Acusan a Apple de compartir información de usuarios con China

Apple está bajo fuego, por su práctica de comprobar si los sitios web que visita son fraudulentos y están infestados de malware después de que el conglomerado chino de Internet, Tencent, apareciera en la lista de proveedores de navegación segura.

La función Safari -denominada “Advertencia fraudulenta de sitios web” en iOS y macOS- tiene por objeto mejorar la seguridad en línea mediante la referencia cruzada de URLs contra un servicio de lista negra proporcionado por proveedores de navegación segura como Google y Tencent.

“Esta función parece estar activada de forma predeterminada en iOS Safari, lo que significa que millones de usuarios podrían verse afectados”, dijo Matthew Green, profesor de criptografía de John Hopkins.

Pero para que esto funcione, los fabricantes de navegadores, incluidos Apple y Mozilla, “envían información calculada a partir de la dirección del sitio web a los proveedores de Navegación Segura para comprobar si el sitio web es fraudulento”, además de registrar potencialmente su dirección IP.

Google y Tencent son algunos de los principales proveedores de navegación segura, y la oferta de Google ha sido adoptada por la mayoría de los navegadores modernos. Microsoft, de la misma manera, tiene una herramienta similar de anti-phishing y anti-malware basada en la nube llamada SmartScreen integrada en la mayoría de sus productos como Windows, Internet Explorer, Microsoft Edge y Outlook.

Hasta ahora, no hay evidencia que sugiera que Tencent esté recolectando direcciones IP de usuarios que residen fuera de China. Sin embargo, no está del todo claro cuando Apple añadió la empresa a la lista junto con Google, a pesar de que algunos tweets apuntan a versiones que empiezan desde iOS 12.2.

El motor de renderizado de código abierto WebKit, que es la base de Safari, también alimenta los navegadores de terceros disponibles en iOS debido a las restricciones impuestas por las directrices de revisión de Apple App Store.

Google, por ejemplo, proporciona dos API de navegación segura diferentes: una API de búsqueda y otra de actualización, la primera de las cuales permite a los navegadores enviar URL en texto plano al servidor de navegación segura de Google para comprobar su estado. El gigante de la búsqueda, en su documentación, reconoce el inconveniente de la privacidad: “Las URLs no están hashadas, así que el servidor sabe qué URLs buscas.”

Este último, utilizado por Apple, permite a los navegadores descargar versiones cifradas de las listas de Navegación Segura para realizar comprobaciones locales y por parte del cliente de las URL, lo que significa que el servidor de navegación segura nunca conoce las URL reales consultadas por Safari.

Independientemente de si el proveedor de navegación seguro es Google o Tencent, si no te sientes cómodo con esta configuración activada de forma predeterminada, puedes desactivarla siguiendo los pasos que se indican a continuación:

iOS: Ajustes > Safari > Desactivar el aviso de sitio web fraudulento
macOS: Safari > Preferencias > Seguridad > Desmarcar Avisar cuando se visita un sitio web fraudulento

Pero vale la pena señalar aquí que la modificación también aumenta la probabilidad de visitar accidentalmente un sitio web de phishing que podría hacer un “intento fraudulento de robar su información personal, como nombres de usuario, contraseñas y otra información de cuenta”.

Es muy posible que la lista negra de Tencent esté localizada en China, donde los servicios de Google están bloqueados, y no en otro lugar. Pero el desarrollo ha vuelto a salir a la luz en un momento en que el fabricante de iPhone está atrapado entre la espada y la pared con respecto a sus prácticas en el país.

“Aunque ellos[Tencent] pueden ser igual de confiables, merecemos estar informados sobre este tipo de cambio y tomar decisiones al respecto”, dijo Green. “Por lo menos, los usuarios deben conocer estos cambios antes de que Apple ponga la función en producción y, por lo tanto, pida a millones de sus clientes que confíen en ellos”.

Con información de: Genbeta.