{"id":331382,"date":"2024-05-01T20:40:55","date_gmt":"2024-05-01T18:40:55","guid":{"rendered":"https:\/\/sftarticles.wpenginepowered.com\/es\/?p=331382"},"modified":"2024-08-18T16:47:32","modified_gmt":"2024-08-18T14:47:32","slug":"el-increiblemente-privado-safari-de-apple-no-lo-es-tanto-en-europa","status":"publish","type":"post","link":"https:\/\/cms-articles.softonic.io\/es\/el-increiblemente-privado-safari-de-apple-no-lo-es-tanto-en-europa\/","title":{"rendered":"El &#8220;incre\u00edblemente privado&#8221; Safari de Apple no lo es tanto en Europa"},"content":{"rendered":"\n<p class=\"wp-block-paragraph\">Las normas antimonopolio europeas que Apple ha tenido que aceptar (por el bien de los usuarios y para mal econ\u00f3mico suyo) <strong>ha dejado a los usuarios de su navegador Safari expuestos a un posible rastreo de la actividad web.<\/strong><\/p>\n\n\n<div class=\"sc-card-program\">\r\n  <div class=\"sc-card-program__body\">\r\n    <div class=\"sc-card-program__row clearfix\">\r\n      <div class=\"sc-card-program__col-logo\">\r\n        <img decoding=\"async\" class=\"sc-card-program__img\" src=\"https:\/\/images.sftcdn.net\/images\/t_app-icon-s\/p\/8f7cb2d7-74e2-4492-af0c-06a1761742a1\/457874704\/apple-tv-plus-2019-03-28_12-07-17.png\" alt=\"AppleTV+\" width=\"100px\" height=\"100px\">\r\n      <\/div>\r\n      <div class=\"sc-card-program__col-title\">\r\n        <span class=\"sc-card-program__title\">AppleTV+<\/span>\r\n        <a class=\"sc-card-program__button sc-card-program-internal\" href=\"https:\/\/apple-tv-plus.softonic.com\/mac\" target=\"_self\" rel=\"noopener noreferrer\">DESCARGAR<\/a>\r\n      <\/div>\r\n      <div class=\"sc-card-program__col-rating\">\r\n        <svg class=\"rating-score__content\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\" version=\"1.1\" x=\"0\" y=\"0\" viewbox=\"0 0 50 50\" enable-background=\"new 0 0 50 50\" xml:space=\"preserve\"><path class=\"rating-score__background rating-score--good\" fill=\"none\" stroke-width=\"6\" stroke-miterlimit=\"10\" d=\"M40 40c8.3-8.3 8.3-21.7 0-30s-21.7-8.3-30 0 -8.3 21.7 0 30\"><\/path><path class=\"rating-score__value rating-score__value--0\" fill=\"none\" stroke-width=\"6\" stroke-dashoffset=\"0\" stroke-miterlimit=\"10\" d=\"M40 40c8.3-8.3 8.3-21.7 0-30s-21.7-8.3-30 0 -8.3 21.7 0 30\"><\/path><text class=\"rating-score__number\" content=\"\" text-anchor=\"middle\" transform=\"matrix(1 0 0 1 25 31.0837)\" data-auto=\"app-user-score\"><\/text><\/svg>\r\n      <\/div>\r\n    <\/div>\r\n    <div class=\"sc-card-program__row\">\r\n      <span class=\"sc-card-program__description\"><\/span>\r\n    <\/div>\r\n    <div class=\"sc-card-program__row\">\r\n      <img decoding=\"async\" class=\"sc-card-program__bigpic\" src=\"\" onerror=\"this.style.display='none'\">\r\n    <\/div>\r\n    <a class=\"sc-card-program__link track-link sc-card-program-internal\" href=\"https:\/\/apple-tv-plus.softonic.com\/mac\" target=\"_self\" rel=\"noopener noreferrer\"><\/a>\r\n  <\/div>\r\n<\/div>\n\n\n\n<p class=\"wp-block-paragraph\">Los desarrolladores Talal Haj Bakry y Tommy Mysk investigaron la forma en que Apple implement\u00f3 <a href=\"https:\/\/www.softonic.com\/articulos\/apple-permitira-tiendas-de-terceros-en-la-ue-anuncia-cambios-en-safari-y-mucho-mas-asi-queda-ios-tras-la-dma\" target=\"_blank\" rel=\"noopener\" title=\"el proceso de instalaci\u00f3n de los mercados de software de terceros en iOS\">el proceso de instalaci\u00f3n de los mercados de software de terceros en iOS<\/a> <strong>con Safari, y concluyeron que el enfoque de Cupertino es particularmente deficiente.<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">&#8220;Nuestras pruebas demuestran que Apple proporcion\u00f3 esta funci\u00f3n con fallos de seguridad y privacidad catastr\u00f3ficos&#8221;, escribieron Bakry y Mysk <a href=\"https:\/\/www.mysk.blog\/2024\/04\/28\/safari-tracking\/\" target=\"_blank\" rel=\"noopener nofollow\" title=\"en un aviso publicado el fin de semana\">en un aviso publicado el fin de semana<\/a>.<\/p>\n\n\n\n<figure class=\"wp-block-embed is-type-rich is-provider-twitter wp-block-embed-twitter\"><div class=\"wp-block-embed__wrapper\">\n<blockquote class=\"twitter-tweet\" data-width=\"550\" data-dnt=\"true\"><p lang=\"en\" dir=\"ltr\">Apple&#39;s implementation of installing marketplace apps from <a href=\"https:\/\/twitter.com\/hashtag\/Safari?src=hash&amp;ref_src=twsrc%5Etfw\">#Safari<\/a> is heavily flawed and can allow a malicious marketplace to track <a href=\"https:\/\/twitter.com\/hashtag\/EU?src=hash&amp;ref_src=twsrc%5Etfw\">#EU<\/a> users across websites, even in private browsing mode. This blog details our findings:<a href=\"https:\/\/t.co\/xzCAzdYI1E\">https:\/\/t.co\/xzCAzdYI1E<\/a><a href=\"https:\/\/twitter.com\/hashtag\/privacy?src=hash&amp;ref_src=twsrc%5Etfw\">#privacy<\/a> <a href=\"https:\/\/twitter.com\/hashtag\/security?src=hash&amp;ref_src=twsrc%5Etfw\">#security<\/a> <a href=\"https:\/\/twitter.com\/hashtag\/iOS?src=hash&amp;ref_src=twsrc%5Etfw\">#iOS<\/a> <a href=\"https:\/\/twitter.com\/hashtag\/iPhone?src=hash&amp;ref_src=twsrc%5Etfw\">#iPhone<\/a><\/p>&mdash; Mysk ???? (@mysk_co) <a href=\"https:\/\/twitter.com\/mysk_co\/status\/1784679599449702878?ref_src=twsrc%5Etfw\">April 28, 2024<\/a><\/blockquote><script async src=\"https:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script>\n<\/div><\/figure>\n\n\n\n<h2 class=\"wp-block-heading\">\u00bfDe d\u00f3nde sale la falla de seguridad de Safari?<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Apple, que publicita su navegador Safari como incre\u00edblemente privado, ha socavado evidentemente la privacidad de los usuarios de Safari de la Uni\u00f3n Europea mediante <strong>un esquema marketplace-kit: URI que permite a las tiendas de aplicaciones de terceros seguir a esos usuarios por la web.<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Un esquema URI es una forma de determinar c\u00f3mo se gestiona una solicitud de red concreta. <\/strong>Un sitio web que ofrezca un mercado de software alternativo puede incluir un bot\u00f3n que, al pulsarlo en Safari, lance una solicitud marketplace-kit: gestionada por un proceso MarketplaceKit en el iPhone del usuario de la UE.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Este proceso, integrado en iOS 17.4 por Apple, se pone en contacto con los servidores back-end del mercado autorizado para completar la instalaci\u00f3n de la aplicaci\u00f3n de esa tienda en el tel\u00e9fono.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>El problema es que cualquier sitio puede activar un marketplace-kit: request.<\/strong> En los dispositivos iOS 17.4 de la UE, Safari enviar\u00e1 un identificador \u00fanico por usuario a los servidores de un marketplace aprobado, filtrando el hecho de que el usuario estaba visitando ese sitio.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Esto ocurre incluso si Safari est\u00e1 en modo de navegaci\u00f3n privada. Los servidores del mercado pueden rechazar la solicitud, que tambi\u00e9n puede incluir una carga \u00fatil personalizada, pasando m\u00e1s informaci\u00f3n sobre el usuario a la tienda alternativa. Todo esto se ilustra en el siguiente v\u00eddeo.<\/p>\n\n\n\n<figure class=\"wp-block-embed is-type-video is-provider-youtube wp-block-embed-youtube wp-embed-aspect-16-9 wp-has-aspect-ratio\"><div class=\"wp-block-embed__wrapper\">\n<iframe loading=\"lazy\" title=\"iPhone users in the EU: This is why you should stop using Safari, and why Brave is a better choice\" width=\"840\" height=\"473\" src=\"https:\/\/www.youtube.com\/embed\/aISz4ITI710?feature=oembed\" frameborder=\"0\" allow=\"accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share\" referrerpolicy=\"strict-origin-when-cross-origin\" allowfullscreen><\/iframe>\n<\/div><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Seg\u00fan Bakry y Mysk, el sistema URI de Apple tiene tres fallos importantes.<\/strong> En primer lugar, no comprueba el origen del sitio web, lo que significa que es posible el mencionado rastreo entre sitios.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>En segundo lugar, MarketplaceKit de Apple<\/strong> -su API para tiendas de terceros- no valida los tokens web JSON (JWT) pasados como par\u00e1metros de entrada a trav\u00e9s de las solicitudes entrantes. &#8220;Peor a\u00fan, transmite ciegamente el token JWT no v\u00e1lido al llamar al punto final \/oauth\/token&#8221;, observaron Bakry y Mysk. &#8220;Esto abre la puerta a varios ataques de inyecci\u00f3n dirigidos al proceso de MarketplaceKit o al back-end del mercado&#8221;.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Y en tercer lugar, Apple no est\u00e1 utilizando la fijaci\u00f3n de certificados, lo que deja la puerta abierta a la intromisi\u00f3n de un intermediario (MITM)<\/strong> durante el intercambio de comunicaciones de MarketplaceKit. Bakry y Mysk afirman que fueron capaces de sobrescribir los servidores implicados en este proceso con sus propios <em>endpoints.<\/em><\/p>\n\n\n\n<h2 class=\"wp-block-heading\">\u00bfLe interesa a Apple arreglar el fallo?<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">El factor limitante de este ataque es que un marketplace debe ser aprobado primero por Apple antes de poder llevar a cabo este tipo de rastreo. Por el momento, no son muchos los marketplaces que han obtenido la aprobaci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Los dos investigadores de seguridad argumentan que las aplicaciones fraudulentas se abren camino con regularidad a trav\u00e9s del proceso de revisi\u00f3n de Apple, lo que significa que las tiendas de aplicaciones fraudulentas podr\u00edan ser autorizadas. <strong>Y afirman que los problemas de privacidad se deben a que Apple quiere rastrear el uso de las tiendas de terceros.<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Instan a los usuarios de iOS en Europa a utilizar Brave en lugar de Safari porque la implementaci\u00f3n de Brave comprueba el origen del sitio web con la URL para evitar el seguimiento cruzado.<\/p>\n\n\n<div class=\"sc-card-program\">\r\n  <div class=\"sc-card-program__body\">\r\n    <div class=\"sc-card-program__row clearfix\">\r\n      <div class=\"sc-card-program__col-logo\">\r\n        <img decoding=\"async\" class=\"sc-card-program__img\" src=\"https:\/\/images.sftcdn.net\/images\/t_app-icon-s\/p\/8f7cb2d7-74e2-4492-af0c-06a1761742a1\/457874704\/apple-tv-plus-2019-03-28_12-07-17.png\" alt=\"AppleTV+\" width=\"100px\" height=\"100px\">\r\n      <\/div>\r\n      <div class=\"sc-card-program__col-title\">\r\n        <span class=\"sc-card-program__title\">AppleTV+<\/span>\r\n        <a class=\"sc-card-program__button sc-card-program-internal\" href=\"https:\/\/apple-tv-plus.softonic.com\/mac\" target=\"_self\" rel=\"noopener noreferrer\">DESCARGAR<\/a>\r\n      <\/div>\r\n      <div class=\"sc-card-program__col-rating\">\r\n        <svg class=\"rating-score__content\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\" version=\"1.1\" x=\"0\" y=\"0\" viewbox=\"0 0 50 50\" enable-background=\"new 0 0 50 50\" xml:space=\"preserve\"><path class=\"rating-score__background rating-score--good\" fill=\"none\" stroke-width=\"6\" stroke-miterlimit=\"10\" d=\"M40 40c8.3-8.3 8.3-21.7 0-30s-21.7-8.3-30 0 -8.3 21.7 0 30\"><\/path><path class=\"rating-score__value rating-score__value--0\" fill=\"none\" stroke-width=\"6\" stroke-dashoffset=\"0\" stroke-miterlimit=\"10\" d=\"M40 40c8.3-8.3 8.3-21.7 0-30s-21.7-8.3-30 0 -8.3 21.7 0 30\"><\/path><text class=\"rating-score__number\" content=\"\" text-anchor=\"middle\" transform=\"matrix(1 0 0 1 25 31.0837)\" data-auto=\"app-user-score\"><\/text><\/svg>\r\n      <\/div>\r\n    <\/div>\r\n    <div class=\"sc-card-program__row\">\r\n      <span class=\"sc-card-program__description\"><\/span>\r\n    <\/div>\r\n    <div class=\"sc-card-program__row\">\r\n      <img decoding=\"async\" class=\"sc-card-program__bigpic\" src=\"\" onerror=\"this.style.display='none'\">\r\n    <\/div>\r\n    <a class=\"sc-card-program__link track-link sc-card-program-internal\" href=\"https:\/\/apple-tv-plus.softonic.com\/mac\" target=\"_self\" rel=\"noopener noreferrer\"><\/a>\r\n  <\/div>\r\n<\/div>\n\n\n\n<p class=\"wp-block-paragraph\">Al no hacer el esfuerzo adicional de implantar de forma segura las tiendas de aplicaciones de terceros,<strong> Apple ha convertido posiblemente sus preocupaciones por la seguridad y la privacidad en una profec\u00eda autocumplida.<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En sus observaciones <a href=\"https:\/\/developer.apple.com\/security\/complying-with-the-dma.pdf\" target=\"_blank\" rel=\"noopener\" title=\"[PDF]\">[PDF]<\/a> sobre el cumplimiento de la DMA, Apple declar\u00f3: &#8220;En la UE, la seguridad, privacidad y protecci\u00f3n de cada usuario depender\u00e1 en parte de dos cuestiones. En primer lugar, \u00bfson los mercados y procesadores de pagos alternativos capaces de proteger a los usuarios? Y, segundo, \u00bfest\u00e1n interesados en hacerlo?&#8221;.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Tambi\u00e9n est\u00e1 la cuesti\u00f3n de si Apple es capaz de proteger a los usuarios, y si est\u00e1 interesada en hacerlo.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Seg\u00fan Bakry y Mysk, el sistema URI de Apple tiene tres fallos importantes. En primer lugar, no comprueba el origen del sitio web, en segundo lugar&#8230;<\/p>\n","protected":false},"author":9265,"featured_media":301027,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":"","wpcf-pageviews":1},"categories":[9317],"tags":[9387],"usertag":[],"vertical":[],"content-category":[],"class_list":["post-331382","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-news","tag-apple"],"aioseo_notices":[],"_links":{"self":[{"href":"https:\/\/cms-articles.softonic.io\/es\/wp-json\/wp\/v2\/posts\/331382","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cms-articles.softonic.io\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cms-articles.softonic.io\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cms-articles.softonic.io\/es\/wp-json\/wp\/v2\/users\/9265"}],"replies":[{"embeddable":true,"href":"https:\/\/cms-articles.softonic.io\/es\/wp-json\/wp\/v2\/comments?post=331382"}],"version-history":[{"count":0,"href":"https:\/\/cms-articles.softonic.io\/es\/wp-json\/wp\/v2\/posts\/331382\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cms-articles.softonic.io\/es\/wp-json\/wp\/v2\/media\/301027"}],"wp:attachment":[{"href":"https:\/\/cms-articles.softonic.io\/es\/wp-json\/wp\/v2\/media?parent=331382"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cms-articles.softonic.io\/es\/wp-json\/wp\/v2\/categories?post=331382"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cms-articles.softonic.io\/es\/wp-json\/wp\/v2\/tags?post=331382"},{"taxonomy":"usertag","embeddable":true,"href":"https:\/\/cms-articles.softonic.io\/es\/wp-json\/wp\/v2\/usertag?post=331382"},{"taxonomy":"vertical","embeddable":true,"href":"https:\/\/cms-articles.softonic.io\/es\/wp-json\/wp\/v2\/vertical?post=331382"},{"taxonomy":"content-category","embeddable":true,"href":"https:\/\/cms-articles.softonic.io\/es\/wp-json\/wp\/v2\/content-category?post=331382"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}