¿Cómo funciona el cifrado en los iPhones?

El caso de Apple contra el FBI ha llamado la atención sobre la cuestión de la privacidad, especialmente en el contexto de los dispositivos móviles. Tras el ataque terrorista de San Bernardino en 2015, el FBI se incautó de un teléfono móvil perteneciente al tirador, Syed Farook, con la intención de buscar pruebas o rastros adicionales relacionados con la investigación en curso. Sin embargo, a pesar de estar en posesión del dispositivo, el FBI no pudo desbloquear el teléfono y acceder a su contenido.

Esto puede parecer desconcertante al principio.

«Seguramente, si el FBI tuviera acceso al teléfono, no podría extraer los datos del usuario almacenados en él mediante herramientas forenses».

Pues bien, la respuesta no es tan sencilla. Verás, el dispositivo en cuestión es un iPhone 5c con iOS 9.

Como ya sabrás, a partir de iOS 8, Apple habilitó automáticamente el Cifrado total de disco (FDE) utilizando una clave de cifrado derivada de la contraseña del usuario. Para acceder a los datos del dispositivo, el FBI habría tenido que romper ese cifrado. Salvo errores en el diseño de la encriptación, lo más probable es que esto se haya conseguido vulnerando la contraseña del usuario.

«Entonces, ¿por qué no usar la fuerza bruta?»

Este enfoque parece muy acertado, sobre todo porque la mayoría de los usuarios son notoriamente torpes a la hora de elegir contraseñas complejas, más aún cuando se trata de dispositivos móviles.

Sin embargo, los ingenieros de Apple no eran ajenos a esta preocupación cuando diseñaron su esquema FDE. Para tratar de mitigar este tipo de ataque, diseñaron el esquema de encriptación de manera que la clave criptográfica generada está ligada al hardware del dispositivo.

En resumen, cada dispositivo tiene una clave única de 256 bits inmutable llamada UIDque se genera aleatoriamente y se funde en el hardware del dispositivo cuando se fabrica. La clave se almacena de forma que se impide completamente el acceso mediante software o firmware (sólo puede establecerse como clave para el motor AES), lo que significa que ni siquiera Apple puede extraerlo del dispositivo una vez configurado.

Esta clave específica del dispositivo se utiliza entonces en combinación con la contraseña proporcionada por el usuario para generar la clave de cifrado resultante utilizada para proteger los datos del dispositivo. Esto efectivamente «enreda» la contraseña y la clave UID.

Vincular la clave de cifrado al hardware del dispositivo permite a Apple dificultar mucho más el trabajo de los posibles atacantes. Esencialmente, obliga a los atacantes a utilizar el dispositivo para cada intento de violación. Esto, a su vez, permite a Apple introducir toda una serie de defensas que harían inasequibles los intentos de violación del dispositivo.

Para empezar, la función de derivación de la clave está diseñada de tal manera que se necesitaría una cantidad significativa de tiempo para calcularla en el dispositivo. En particular, Apple eligió los parámetros de la función de tal manera que una sola derivación de clave tendría un retraso de unos 80 milisegundos. Este retraso haría que romper contraseñas alfanuméricas cortas fuera lento (unas 2 semanas para una contraseña alfanumérica de 4 caracteres), y que romper contraseñas más largas fuera completamente impracticable.

Para mitigar aún más los ataques de fuerza bruta en el propio dispositivo, Apple también introdujo un retardo incremental entre los sucesivos intentos de adivinar la contraseña. En el iPhone 5c, este retraso se facilitó totalmente por software. Por último, Apple permitió la posibilidad de borrar completamente todos los datos almacenados en el dispositivo después de 10 intentos fallidos de encontrar la contraseña. Esta configuración, junto con los retrasos inducidos por el software, hizo que romper la contraseña en el propio dispositivo fuera poco práctico.

RETRASO ENTRE INTENTOS

• [1-4] Ninguno
• [5] 1 minuto
• [6] 5 minutos
• [7-8] 15 minutos
• [9] 1 hora

Sabiendo esto, es mucho más razonable suponer que el FBI no pudo violar el cifrado del dispositivo.

Si hubieran podido extraer la clave UID, podrían haber utilizado el hardware necesario (especializado) para encontrar rápidamente muchas contraseñas, lo que probablemente les habría permitido encontrar la contraseña correcta. Sin embargo, dado que la clave UID no puede extraerse mediante software o firmware, esa opción queda descartada.

En cuanto a la posibilidad de romper la contraseña en el dispositivo, los retrasos inducidos por el software entre los intentos de contraseña y la posibilidad de borrar todos los datos del dispositivo hicieron que esta opción no fuera rentable. Esto excluye la posibilidad de eludir las protecciones del software.

Volviendo al tema que nos ocupa, podemos ver que Apple ha diseñado inteligentemente su esquema FDE de manera que sea muy difícil de descifrar.

a través de