Función de protección de datos de Apple: ¡cuidado si tienes un reloj! – Pura seguridad

Tommy Mysk y Talal Haj Bakry describirse a sí mismos cómo «Dos desarrolladores de iOS e investigadores de seguridad ocasionales en dos continentes».

En otras palabras, aunque la ciberseguridad no es su negocio principal, ellos hacen lo que los programadores queremos: no dar por sentadas las características de seguridad de las aplicaciones o los sistemas operativos, sino mantener sus propios ojos en cómo funcionan esas características en la vida real. para no tropezar con los errores y suposiciones de los demás.

Ya hemos escrito sobre sus resultados, por ejemplo cuando presentaron un argumento bien elaborado que convenció a TikTok de usar HTTPS para todo, y ahora estamos escribiendo sobre un artículo nano …

… un informe de seguridad que Tommy Mysk ha comprimido elegantemente en un solo tweet:

Este es un recordatorio interesante de lo difícil que puede ser garantizar que las características de seguridad de propósito general realmente funcionen en todos los ámbitos según lo previsto, o al menos funcionan como concluiría cualquier usuario razonable.

Seguimiento de su uso de correo electrónico

Explicar.

El iOS 15 de Apple introdujo una buena función anti-seguimiento para su correo electrónico que está sincronizado Protección de datos para correos electrónicos:

La idea es bastante agradable y simple: para protegerte de los molestos trucos de marketing, como el seguimiento de píxeles, puedes pedirle a Apple que primero busque el contenido de tu correo electrónico remoto y luego te lo reenvíe indirectamente, lo que convierte a Apple en un proxy para imágenes y enlaces en tus mensajes. .

Esto actúa como una especie de pseudo-VPN (red privada virtual) que aparece en el otro extremo de la conexión como «un servidor llamado Apple» en lugar de «un usuario específico de la red doméstica X nos visitó». Esto le da un modesto impulso a la privacidad.

En un mundo ideal

En un mundo ideal, esto no sería necesario porque cualquiera que le envíe correos electrónicos incluiría imágenes como logotipos en el mensaje en sí, o simplemente enviaría mensajes en texto sin formato, sin imágenes en absoluto.

Sin embargo, a muchos departamentos de marketing les gusta vincular imágenes con nombres claros en cada correo electrónico de una campaña, a menudo utilizando imágenes que no tienen un propósito visual (por ejemplo, enlaces en los que se puede hacer clic en los mensajes.

Eso significa que cuando su cliente de correo electrónico muestra la imagen o cuando visita enlaces en ella, el servidor web en el otro extremo puede crear una entrada de registro que compara su número de IP con la URL única utilizada y, por lo tanto, posiblemente lo rastrea bastante de cerca hasta el hora y lugar donde leyó el correo electrónico.

Por supuesto, los departamentos de marketing generalmente no alojan estas imágenes y enlaces de seguimiento por sí mismos; por lo general, dependen de una empresa de seguimiento y análisis de terceros, y ahí es donde termina la base de datos de seguimiento.

Por insignificante e inocuo que pueda parecer este tipo de datos de seguimiento cuando se ven para un correo electrónico a la vez, todo se acumula con el tiempo, especialmente si varios servicios en línea diferentes utilizan la misma empresa de análisis, lo que luego brinda la oportunidad de hacerlo. realizar un seguimiento de usted a través de múltiples servicios y sitios web si así lo desea.

Por esta razón, los navegadores modernos y los clientes de correo electrónico generalmente ofrecen funciones integradas de anti-rastreo para limitar la precisión del rastreo en línea y así mejorar un poco su privacidad.

Estas características reducen la recopilación ocasional, pero significativa, de este tipo de información mientras navega o lee su correo electrónico.

Más anonimato

Manzanas Protección de datos para correos electrónicos es otro nivel leve de anonimización que ayudará a reducir su trazabilidad, incluso si realmente desea ver las imágenes externas en un correo electrónico (en realidad, podría estar interesado en el producto que se anuncia) o si está dispuesto a hacer clic en los enlaces incrustados para obtener más información.

Cualquiera que mire las imágenes de los últimos y mejores productos verá cómo se ven, lo que significa que el proceso de publicidad está funcionando según lo previsto.

Pero todos estos clientes potenciales aparecen como visitantes generales de «algún lugar del imperio de servidores de Apple», en lugar de «la familia en 72 Acacia Avenue, junto a la oficina de correos, justo antes de llegar a Church Lane», por lo que el proceso de seguimiento continúa. con se introduce de contrabando en los anuncios ya no funciona como se esperaba.

No todo el mundo

Bueno, no lo hagas alguien, resulta y no Todo el mundo clientes potenciales.

El dúo cibernético Tommy Mysk / Talal Haj Bakry ha descubierto que esta anonimización de IP no funciona en el Apple Watch.

Irónicamente, el dispositivo que cree que se beneficiaría más de tener contenido remoto precargado de un servidor proxy y posiblemente reducido o minimizado o simplificado para una mejor apariencia, al menos …

… no parece honrar su actitud Proteja la actividad del correo electrónico Oportunidad.

Los píxeles de seguimiento incrustados en los correos electrónicos que ve en su iPhone están protegidos de esta función, pero revelarán su número de IP real cuando se vea el mismo correo electrónico a través de su reloj.

No sabemos por qué existe esta discrepancia, pero sospechamos que watchOS de Apple no tiene lo que podría llamarse «paridad de funciones» con iOS 15.

Después de todo, iOS 12 para iPhones y iPads todavía es compatible con Apple (hasta donde sabemos), pero no existe Proteja la actividad del correo electrónico opción disponible allí.

Entonces, aunque configuró su Apple Watch emparejándolo con su iPhone y luego configurándolo a través de los menús de iOS 15, iOS 15 en sí no se ejecutará.

De hecho, la última versión de watchOS tiene el número 8.1 en ese momento o como está escrito, en comparación con iOS y iPadOS, que están ambos en 15.1.

¿Qué tengo que hacer?

Para aquellos con relojes Apple que desean al menos parte del blindaje de privacidad del Protección de datos para correos electrónicos Característica Le preguntamos a Tommy Mysk si había una solución.

Él respondió que tenías las siguientes opciones explícitamente en el ajustes > Email > Protección de datos para correos electrónicos Página:

Esto bloqueará el contenido remoto, incluido el seguimiento de imágenes, de forma predeterminada tanto en el teléfono como en el reloj, para que no revele inadvertidamente el historial de «cuándo y dónde» de sus hábitos de lectura de correo electrónico. (Aparentemente, tne Ocultar la dirección IP Opción que forma parte de una función llamada. es Retransmisión privada de iCloud, aún no está disponible para todos los usuarios).

Pero aún debes recordar no tocar Cargar todas las imágenes cuando lea el correo electrónico en su reloj porque si autoriza el acceso a estas imágenes, su número de IP no se ocultará como se esperaba.

Tommy también señala que este problema de no protección de IP se aplica a la anuncios Aplicación en la que tocar enlaces en mensajes instantáneos o mensajes de texto (SMS) en su reloj lo llevará directamente desde el número de IP de su reloj al servidor en la URL, incluso si Ocultar la dirección IP Está encendido.

¿Es esto un error, un descuido o simplemente un efecto secundario esperado del hecho de que watchOS simplemente no es iOS, incluso si piensa en su reloj como una especie de «extensión emparejada» de su iPhone?

No lo sabemos.

Y dudamos que, dada su postura restrictiva sobre los boletines de seguridad, Apple emita algún tipo de notificación para explicar la situación …

… así que hasta que watchOS e iOS alcancen la «paridad de funciones» y alguien como Tommy o Talal se dé cuenta de esto y lo señale, debe solucionar este problema usted mismo si la protección contra el seguimiento de correo electrónico es importante para usted.