día del lanzamiento de su nueva versión del sistema operativo, que es tan importante como para que haya dejado de ser macOS X y empiece a llamarse macOS 11, es algo verdaderamente inaudito.
Claro que Apple no es la única que calcula mal los recursos o que tiene despliegues de software desastrosos, pero es la que más ojos atrae, y es un sonrojo demasiado evidente como para hacer la vista gorda.
Las copias de seguridad no cifradas
Según el artículo que ha levantado el debate Apple ha dejado una puerta abierta en el cerrado de extremo a extremo de iMessage (Mensajes). Actualmente, iOS te pide que introduzcas tu Apple ID durante la configuración, y activa automáticamente las copias de seguridad de iCloud e iCloud Backup.
iCloud Backup no está cifrada de punto a punto: cifra la copia de seguridad del dispositivo con claves de Apple. Todo dispositivo con iCloud Backup activado (está activado por omisión) hace una copia de respaldo del historial de iMessage en los servidores de Apple, junto con las claves secretas del dispositivo para iMessage, en cuanto se conecta a la corriente para cargarse.
Apple puede descifrar y leer esta información sin ni siquiera tocar el dispositivo. Incluso aunque tengas iCloud y/o iCloud Backup desactivado: es probable que aquellos con los que te estás enviando mensajes no lo tengan desactivado, y tu conversación esté siendo subida a Apple (y, a través de PRISM, disponible gratuitamente para la comunidad de inteligencia americana, FBI y demás amigos, sin necesidad de que tengan que pedir una orden o tengan una causa probable).
Esto sin duda merece alguna explicación por parte de la empresa que pone la privacidad de los usuarios por delante. ¿No creéis?
Deja una respuesta
Lo siento, debes estar conectado para publicar un comentario.