Por qué Apple se niega a colaborar con el FBI

Apple se negó el martes a acatar una orden judicial para ayudar al FBI a desbloquear el iPhone de Syed Rizwan Farook, uno de los autores del ataque terrorista de San Bernardino, Estados Unidos. Todavía no es una respuesta formal, pero la decisión polarizó la opinión pública en ese país. Por un lado, hubo anteayer una manifestación de usuarios de la marca en San Francisco, apoyando la decisión de resistir la orden judicial. Por otro, muchas personas no terminan de entender qué puede haber de malo en ayudar al FBI a desbloquear el teléfono de un asesino en masa. Incluso Trevor Pott, que se define como un defensor de la privacidad, escribió un artículo en el que intenta demostrar que Tim Cook, director ejecutivo de Apple, está equivocado .

Sólo que no lo está.

Fuerza bruta

Aunque no parezca (ese es uno de los problemas), el asunto es demasiado complejo para encajarlo en el tradicional y confortable blanco y negro. Y no sólo es complejo, sino que además hay muchas cosas que ignoramos.

Para entender el conflicto, al menos en parte, hay que ver, primero, qué es exactamente lo que el FBI le está pidiendo a Apple. El teléfono de Farook está bloqueado con un PIN o una contraseña y, por ende, su contenido se encuentra cifrado (ver aquí, en especial las páginas 11 a 14 ). Los investigadores podría probar con las claves más comunes (123456, password, etcétera), pero existe un problema. Si ingresan 10 contraseñas equivocadas, el teléfono podría borrar automáticamente todo su contenido. En rigor, esta función debe activarse desde la configuración del iPhone, pero como los agentes del FBI no puede entrar en el teléfono, ignoran si fue habilitada o no.

Aparte del borrado automático, a cada intento fallido de ingresar una contraseña, el dispositivo irá aumentando el tiempo de espera para poder intentar de nuevo, hasta un máximo de una hora. De modo que incluso si no se hubiera activado el borrado automático, el FBI se vería en figurillas para poder intentar descubrir la clave con el único método que, en principio, les queda: la fuerza bruta.

Un ataque de fuerza bruta prueba todas las posibles combinaciones hasta dar con la contraseña correcta. El FBI tendría mucha suerte si tal ataque tuviera éxito en menos de 10 intentos. Lo más probable, en realidad, es que necesite varios cientos de miles. Y aún cuando el dispositivo no se borrara automáticamente, la creciente demora haría que el ataque durara 10 o más años.

El FBI se encuentra pues en una encerrona. La situación podría, sin embargo, ser mucho peor. El teléfono de Farook podría ser uno de los que tienen lectores de huellas digitales, y en ese caso sería virtualmente imposible hackearlo, aún con la ayuda de Apple. Los iPhone con lector de huellas poseen un coprocesador critpográfico, un chip dedicado a una serie de funciones de seguridad, entre las que está la administración de la información de las huellas y el acceso a las claves de cifrado. Se llama Secure Enclave, ejecuta su propio kernel (un microkernel, en rigor) y tiene en su interior un identificador único que ni siquiera Apple conoce (ver página 8). Los interesados en los detalles de esta tecnología pueden leer también este post de Matthew Green, criptógrafo de la Universidad Johns Hopkins.

Pero el iPhone en cuestión es un 5C, que no tiene ni lector de huellas ni, por ende, Secure Enclave. Las medidas adicionales de seguridad son ejecutadas por el sistema operativo. Ahí es donde a los fiscales a cargo del caso se les ocurrió solicitar a Apple que juegue la única carta que les queda: crear una versión del iOS sin la demora entre intentos y con la autoborrado desactivado. Luego cargarían esta versión, que ya fue ingeniosamente bautizada FBiOS, en el iPhone del terrorista mediante la conexión USB. OK, ¿por qué el FBI no hackea un iOS y lo cargan por las suyas? Suponiendo que sepan cómo sortear estas dos funciones de seguridad adicionales –y nada indica que sea así–, el único software que un iPhone aceptará será aquél que esté firmado digitalmente por Apple, y la única entidad en el mundo que puede firmar digitalmente en nombre de Apple es, bueno, Apple. Adicionalmente, con el teléfono bloqueado y cifrado, un jailbreak no es, en principio, una opción.

La orden judicial también le solicita a Apple que administre los medios para que las contraseñas puedan ingresarse mediante un dispositivo externo. Lógico: otra de las restricciones del iPhone es que sólo admite las claves escritas de forma manual, directamente en la pantalla del equipo.

El martes, cuando se libró la orden judicial, Cook explicó en un mensaje a los clientes de Apple los motivos por los que la compañía se negará a ayudar al FBI en este caso en particular. Al cierre de esta edición no había habido todavía una comunicación formal de parte de Apple (tienen 5 días hábiles para responder a la justicia), pero dada la publicación de Cook y el intenso debate que le siguió, es poco probable que consienta en colaborar con el FBI.

Esa es, grosso modo, la situación, y tiene todos los ingredientes para originar innumerables teorías conspirativas y frases desconectadas de la realidad. Esta semana vimos un muestrario de ambas. Estoy tentado de citar algunas, pero creo que no vale la pena.

Sin precedente

Mi primera impresión, cuando leí el mensaje de Cook, fue que Apple había tomado una decisión sabia. Polémica, porque un ataque terrorista es siempre un acto horrendo, pero sabia al fin. Sensata, si se quiere. Pero me asombró el no tener claro por qué me parecía una buena decisión.

Así que volví a leer la orden judicial y el post de Cook. Quedaba claro que Apple nunca dijo que fuera incapaz de hackear el iPhone de Farook. Dijo que no lo iba a hacer. La pregunta es por qué, si ha cooperado con la justifica en muchos otros casos. ¿Y por qué Sundar Pichai, director ejecutivo de Google, salió a defender a Cook por Twitter? Google y Apple están enfrentadas a todo o nada. ¿Qué más está pasando aquí para aliar a estos dos rivales impiadosos?

Hay, en mi opinión, una constelación de razones. Citaré aquí sólo algunas.

La primera es que si Apple cumpliera con la orden, una versión del iOS más fácil de atacar por medio de la fuerza bruta quedaría en manos (de forma directa o remota, según la orden judicial) del FBI. Se supone que el FBI sólo intentará desbloquear ese iPhone, y que no podrá ni modificar el software ni usarlo en otros dispositivos. Se supone asimismo que ese software nunca abandonará los cuarteles generales de Apple.

Pero, en mi opinión, nada de eso le impediría al FBI que, además de llevar adelante el ataque de fuerza bruta, revisara las técnicas usadas por Apple para quitarle esas dos funciones de seguridad adicionales. No podrían modificar el software, pero podrían estudiarlo. Según un amigo, experto en seguridad, a quien llamo cuando las rispideces técnicas me superan, estos reparos no tienen demasiado sustento, y cree que la decisión de Apple tiene más que ver con el pésimo precedente que sentaría acatar la orden (más sobre esto enseguida). En cambio, Jonathan Zdziarski, experto en la seguridad de los productos de Apple, cree que entregar este iOS modificado conduciría a un escrutinio por parte del gobierno y compañías forenses. Este es su post al respecto, citado en esta excelente nota de The Register. Recomiendo la lectura del texto de Zdziarski, porque muestra claramente los meandros de la profesión forense. O sea, como dije, es complicado.

Segunda razón: me parece como mínimo disparatado y a todas luces inaceptable pedirle a un compañía líder de la industria, que ostenta el mayor valor de mercado del mundo y cuya marca está primera en el ránking de Forbes, que fabrique algo roto. Algo de segunda. Hay una suerte de instinto corporativo, una reacción alérgica a proceder de esta forma.

Tercera razón: costos. La orden judicial dice que Apple podrá ponerle un precio a la tarea. Me temo que no tienen idea de lo costoso que puede resultar lo que le están pidiendo.

La cuarta es, quizá, la más importante. Apple simplemente no puede acatar esta orden. No porque sea mala prensa o porque quiera hacer márketing (ambas cosas son en parte ciertas, por otro lado), sino porque se trata de una batalla clave en una guerra mucho más grande que arrancó con las revelaciones de Snowden en 2013. Desde entonces, varios Estados les están pidiendo a las tecnológicas que inserten puertas traseras en sus productos, incluidos los que funcionan sobre la Web. El primer ministro británico, David Cameron, llegó a pedir que se erradique el cifrado de Internet, un dislate cuya enormidad demuestra la casi completa ignorancia que puede existir sobre estas cuestiones en las esferas de decisión más altas.

Las puertas traseras estatales pondrían fin a Internet y a la tecnología digital tal como las conocemos. Paradójicamente, los más beneficiados serían los mismos criminales que el FBI y otras agencias de inteligencia intentan detener o desactivar. Por eso, no sólo Pichai, sino también ejecutivos de Twitter, Facebook, Microsoft, Yahoo!, Dropbox, Evernote, AOL, Mozilla, WhatsApp, la Electronic Frontier Foundation y la Internet Society, entre otros, salieron a apoyar la decisión de Cook. Porque si Apple consiente en compilar un iOS modificado, sentará un precedente para todas las demás compañías. La próxima vez un fiscal podría solicitar algo todavía más riesgoso que un iOS modificado, o solicitarlo no ya en un caso probado de terrorismo, sino por la sola sospecha. Ya saben cómo sigue el asunto.

Quinta razón: las relaciones comerciales se construyen sobre la base de la confianza, como casi todo. La voracidad de las agencias de inteligencia, que espiaron de forma masiva e indiscriminada, minó la confianza del público en las tecnológicas. Eso no es bueno para los negocios. La cruzada contra los gobiernos de varias naciones para evitar las puertas traseras es una de las formas que han encontrado las tecnológicas para recuperar esa confianza, y han ganado bastante terreno. De acatar la orden, Apple apretaría rebobinar y se colocaría de nuevo en la incómoda situación de 2013. De cierta forma, la orden judicial constituye una oportunidad para la industria digital, y el mensaje de Cook puede leerse, casi sin duda, como un comunicado colectivo; de allí el apoyo prácticamente unánime que recibió. Con todo, hay que decirlo, esto de marcarle la cancha al gobierno estadounidense no es un juego de niños. Ni siquiera para el coloso en el que se ha convertido Apple.

Privacidad. Así revelan las apps de Android nuestros secretos sin que lo sepamos

Norma polémica. Europa quiere obligar a las empresas de internet a revisar las comunicaciones privadas para detectar pederastas

US$ 1300 millones. Multa récord en Europa para Meta, la dueña de Facebook, por no cumplir con las leyes de protección de datos de sus usuarios