Seguridad del sistema en watchOS

Actualizar watchOS

watchOS puede configurarse para que se actualice durante la noche. Para obtener más información sobre cómo se almacena el código del Apple Watch para su uso durante la actualización, consulta Repositorios de claves.

Detección de la muñeca

Si la detección de muñeca está activada, el dispositivo se bloquea automáticamente poco después de que el usuario se lo quita de la muñeca. Si la detección de muñeca esta desactivada, el centro de control ofrece una opción para bloquear el Apple Watch. Cuando el Apple Watch está bloqueado, se puede usar Apple Pay únicamente si se ingresa el código en el Apple Watch. La detección de la muñeca se desactiva mediante la app Apple Watch del iPhone. Esta configuración también se puede aplicar a través de una solución de administración de dispositivos móviles (MDM).

Bloqueo de activación

Si se activa Encontrar en el iPhone, su Apple Watch enlazado puede utilizar el bloqueo de activación. El bloqueo de activación dificulta el uso o venta del Apple Watch en caso de pérdida o robo. El bloqueo de activación hace que se requiera el Apple ID y la contraseña del usuario para desenlazar, borrar o reactivar el Apple Watch.

Enlazado seguro con iPhone

Un Apple Watch puede estar enlazado con un iPhone a la vez. Cuando un Apple Watch no está enlazado, el iPhone comunica instrucciones para que se borren todos los contenidos y configuraciones del reloj.

El enlace entre el Apple Watch y el iPhone se protege mediante un proceso fuera de banda de intercambio de claves públicas, seguido del secreto compartido del enlace de Bluetooth® de baja energía (BLE). El Apple Watch muestra un patrón animado, que captura la cámara del iPhone. Este patrón contiene un secreto codificado que se utiliza para el enlace fuera de banda de BLE 4.1. En caso necesario, la introducción de la clave de paso de BLE estándar se utiliza como método de enlace de respaldo.

Una vez que se establece y encripta la sesión BLE mediante el protocolo de seguridad más alto disponible en Bluetooth Core Specification, el iPhone y el Apple Watch intercambian las claves mediante lo siguiente:

• Un proceso adaptado del servicio de identidad (IDS) de Apple de la forma que se describe en Descripción general de la seguridad de iMessage.

• Un intercambio de claves mediante IKEv2/IPsec. El intercambio de claves inicial se autentica mediante la clave de sesión de Bluetooth (en casos de enlace) o las claves IDS (en casos de actualización del sistema operativo). Cada dispositivo genera un par de claves pública y privada Ed25519 de 256 bits de forma aleatoria, y, durante el proceso de intercambio de claves inicial, se intercambian las claves públicas. Si un Apple Watch se enlaza por primera vez usando watchOS 10 o una versión posterior, las claves privadas tienen su raíz en el Secure Enclave.

  En un iPhone con iOS 17 o versiones posteriores, las claves privadas no tienen su raíz en el Secure Enclave, ya que si un usuario restaura su respaldo en iCloud en el mismo iPhone, conserva el enlace existente de Apple Watch sin requerir una migración.

Una vez que se han intercambiado las claves:

• La clave de la sesión Bluetooth se descarta y todas las comunicaciones entre el iPhone y el Apple Watch se encriptan mediante uno de los métodos enumerados antes; y los enlaces encriptados de Bluetooth, Wi-Fi y datos celulares proporcionan una capa de encriptado secundaria.

• En el caso de IKEv2/IPsec, las claves se almacenan en el llavero del sistema y se utilizan para autenticar futuras sesiones IKEv2/IPsec entre los dispositivos. La comunicación adicional entre estos dispositivos está encriptada y protegida en su integridad mediante AES-256-GCM en dispositivos iPhone con iOS 15 o versiones posteriores enlazados con un Apple Watch Series 4 o modelos posteriores con watchOS 8 o versiones posteriores. En dispositivos más antiguos o aquellos que ejecutan versiones del sistema operativo anteriores, se usa ChaCha20-Poly1305.

La dirección de Bluetooth de baja energía rota en intervalos de 15 minutos para reducir el riesgo del rastreo local del dispositivo si alguien transmite un identificador persistente.

Para admitir las apps que necesitan datos de transmisión en tiempo real, la encriptación se realiza mediante los métodos descritos en Seguridad de FaceTime, que hacen uso del servicio de identidad (IDS) de Apple proporcionado por el iPhone enlazado o una conexión a Internet directa.

El Apple Watch implementa almacenamiento encriptado mediante hardware y protección basada en clases para los archivos y elementos del llavero. Además, también se usan repositorios de claves con control de acceso para los elementos del llavero. Las claves que se utilizan para establecer la comunicación entre el Apple Watch y el iPhone también se aseguran mediante la protección basada en clases. Para obtener más información, consulta Repositorios de claves para la protección de datos.

Desbloqueo automático con Apple Watch

Para mayor comodidad al usar varios dispositivos Apple, algunos dispositivos pueden desbloquear otros automáticamente en determinadas situaciones. El desbloqueo automático admite tres usos:

• Un iPhone puede desbloquear un Apple Watch

• Un Apple Watch puede desbloquear una Mac

• Un Apple Watch puede desbloquear un iPhone cuando se detecta que el usuario utiliza cubrebocas

Los tres casos de uso están basados en el mismo fundamento: un protocolo de estación a estación (STS) autenticado mutuamente, con claves a largo plazo intercambiadas en el momento de la activación de la función y claves de sesión efímeras únicas negociadas para cada solicitud. Independientemente del canal de comunicación subyacente, el túnel STS se negocia directamente entre los Secure Enclave en ambos dispositivos, y todo el material criptográfico se mantiene dentro de ese dominio seguro (con la excepción de las computadoras Mac que no tienen Secure Enclave, que terminan el túnel STS en el kernel).

Desbloqueo

Una secuencia de desbloqueo completa se puede dividir en dos fases: primero, el dispositivo que se desbloquea (el “objetivo”) genera un secreto de desbloqueo criptográfico y lo envía al dispositivo que realiza el desbloqueo (el “iniciador”); posteriormente, el iniciador realiza el desbloqueo utilizando el secreto generado previamente.

Para realizar el desbloqueo automático, los dispositivos se conectan entre sí mediante una conexión BLE. Después, mediante el túnel STS, se envía al iniciador un secreto de desbloqueo de 32 bytes generado de forma aleatoria por el dispositivo de destino. Durante el siguiente desbloqueo biométrico o mediante código, el dispositivo de destino envuelve su clave derivada del código (PDK) con el secreto de desbloqueo y descarta el secreto de desbloqueo de su memoria.

Para realizar el desbloqueo, los dispositivos inician una nueva conexión BLE y luego utilizan la red Wi-Fi de punto a punto para aproximar de forma segura la distancia entre ellos. Si los dispositivos están dentro de radio especificado y se cumplen las políticas de seguridad requeridas, el iniciador envía su secreto de desbloqueo al objetivo a través del túnel STS. A continuación, el objetivo genera un nuevo secreto de desbloqueo de 32 bytes y lo devuelve al iniciador. Si el secreto de desbloqueo actual enviado por el iniciador desencripta correctamente el registro de desbloqueo, el dispositivo de destino se desbloquea y la PDK se vuelve a encapsular con un nuevo secreto de desbloqueo. Finalmente, el nuevo secreto de desbloqueo y la PDK se descartan de la memoria del objetivo.

Políticas de seguridad del desbloqueo automático del Apple Watch

Para mayor comodidad, un iPhone puede desbloquear un Apple Watch directamente después del arranque inicial sin necesidad de que el usuario ingrese primero el código en el Apple Watch. Para lograr esto, el secreto de desbloqueo aleatorio (generado durante la primera secuencia de desbloqueo después de la activación de la función) se utiliza para crear un registro de custodia a largo plazo, que se almacena en el repositorio de claves del Apple Watch. El secreto del registro en custodia se almacena en el llavero del iPhone y se usa para iniciar una nueva sesión después de cada reinicio del Apple Watch.

Políticas de seguridad del desbloqueo automático del iPhone

Se aplican políticas de seguridad adicionales para el desbloqueo automático del iPhone con Apple Watch. El Apple Watch no puede usarse en lugar de Face ID en el iPhone para otras operaciones, como para Apple Pay o autorizaciones en apps. Cuando el Apple Watch desbloquea un iPhone enlazado, el reloj muestra una notificación y emite una vibración asociada. Si el usuario toca el botón Bloquear iPhone de la notificación, el reloj envía un comando de bloqueo al iPhone mediante BLE. Cuando el iPhone recibe este comando, se bloquea y desactiva tanto Face ID como el desbloqueo con Apple Watch; y además, el próximo desbloqueo del iPhone deberá realizarse mediante el código de este.

Desbloquear un iPhone enlazado mediante un Apple Watch (cuando está activada la función) requiere que se cumplan los siguientes criterios:

• El iPhone debe haberse desbloqueado con otro método al menos una vez después de que el Apple Watch asociado se haya colocado en la muñeca y se haya desbloqueado.

• Los sensores deben poder detectar que la nariz y la boca están cubiertas.

• La distancia medida debe ser de 2 a 3 metros o menos.

• El Apple Watch no debe estar en la hora de dormir programada.

• El Apple Watch o el iPhone deben haberse desbloqueado recientemente, o bien el Apple Watch debe haber experimentado un movimiento físico que indique que el usuario está activo (por ejemplo, que no está durmiendo).

• El iPhone debe haberse desbloqueado al menos una vez en las últimas 6.5 horas.

• El iPhone debe estar en un estado en el que Face ID tenga permitido realizar un desbloqueo del dispositivo (para obtener más información, consulta Face ID, Touch ID, códigos y contraseñas).

Aprobación con Apple Watch en macOS

Cuando se activa el desbloqueo automático con Apple Watch, el Apple Watch se puede usar en lugar de Touch ID, o junto con él, para aprobar cuadros de diálogos de autenticación o autorización de las siguientes:

• Apps de macOS y de Apple que soliciten autorización

• Apps de terceros que soliciten autenticación

• Contraseñas guardadas de Safari

• Notas seguras

Uso seguro del Wi-Fi, datos celulares, iCloud y Gmail

Cuando el Apple Watch no se encuentre dentro del alcance de Bluetooth, se puede usar Wi‑Fi o los datos celulares en su lugar. El Apple Watch se conecta automáticamente a las redes Wi-Fi a las cuales el iPhone enlazado ya había accedido, y a aquellas cuyas credenciales se sincronizaron con el Apple Watch mientras ambos dispositivos estaban dentro del rango. Este comportamiento de conexión automática se puede configurar de manera individual para cada red en la sección Wi-Fi de la app Configuración del Apple Watch. En el caso de las redes Wi‑Fi a las que ningún dispositivo se ha conectado, es posible conectarse a ellas en la sección Wi‑Fi en la app Configuración del Apple Watch.

Cuando el Apple Watch y el iPhone están fuera del rango, el Apple Watch se conecta directamente a los servidores de iCloud y Gmail para obtener los datos de Mail, en lugar de sincronizar los datos de Mail con el iPhone enlazado mediante el Internet. En el caso de las cuentas de Gmail, el usuario debe ingresar sus credenciales de Google en la sección Mail de la app Reloj en el iPhone. El identificador OAuth proporcionado por Google se enviará al Apple Watch en un formato encriptado mediante el servicio de identidad (IDS) de Apple para usarlo y poder obtener datos de Mail. El identificador OAuth nunca se usa para establecer una conexión con el servidor de Gmail desde el iPhone enlazado.