Apple's Teclado mágico es un dispositivo bluetooth, lo que significa que el hacker puede potencialmente interceptar la señal y descifrar los mensajes o, digamos, obtener el control de la entrada.
Pregunta: ¿Es el Magic Keyboard lo suficientemente seguro? ¿Qué hace Apple para que sea seguro?
En realidad, es bastante seguro utilizar teclados Bluetooth.
Desde 2009 en adelante, los teclados bluetooth han cifrado todo el tráfico de extremo a extremo con la excepción del descubrimiento de servicios. En otras palabras, sólo los paquetes de publicidad que básicamente dicen "soy un teclado" o "soy un trackpad o un ratón" están sin cifrar. Todo lo demás, incluida la autenticación, está cifrado.
¿Cómo puede MacOS Sierra emparejarse de forma segura con los teclados Bluetooth sin un código?
Introducir una clave o un código de acceso no forma parte del mecanismo de seguridad; es una forma de Emparejamiento seguro y sencillo o SSP. La clave de acceso es sólo una forma de identificar los dispositivos que se van a emparejar. Definitivamente no es una forma de prevenir ataques MITM.
Entonces, ¿es seguro el Bluetooth?
Es más exacto decir " es lo suficientemente seguro para las normas del Gobierno de EE.UU. .
Bluetooth se adhiere a la normativa federal de seguridad de Estados Unidos, lo que garantiza que todos los dispositivos Bluetooth son capaces de cumplir y superar las estrictas normas de seguridad del gobierno.
Cumple con el NIST: El Instituto Nacional de Tecnología elabora normas y directrices de seguridad para que los organismos federales protejan su información y sus sistemas de información.
Aprobado por FIPS: Estas Normas Federales de Procesamiento de la Información son desarrolladas por el NIST de acuerdo con la Ley Federal de Gestión de la Seguridad de la Información (FISMA).
Más información:
Publicación especial del NIST 800-121 Revisión 2N Guía de seguridad de Bluetooth
Esto no es cierto. No basta con ser simplemente compatible con la norma NIST. Los módulos de cifrado Bluetooth (hardware o software) deben ser compatibles con la norma FIPS 140-2 certificada por el NIST para ser lo suficientemente seguros para el Gobierno. ¿Cómo sabes que el teclado no tiene un troyano incorporado que se conecta a la interfaz del adaptador de red a través de un hackeo en Windows y canaliza todas tus pulsaciones a un mal actor extranjero? Sólo cuando está /certificado/ a nivel de código fuente por un proveedor de certificación de terceros proporcionado por el NIST.
Esto se ha discutido en otro sitio de SE. Aquí está el enlace para el mismo:
La esencia es que la conexión Bluetooth está encriptada, por lo tanto es segura, y el ordenador te hace introducir un código en el teclado durante el proceso de emparejamiento se hace para proteger. Así que esto protege contra el ataque del hombre en el medio.
La conexión encriptada entre el ordenador y el teclado también protege contra cualquier intento de interceptación.
Esto es incorrecto. El "código" que se introduce no es para evitar ataques MITM, es para identificación . La encriptación por sí sola no protege contra el sniffing, especialmente cuando el dispositivo utiliza el mismo par de claves públicas/privadas en todos los dispositivos (dispositivos baratos de otras marcas). Está utilizando un único par de claves que protegen contra el sniffing.
La identificación es fundamental para evitar los ataques MITM. La identificación es la forma de saber que su ordenador está conectado a su teclado, en lugar de su ordenador al atacante, y el atacante a su teclado.
@GlennWillen Pues la identificación es necesaria pero no suficiente para evitar un ataque MITM. Después de todo, en la situación descrita aquí, un atacante podría simplemente reenviar las señales de pulsación de teclas que recibe del teclado al ordenador, entonces el ordenador obtiene el código que espera y completa el emparejamiento sin saber que realmente se está emparejando con el dispositivo del atacante.
A menos que haya una vulnerabilidad desconocida en la implementación del bluetooth de Apple, la transferencia de datos real está cifrada y es segura. Sin embargo, todos los teclados inalámbricos necesariamente filtran información sobre cuando se presionan las teclas:
Aunque lo que dice es técnicamente correcto: cuando se pulsa una tecla, ¿en qué medida ve útil esta información? ¿Cómo puede cronometraje ser utilizado para adivinar una contraseña y mucho menos hacer las conjeturas "más fáciles"? Aquí es donde tu respuesta se desmorona, pero pones el clavo en tu propio ataúd, por así decirlo, al negar la practicidad de esos ataques que acabas de describir,
Cualquier atacante necesitaría un software que estimara las posibles pulsaciones de teclas basándose en el patrón del teclado, por lo que esto es algo así como un ataque teórico, y sólo reduce el tiempo de un ataque de fuerza bruta para adivinar la contraseña - sin embargo, esto trabajo de investigación lo puso en práctica en otro contexto. El comentario de @jpa era acertado, pero sería útil disponer de más contexto.
AppleAyuda es una comunidad de usuarios de los productos de Apple en la que puedes resolver tus problemas y dudas.
Puedes consultar las preguntas de otros usuarios, hacer tus propias preguntas o resolver las de los demás.
9 votos
Una seguridad suficiente necesita una definición para su modelo de amenaza. ¿Te preocupa que un vecino ruidoso y sin conocimientos esté espiando o que la NSA esté al lado para pillarte subiendo secretos de Estado?
0 votos
Cada cierto tiempo se descubren nuevos ataques Bluetooth, por lo que es importante actualizar el firmware del teclado y iOS/MacOS. Apple produce actualizaciones de firmware para sus teclados, lo que es un punto a favor. Por el contrario, algunas actualizaciones de firmware de Logitech para dongles utilizados por teclados/ratones inalámbricos han bloqueado el dongle, y muchos vendedores más pequeños nunca producen actualizaciones de seguridad. En general, confiaría en la seguridad y las actualizaciones de los teclados de Apple más que en la mayoría.