¿Es seguro el Apple Pay en el Apple Watch si el iPhone se rompe en la cárcel?

[EDICIÓN] - Esta edición revisa mi respuesta a:

• responder más específicamente a la pregunta de la OP para su escenario exacto
• reducir la ambigüedad haciendo más claras las partes de mi respuesta que eran de naturaleza más general

1. Respuesta a la pregunta/escenario exacto de OP

Sí, sus datos de pago son 100% seguros ya que ya has configurado Apple Pay en tus dispositivos antes de haciendo un Jailbreak en el futuro. Esto se debe a que la información de tu tarjeta no se guarda en el dispositivo. En otras palabras, como los datos no están en el dispositivo, no hay riesgo de que se acceda a ellos desde tu iPhone, incluso después de hacer un Jailbreak. ¡La información simplemente no está ahí para robar!

2. Las propias palabras de Apple se refieren a la encriptación y protección de datos en los dispositivos de la cárcel.

Según Apple

La cadena de arranque seguro, la firma de código y la seguridad del proceso en tiempo de ejecución ayudan a asegurar que sólo el código y las aplicaciones de confianza pueden funcionar en un dispositivo. El iOS tiene características adicionales de encriptación y protección de datos para salvaguardar los datos de los usuarios, incluso en los casos en que otras partes de la seguridad infraestructura se han visto comprometidas (por ejemplo, en un dispositivo con modificaciones no autorizadas) . Esto proporciona importantes beneficios para ambos los usuarios y los administradores de TI, protegiendo a las personas y a las empresas información en todo momento y proporcionando métodos para la borrado completo a distancia en caso de robo o pérdida del dispositivo.

Fuente: Libro Blanco de Seguridad del iOS de Apple, 2014, p8. NOTA: El énfasis en negrita es mío, no de Apple.

Como puedes ver, según Apple, ni siquiera romper la cárcel de un dispositivo resultará en un código o aplicaciones no confiables que puedan acceder a ciertas áreas, como el Enclave Seguro.

Más específicamente, Apple afirma:

El Enclave Seguro es un coprocesador fabricado en el chip Apple A7. Utiliza su propio arranque seguro y actualización de software personalizada separado del procesador de aplicaciones. También proporciona todos los operaciones criptográficas para la gestión de claves de protección de datos y mantiene la integridad de la protección de datos incluso si el núcleo tiene se ha visto comprometida .

Fuente: Libro Blanco de Seguridad del iOS de Apple, 2014, p5. NOTA: El énfasis en negrita es mío, no de Apple.

El enclave seguro es parte de los procesadores A7 y posteriores de Apple. Este enclave está documentado en Solicitud de patente de Apple 20130308838 y también tiene su propio sistema operativo llamado SEP OS.

Así que, según Apple, sus datos están seguros.

3. Información general sobre el pago y la seguridad de Apple

La mejor manera de introducir la información de tu tarjeta al configurar Apple Pay es usar la cámara de tu iPhone. Esto se debe a que al hacerlo, la información de tu tarjeta nunca se guarda en el dispositivo ni se almacena en la biblioteca de fotos. En otras palabras, como los datos no están en el dispositivo para empezar, no hay riesgo de que se acceda a ellos desde tu iPhone.

Una vez que haya configurado su dispositivo para Apple Pay, su banco (o institución financiera) crea un Número de Cuenta del Dispositivo (DAN) que es único para su dispositivo y se cifra y se envía a Apple para que lo añada a lo que se denomina el Elemento Seguro de su dispositivo. Este elemento es totalmente aislado de iOS y watchOS es nunca se almacenó en los servidores de Apple ni se ha respaldado a iCloud.

Es importante señalar también que el DAN nunca es realmente desencriptado por Apple, sólo realizan la acción de colocarlo en su dispositivo en su forma encriptada.

Si tienes que introducir manualmente la información de tu tarjeta (es decir, en lugar de usar la cámara de tu iPhone), esta información también se codifica y se envía a los servidores de Apple. Dado que la información se almacena en tu iPhone antes de ser encriptada es teóricamente Es posible que un tercero pueda registrar esto, pero el riesgo de que esto ocurra en un dispositivo que no esté roto es del 0% porque los datos (es decir, la información de su tarjeta):

• se almacena en la memoria cifrada
• sólo se almacenan por un período muy corto (unos pocos segundos como máximo)
• está protegido por AES envoltura de llaves con ambos lados proporcionando una clave aleatoria que establece la clave de la sesión y utiliza AES-CCM la encriptación del transporte.

En resumen, no creo que sea posible garantizar absolutamente al 100% que un hacker nunca pudo recuperar los datos de su tarjeta, pero en realidad el riesgo de que esto ocurra es que un hacker entre en los sistemas de su banco, no desde su iPhone.

4. Más lecturas:

• Seguridad de Apple Pay .