Notarización: de momento un fiasco de Apple

Antes de empezar a destripar la notarización de Apple, quiero partir de una base importante, y es aclarar que, como concepto, como medida de seguridad para proteger a los usuarios de MacOS X, me parece una iniciativa acertada. Todo aquello que vaya en la línea de fortalecer la seguridad de los sistemas es, y será, un paso adelante. El problema es cuando, en ocasiones, y quizá por no fijarnos en el suelo todo lo que deberíamos, acabamos metiendo el pie en un charco, tropezando con una piedra… puede que hasta dando un traspiés y cayendo al suelo por un socavón o cualquier otro obstáculo.

Y eso es lo que, a la vista de las circunstancias, le ha ocurrido a Apple con la notarización de las apps. Recordemos que desde MacOS X 10.14.5 (Mojave) y por supuesto en 10.15 (Catalina), las apps que no están firmadas digitalmente no pueden instalarse en el sistema. Aunque, bueno, en realidad debería haber entrecomillado lo de que no pueden, porque sí que hay varios medios para eludir esta medida de seguridad e instalar software no firmado en un Mac.

Con esta medida, la intención de Apple es que todo el software desarrollado para MacOS X tenga que estar firmado digitalmente (mediante un certificado) por su desarrollador, y que pase por un proceso de validación por parte de Apple, la notarización, para comprobar que no hay malware, que no es una amenaza. Más seguridad que, como cara B de la moneda, se traduce en un control todavía mayor por parte de Apple de qué software pueden y no pueden instalar sus usuarios. O, al menos, los que no saben cómo eludir este sistema de seguridad.

Podría parecer una solución razonable, pero a la vista de este artículo de la compañía de seguridad MalwareBytes, parece que la notarización no estaría funcionando todo lo bien que debería, y que al final no está suponiendo una barrera infranqueable (ni siquiera una barrera medio-alta) para el malware. Los responsables del mismo ya han encontrado dos vías para aterrizar en los sistemas de los usuarios de Macs que, por sorprendente que resulta, aún quedan algunos que piensan que eso del malware no va con ellos.

La primera vía para saltarse la notarización es tan obvia que casi sorprende pensar que no fuera tenida en cuenta por Apple, y consiste en incluir el malware en un archivo de imagen de disco (DMG) que, al ser montado, muestra al usuario las indicaciones sobre cómo instalar el software… eludiendo el control de seguridad asociado a la notarización. Tan sencillo que casi duele, ¿verdad? Pues según Malwarebytes ya se han visto bastantes casos en los que los atacantes emplean esta técnica.

Si estás esperando que la segunda vía sea más complicada, me temo que tengo malas noticias para ti: Apple tarda menos de dos minutos, desde que recibe un binario, en validarlo. De esto deducimos que se trata de un proceso totalmente automatizado y en el que el chequeo que se hace sobre la seguridad del mismo es limitado. ¿Significa esto que una app maliciosa puede pasar impune el control de seguridad de la notarización de Apple? Efectivamente, eso es exactamente lo que significa. ¿Y ha ocurrido hasta ahora? Sí, Mac Patrick Wardle ha descubierto muestras del adware Shlayer que han sido notarizadas por Apple.

MacOS X no es una plataforma 100% segura, ni con notarización ni sin ella, pero es que podemos decir exactamente lo mismo de cualquier otro sistema operativo. Los fabricantes y desarrolladores hacen todo lo que está en su mano por ofrecer el mayor nivel de seguridad posible. La otra parte, claro, depende de los usuarios, que deben asegurarse de contar con las herramientas adecuadas para enfrentarse a las amenazas. Eso sí, para alcanzar este punto, es importante no partir de la base de pensar que nuestro sistema operativo es totalmente seguro, ya que eso no existe.

 

La entrada Notarización: de momento un fiasco de Apple es original de MuySeguridad. Seguridad informática.