Apple está tardando mucho en corregir un error de iOS que facilita que los delincuentes deshabiliten por completo un dispositivo iOS a menos que la víctima realice un restablecimiento de fábrica y tome otros pasos complicados, dijo un investigador.

HomeKit es un protocolo de comunicación desarrollado por Apple que permite a las personas usar sus iPhones o iPads para controlar luces, televisores, alarmas y otros aparatos domésticos o de oficina. Los usuarios pueden configurar sus dispositivos para que detecten automáticamente dispositivos en la misma red, y también pueden compartir esta configuración con otros para que puedan usar sus propios iPhones o iPads para controlar los dispositivos. La función para compartir hace que sea fácil permitir que nuevas personas, por ejemplo, una niñera o niñera, controlen los electrodomésticos de un usuario.

Trevor Spiniolas, un programador autodescriptivo e «investigador de seguridad principiante», dijo recientemente que un error en la función permite que alguien envíe un dispositivo iOS a una espiral interminable de fallas. Se puede activar con un nombre extremadamente largo, de hasta 500.000 caracteres, para identificar uno de los dispositivos inteligentes y luego hacer que un usuario acepte una invitación a esa red.

Como se muestra en los videos de demostración a continuación, el dispositivo deja de responder gradualmente hasta que se bloquea por completo. Restablecer el dispositivo no ayuda. Para cuando aparece la pantalla de inicio de sesión, es imposible ingresar una contraseña larga. Lo único que queda por hacer es restaurar la fábrica. E incluso entonces, una vez que se restaure el dispositivo, dejará de responder una vez que vuelva a iniciar sesión en la cuenta de iCloud del usuario durante la configuración.

Spiniolas dijo que notificó a Apple sobre el error en agosto y recibió una respuesta diciendo que se solucionaría para fin de año. Más tarde, dijo el investigador, Apple dijo que la solución llegaría a principios de 2022. Fue entonces cuando le dijo a la compañía que planeaba lanzar públicamente el error.

«Creo que este error no se está abordando adecuadamente, ya que representa un riesgo grave para los usuarios y han pasado muchos meses sin una solución completa», escribió. «El público debe ser consciente de esta vulnerabilidad y cómo evitar que sea explotada, en lugar de permanecer en la oscuridad».

El investigador dijo que Apple actualizó recientemente iOS en un intento por mitigar el problema. El parche limita la cantidad de caracteres en los nombres de los dispositivos. Pero eso no impide que un atacante ejecute una versión anterior que permita nombres de dispositivos excesivamente largos y haga que alguien acepte una invitación. Incluso si el receptor está ejecutando la última versión de iOS, el dispositivo estará completamente bloqueado.

Este error de denegación de servicio está relativamente domesticado en comparación con vulnerabilidades de cero clic que a menudo permiten invasores ejecutar código malicioso en iPhones. Pero si Apple quiere alentar a los usuarios a que confíen en sus dispositivos iOS, realmente debería corregir este error. Los representantes de Apple no respondieron a un correo electrónico solicitando comentarios sobre este artículo.