Despliegue del iPhone y el iPad Descripción de la seguridad

1
Despliegue del iPhone
y el iPad
Descripción de la seguridad
iOS, el sistema operativo en el que se basan el iPhone y el iPad, se ha creado sobre diversas capas de seguridad. Esto permite que el iPhone y el iPad accedan de forma segura
a servicios corporativos y protejan datos importantes. iOS ofrece un sólido sistema de
cifrado de datos en tránsito, métodos de autenticación acreditados para acceder a servicios empresariales y cifrado por hardware para los datos en reposo. iOS también ofrece
protección segura mediante el uso de políticas de contraseñas que se pueden diseñar
e imponer de forma inalámbrica. Además, si el dispositivo cayese en malas manos, los
usuarios y los administradores de TI pueden enviar una orden de borrado remoto para
garantizar que la información privada se borra.
Cuando nos planteamos la seguridad de iOS para su uso en empresas, es útil comprender
lo siguiente:
• Seguridad del dispositivo: métodos que impiden el uso no autorizado del dispositivo.
• Seguridad de datos: máxima protección de los datos, incluso si el dispositivo se pierde o
lo roban.
• Seguridad de red: protocolos de red y cifrado de los datos en tránsito.
• Seguridad de las apps: fundamentos de la plataforma segura de iOS.
Estas funciones se combinan para ofrecer una plataforma informática móvil segura.
Seguridad del dispositivo
• Contraseñas seguras
• Caducidad de contraseñas
• Historial de reutilización de contraseñas
• Número máximo de intentos fallidos
• Imposición inalámbrica de contraseñas
• Tiempo de espera progresivo para introducción
de contraseña
Seguridad del dispositivo
Es importante establecer políticas de acceso estrictas al iPhone y al iPad para proteger la
información de la empresa. La contraseña de dispositivo es la primera línea de defensa
contra usos no autorizados, y se puede configurar e imponer de forma inalámbrica. iOS
emplea la contraseña exclusiva determinada por cada usuario para generar una clave de
cifrado fuerte con la que proteger en mayor medida el correo y los datos confidenciales
de las aplicaciones del dispositivo. Además, iOS proporciona métodos seguros para configurar el dispositivo en entornos empresariales, donde se deben aplicar ciertos ajustes,
políticas y restricciones. Estos métodos proporcionan opciones flexibles para establecer
un nivel de protección estándar para los usuarios autorizados.
Políticas de contraseñas
El uso de contraseña en el dispositivo impide que los usuarios sin autorización accedan a
los datos o incluso al dispositivo. iOS permite elegir entre un amplio conjunto de requisitos para contraseñas con los que satisfacer las necesidades de seguridad, como periodos
de inactividad, fortaleza de contraseñas y caducidad.
Se ofrecen las siguientes políticas de contraseña:
• Solicitar Código en el Dispositivo
• Permitir Valor Simple
• Requerir Valor Alfanumérico
• Longitud Mínima del Código
2
• Número Mínimo de Caracteres Complejos
• Periodo Máximo de Validez del Código
• Bloqueo Automático
• Historial de Códigos
• Periodo de Gracia para el Bloqueo del Dispositivo
• Número Máximo de Intentos Fallidos
Imposición de políticas
Las políticas descritas arriba se pueden configurar en el iPhone y el iPad de diversas
maneras. Las políticas también pueden distribuirse como parte de un perfil de configuración que puedan instalar los usuarios. El perfil se puede definir de modo que solo se
pueda borrar con una contraseña de administrador, o para que esté ligado al dispositivo
y solo se pueda borrar si se borra todo el contenido del equipo. Además, los ajustes de
contraseñas se pueden configurar de forma remota mediante soluciones de gestión de
dispositivos móviles (MDM), capaces de transmitir las políticas directamente al dispositivo. Esto permite imponer y actualizar las políticas sin que el usuario deba hacer nada.
Políticas y restricciones
configurables admitidas:
Funcionalidad del Dispositivo
• Permitir Instalar Aplicaciones
• Permitir Siri
• Permitir Usar la Cámara
• Permitir FaceTime
• Permitir Captura de Pantalla
• Permitir Sincronización Automática en
Itinerancia
• Permitir Marcación por Voz
• Permitir Compras desde Aplicaciones
• Pedir al Usuario que Escriba la Contraseña de
iTunes Store para todas las Compras
• Permitir Modo Multijugador
• Permitir Añadir Amigos de Game Center
Aplicaciones
• Permitir el Uso de YouTube
• Permitir el Uso de iTunes Store
• Permitir el Uso de Safari
• Definir preferencias de seguridad de Safari
iCloud
• Permitir Copia de Seguridad
• Permitir la Sincronización de Documentos/
Permitir la Sincronización de Clave-Valor
• Permitir Fotos en Streaming
Seguridad y Privacidad
• Permitir el Envío de Datos de Diagnóstico a
Apple
• Permitir al Usuario Aceptar Certificados TLS no
Fiables
• Forzar Copias de Seguridad Encriptadas
Clasificaciones del Contenido
• Permitir Música y Podcasts Explícitos
• Región de las Clasificaciones
• Clasificaciones de los Contenidos Permitidas
Opcionalmente, si el dispositivo está configurado para acceder a una cuenta de Exchange
de Microsoft, las políticas de Exchange ActiveSync se remiten de forma inalámbrica al
dispositivo. Recuerda que el conjunto disponible de políticas depende de la versión de
Exchange (2003, 2007 o 2010). En la documentación sobre Exchange ActiveSync y los
dispositivos iOS encontrarás un desglose de las políticas admitidas para tu configuración
específica.
Configuración segura del dispositivo
Los perfiles de configuración son archivos XML que contienen las políticas de seguridad y restricciones del dispositivo, la información de la configuración de la red VPN, los
ajustes Wi-Fi y las cuentas de correo electrónico y calendarios, así como las credenciales
de autenticación que permiten que el iPhone y el iPad funcionen con los sistemas de la
empresa. La posibilidad de establecer políticas de contraseñas y ajustes de dispositivo
con un perfil de configuración garantiza que los dispositivos de la empresa estén correctamente configurados y respeten los estándares de seguridad establecidos por la organización. Como los perfiles de configuración se pueden cifrar y bloquear, los ajustes no se
pueden eliminar, modificar ni compartir con otros usuarios.
Los perfiles de configuración se pueden firmar y cifrar. La firma de un perfil de configuración garantiza que no se puedan modificar los ajustes que establece. El cifrado de un
perfil de configuración protege su contenido y solo permite su instalación en el dispositivo para el que fue creado. Los perfiles de configuración se cifran con CMS (Cryptographic
Message Syntax, RFC 3852), y se admiten los algoritmos 3DES y AES 128.
La primera vez que se distribuye un perfil de configuración cifrado, se instala mediante
sincronización USB empleando la utilidad de configuración, o bien mediante inscripción
inalámbrica. Además de estos métodos, la distribución posterior de perfiles de configuración cifrados se puede realizar mediante adjuntos de correo electrónico, alojándolos en
un sitio web accesible para los usuarios, o bien enviándolos al dispositivo mediante soluciones de gestión de dispositivos móviles.
Restricciones del dispositivo
Las restricciones de dispositivo determinan qué prestaciones están disponibles para
los usuarios. Normalmente se aplican a programas con conexión a la Red, como Safari,
YouTube o el iTunes Store, pero las restricciones también pueden controlar cosas como
la instalación de aplicaciones o el uso de la cámara. Las restricciones permiten configurar
el dispositivo en función de los requisitos de cada empresa, de modo que los usuarios lo
empleen de acuerdo con las prácticas de la organización. Las restricciones pueden configurarse en cada dispositivo de forma manual, imponerse con un perfil de configuración
o establecerse a distancia con soluciones de gestión de dispositivos móviles. Además, al
3
Seguridad de datos
• Cifrado por hardware
• Protección de datos
• Borrado remoto
• Borrado local
• Perfiles de configuración cifrados
• Copias de seguridad de iTunes cifradas
igual que las políticas de contraseñas, las restricciones relacionadas con la cámara o la
navegación web se pueden imponer inalámbricamente mediante Exchange Server 2007
o 2010 de Microsoft.
Aparte de las restricciones de ajustes y políticas del dispositivo, la aplicación para equipos de mesa iTunes se puede configurar y controlar desde el departamento de TI. Esto
incluye el bloqueo del acceso a contenido explícito, la definición de los servicios de red
disponibles desde iTunes y la autorización para instalar actualizaciones de programas. Si
deseas más información, consulta Desplegar iTunes en dispositivos iOS.
Seguridad de los datos
Proteger los datos almacenados en el iPhone y el iPad es importante en cualquier entorno con información delicada sobre la empresa o sus clientes. Además de cifrar los datos
transmitidos, el iPhone y el iPad ofrecen cifrado por hardware para los datos almacenados en el dispositivo, y cifrado adicional de correos electrónicos y datos de aplicaciones
con un nivel de protección de datos superior.
Si un dispositivo se extravía o es objeto de hurto, es importante desactivarlo y borrar su
contenido. También es buena idea instaurar una política que borre el dispositivo tras un
número determinado de intentos fallidos de introducción de la contraseña, lo cual supone una medida disuasoria para evitar el intento de acceso no autorizado al dispositivo.
Cifrado
El iPhone y el iPad ofrecen cifrado por hardware. El cifrado por hardware emplea la
codificación AES de 256 bits para proteger todos los datos del dispositivo. El cifrado está
siempre activado, y el usuario no lo puede desactivar.
Además, los datos guardados con la copia de seguridad de iTunes en el ordenador del
usuario se pueden cifrar. Esto puede ser activado por el usuario o impuesto mediante los
ajustes de restricción del dispositivo de los perfiles de configuración.
iOS admite S/MIME en el correo, de modo que el iPhone y el iPad pueden ver y enviar
mensajes de correo electrónico cifrados. También se pueden aplicar restricciones para
evitar que los mensajes de correo electrónico sean traspasados entre cuentas o que los
mensajes recibidos por una cuenta sean reenviados a otra.
Tiempo de espera progresivo para introducción de código
El iPhone y el iPad se pueden configurar para
iniciar automáticamente un borrado tras varios
intentos fallidos de introducción de la contraseña. Si un usuario introduce repetidamente
la contraseña incorrecta, iOS se bloqueará
durante periodos cada vez más prolongados.
Tras un número determinado de intentos fallidos, se borrarán todos los datos y ajustes del
dispositivo.
Protección de datos
Como complemento a las funciones de cifrado por hardware del iPhone y el iPad, los
mensajes de correo electrónico y los adjuntos almacenados en el dispositivo se pueden
salvaguardar en mayor medida mediante las prestaciones de protección de datos integradas en iOS. La protección de datos emplea la contraseña exclusiva del dispositivo del
usuario en combinación con el cifrado por hardware del iPhone y el iPad para generar
una clave de cifrado sólida. Esta clave evita el acceso a los datos cuando el dispositivo
está bloqueado, lo que garantiza que la información crucial esté segura incluso si el dispositivo no lo está.
Para activar la prestación de protección de datos, solo es necesario establecer una contraseña en el dispositivo. La eficacia de la protección de datos depende de una contraseña sólida, por lo que es importante exigir e imponer una contraseña más fuerte que las
de cuatro dígitos al establecer las políticas de contraseñas de la empresa. Los usuarios
pueden comprobar si la protección de datos está activada en su dispositivo consultando
la pantalla de ajustes de contraseña. Las soluciones de gestión de dispositivos móviles
también permiten solicitar esta información al dispositivo.
Estas API de protección de datos también están a disposición de los desarrolladores, y se
pueden usar para salvaguardar los datos de aplicaciones comerciales o internas.
4
Borrado remoto
iOS admite el borrado remoto. En caso de robo o extravío de un dispositivo, el administrador o propietario puede emitir una orden de borrado remoto que elimina
todos sus datos y lo desactiva. Si el dispositivo está configurado con una cuenta de
Exchange, el administrador puede iniciar una orden de borrado remoto desde la
Consola de Administración de Exchange (Exchange Server 2007) o desde Exchange
ActiveSync Mobile Administration Web Tool (Exchange Server 2003 o 2007). Los usuarios de Exchange Server 2007 también pueden dar la orden de borrado remoto directamente con Outlook Web Access. Las órdenes de borrado remoto también se pueden
iniciar desde soluciones de gestión de dispositivos móviles (MDM), aun cuando no se
usen servicios corporativos de Exchange.
Seguridad de red
• Compatibilidad integrada con VPN
IPSec de Cisco, L2TP y PPTP
• VPN sobre SSL mediante apps del App
Store
• SSL/TLS con certificados X.509
• WPA/WPA2 Enterprise con 802.1X
• Autenticación basada en certificados
• RSA SecureID y CRYPTOCard
Protocolos de VPN
• IPSec de Cisco
• L2TP/IPSec
• PPTP
• VPN sobre SSL
Métodos de autenticación
• Contraseña (MSCHAPv2)
• RSA SecurID
• CRYPTOCard
• Certificados digitales X.509
• Secreto compartido
Protocolos de autenticación 802.1X
• EAP-TLS
• EAP-TTLS
• EAP-FAST
• EAP-SIM
• PEAP v0, v1
• LEAP
Formatos de certificado admitidos
iOS admite los certificados X.509
con claves RSA. Reconoce las extensiones de
archivo cer, .crt y .der.
Borrado local
Los dispositivos también pueden configurarse para iniciar un borrado local automáticamente tras varios intentos fallidos de introducción de la contraseña. Esto protege
contra los intentos de forzar el acceso al dispositivo. Cuando se establece una contraseña, los usuarios tienen la posibilidad de activar directamente el borrado local desde los
ajustes del dispositivo. Por omisión, iOS borra el dispositivo automáticamente después
de 10 intentos fallidos de introducción de la contraseña. Como con otras políticas de
contraseñas, el número máximo de intentos fallidos se puede establecer mediante un
perfil de configuración, con un servidor MDM o de forma inalámbrica con políticas de
Exchange ActiveSync de Microsoft.
iCloud
iCloud almacena varios tipos de contenido, como música, fotos, apps, calendarios y
documentos, y lo actualiza automáticamente en todos los dispositivos del usuario
mediante tecnología push. iCloud también hace copias de seguridad diarias y por
Wi-Fi de diversa información, como ajustes del dispositivo, datos de apps y mensajes
de texto y MMS. iCloud protege tu contenido cifrándolo cuando se envía por Internet,
almacenándolo en un formato cifrado y usando tokens seguros para la autenticación.
Además, las prestaciones de iCloud, como Fotos en Streaming, Sincronización de
Documentos y Copia de Seguridad, se pueden desactivar mediante un perfil de configuración. Si deseas más información sobre la seguridad y privacidad de iCloud, visita
http://support.apple.com/kb/HT4865?viewlocale=es_ES.
Seguridad de red
Los usuarios que se desplazan a menudo necesitan poder acceder a las redes de información corporativa desde cualquier lugar del mundo, pero también es importante
garantizar que los usuarios estén autorizados y que los datos estén protegidos durante
su transmisión. iOS ofrece tecnologías acreditadas que permiten cumplir estos objetivos de seguridad tanto para conexiones a redes Wi-Fi como de telefonía móvil.
Además de tu infraestructura, todas las conversaciones de FaceTime y iMessage están
cifradas de punto a punto. iOS crea un identificador exclusivo para cada usuario, garantizando que las comunicaciones se cifren, dirijan y conecten adecuadamente.
VPN
Muchos entornos empresariales tienen algún tipo de red privada virtual (VPN). Estos
servicios seguros de red ya están desplegados y normalmente requieren una configuración mínima para funcionar con el iPhone y el iPad.
iOS se integra de serie en una amplia gama de tecnologías VPN ampliamente utilizadas, ya que es compatible con IPSec de Cisco, L2TP y PPTP, así como con tecnologías
de VPN sobre SSL de Juniper, Cisco y F5 Networks. La compatibilidad con estos protocolos garantiza el máximo nivel de cifrado por IP para la transmisión de información
confidencial.
5
Además de permitir el acceso seguro a entornos VPN existentes, iOS ofrece métodos
acreditados para la autenticación de usuarios. La autenticación mediante certificados
digitales X.509 estándar ofrece al usuario un acceso optimizado a los recursos de la
empresa y constituye una alternativa viable a los tokens por hardware. Además, la
autenticación con certificado permite a iOS aprovechar las ventajas de VPN por petición, con lo que el proceso de autenticación VPN es transparente sin dejar de ofrecer
un acceso identificado sólido a los servicios de red. Para entornos empresariales en los
que se exige un token de doble factor, iOS se integra con RSA SecurID y CRYPTOCard.
iOS admite la configuración de proxy de red, así como túnel IP dividido, de modo que
el tráfico a dominios de red públicos o privados es remitido en función de las políticas
de la empresa.
Seguridad de las apps
• Protección en tiempo de ejecución
• Firma obligatoria del código
• Servicios de llavero
• Las API de CommonCrypto
• Protección de datos de aplicaciones
SSL/TLS
iOS admite SSL v3 y también Transport Layer Security (TLS v1.0, 1.1 y 1.2), el estándar de
seguridad de última generación para Internet. Safari, Calendario, Mail y otras aplicaciones de Internet inician automáticamente estos mecanismos para establecer un canal
de comunicación cifrada entre iOS y los servicios corporativos.
WPA/WPA2
iOS admite WPA2 Enterprise para ofrecer acceso autenticado a la red inalámbrica de
la empresa. WPA2 Enterprise utiliza cifrado AES de 128 bits, que ofrece a los usuarios
las máximas garantías de que sus datos estarán protegidos al enviar y recibir comunicaciones a través de la conexión a una red Wi-Fi. Además, como el iPhone y el iPad
son compatibles con 802.1X, pueden integrarse en un amplio abanico de entornos de
autenticación RADIUS.
Seguridad de las apps
iOS está íntegramente desarrollado para ofrecer la máxima seguridad. Incluye un sistema de «enjaulado» para la protección en tiempo de ejecución de las aplicaciones y
requiere que estén firmadas para garantizar que no hayan sido manipuladas. Además,
iOS tiene un entorno protegido que facilita el almacenamiento seguro de credenciales
de aplicaciones y de servicios de red en un llavero cifrado. Para los desarrolladores,
ofrece una arquitectura de cifrado común que puede usarse para cifrar depósitos de
datos de aplicaciones.
Protección en tiempo de ejecución
Las aplicaciones del dispositivo están «enjauladas», de modo que no pueden acceder a
datos almacenados por otras aplicaciones. Además, los archivos, los recursos y el kernel
del sistema están aislados del espacio para aplicaciones del usuario. Si una aplicación
necesita acceder a datos de otra aplicación, solo puede hacerlo usando las API y los
servicios ofrecidos por iOS. También se impide la generación de código.
Firma obligatoria del código
Todas las aplicaciones de iOS deben ir firmadas. Las aplicaciones incluidas de serie en
el dispositivo están firmadas por Apple. Las de terceros están firmadas por el desarrollador usando un certificado emitido por Apple. Así se garantiza que las aplicaciones
no hayan sido manipuladas ni modificadas. Además, se realizan comprobaciones en
tiempo de ejecución para garantizar que una aplicación no haya dejado de ser de confianza desde su última utilización.
El uso de aplicaciones personalizadas o internas se puede controlar con un perfil de
datos. Los usuarios deben tener este perfil instalado para poder ejecutar la aplicación
en cuestión. Los perfiles de datos se pueden instalar o revocar inalámbricamente
mediante soluciones de MDM. Los administradores también pueden limitar el uso de
una aplicación en dispositivos específicos.
6
Entorno de autenticación seguro
iOS proporciona un llavero cifrado seguro donde guardar identidades digitales, nombres de usuario y contraseñas. Los datos del llavero se compartimentan para que las
credenciales guardadas por programas de terceros no puedan ser utilizadas por programas con una identidad diferente. Esto constituye el mecanismo para proteger las
credenciales de autenticación del iPhone y el iPad en una amplia gama de aplicaciones
y servicios de la empresa.
Arquitectura CommonCrypto
Los desarrolladores de aplicaciones tienen acceso a diversas API de cifrado que pueden usar para reforzar la protección de los datos de sus aplicaciones. Los datos se
pueden cifrar simétricamente mediante métodos acreditados, como AES, RC4 o 3DES.
Además, el iPhone y el iPad ofrecen aceleración por hardware para el cifrado AES y el
hash SHA1, lo que optimiza el rendimiento de las aplicaciones.
Protección de datos de aplicaciones
Las aplicaciones también pueden hacer uso del cifrado por hardware integrado en el
iPhone y el iPad para proteger en mayor medida sus datos confidenciales. Los desarrolladores pueden designar archivos específicos para la protección de datos e indicar
al sistema que cifre los contenidos del archivo para hacerlos inaccesibles, tanto para la
aplicación como para cualquier posible intruso cuando el dispositivo está bloqueado.
Apps gestionadas
Un servidor MDM puede gestionar apps de terceros del App Store, así como aplicaciones internas de la empresa. Al designar una app como gestionada, se permite que el
servidor especifique si la app y sus datos se pueden eliminar del dispositivo mediante
el servidor MDM. Además, el servidor puede impedir que los datos de las apps gestionadas se incluyan en copias de seguridad de iTunes y iCloud. Esto permite al equipo
de TI gestionar las apps que pueden contener información confidencial de la empresa
de forma más controlada que las apps descargadas por el usuario.
Para instalar una app gestionada, el servidor MDM envía un comando de instalación al
dispositivo. Las apps gestionadas deben ser aceptadas por el usuario antes de ser instaladas. Si deseas más información sobre las apps gestionadas, consulta el documento
de descripción general de la gestión de dispositivos móviles en http://www.apple.com/
iphone/business/integration/mdm (en inglés).
Dispositivos revolucionarios y seguros por los cuatro costados
El iPhone y el iPad ofrecen protección cifrada de datos en tránsito, en reposo y en las
copias de seguridad de iCloud y iTunes. Cuando un usuario accede al correo electrónico corporativo, visita un sitio web privado o se autentica en la red empresarial, iOS
garantiza que solo los usuarios autorizados puedan acceder a la información confidencial de la empresa. Además, gracias a su compatibilidad con las redes empresariales y
a sus completos métodos de prevención de pérdida de datos, iOS se puede implantar
con la tranquilidad que supone emplear un sistema de seguridad de dispositivos móviles y protección de datos plenamente acreditado.
© 2011 Apple Inc. Todos los derechos reservados. Apple, el logotipo de Apple, FaceTime, iPad, iPhone, iTunes y Safari son marcas
comerciales de Apple Inc., registradas en EE. UU. y en otros países. iCloud y iTunes Store son marcas de servicio de Apple Inc.,
registradas en EE. UU. y en otros países. App Store es una marca de servicio de Apple Inc. Los demás nombres de productos y
empresas mencionados en este documento son marcas comerciales de sus respectivas compañías. Las especificaciones de producto están sujetas a cambios sin previo aviso. Octubre de 2011 L422500B