Un lanzamiento más controvertido del que habría esperado y querido tuvo el sistema operativo macOS Big Sur, que equipa desde noviembre de 2020 las computadoras de Apple.
A los problemas de conectividad con sus servidores, un investigador de seguridad publicó un informe en el que acusa a la compañía de registrar todas las actividades que realizan los usuarios.
Según Jeffry Paul, macOS Big Sur envía a Apple un hash (identificador único) de todos y cada uno de los programas que un usuario ejecuta y cuándo lo hace.
En un informe titulado “Tu computadora no es tuya”, Paul asegura que el proceso se realiza a través de la herramienta Gatekeeper, destinada a velar que los usuarios no descarguen programas maliciosos disfrazados de una aplicación legítima.
Según el investigador, a través de Gatekeeper Apple registra los siguientes datos: fecha, hora, computadora, ISP, ciudad, estado y hash de la aplicación.
“Esto significa que Apple sabe cuándo estás en casa. Cuando estás en el trabajo. Qué aplicaciones abre allí y con qué frecuencia. Saben cuándo abres Premiere en la casa de un amigo en su wifi, y saben cuándo abres Tor Browser en un hotel en un viaje a otra ciudad”, aseguró en un blog citado por el portal 9to5mac.
Pero el informático va más allá y asegura que estos datos se transmiten sin cifrado, por lo que podrían ser capturados por cualquier ciberdelincuentes. “Estos datos representan un enorme tesoro de datos sobre su vida y hábitos, y permiten que alguien que los posea identifique sus patrones de movimiento y actividad”, aseguró.
Qué dice Apple
Apple respondió al informe del investigador, asegurando que nunca han usado la información que registra Gatekeeper, como parte del proceso de Online Certificate Status Protocol (OSCP), para monitorear la actividad de los usuarios.
El OCSP está diseñado para garantizar la seguridad de los usuarios, a través de certificados de las aplicaciones que se contrastan en los servidores de Apple. Si estos no coinciden, la app no se puede ejecutar por un potencial riesgo.
La versión de Apple fue respaldada por otro investigador, Jacopo Jannone.
“Nunca hemos combinado los datos de estos controles con información sobre los usuarios de Apple o sus dispositivos”, aseguró la compañía.
Agregó que “no utilizamos los datos de estas comprobaciones para saber qué usuarios individuales están abriendo o ejecutando en sus dispositivos”.
Apple sostuvo que “estos controles de seguridad nunca han incluido el ID de Apple del usuario o la identidad de su dispositivo”.
Pero además enfatizó que “para proteger aún más la privacidad, hemos dejado de registrar las direcciones IP asociadas con las verificaciones del certificado de ID de desarrollador y nos aseguraremos de que cualquier dirección IP recopilada se elimine de los registros”.
