AirPods Pro: Unas pruebas en casa de Safety & Security (II de III) Cómo te pueden vigilar por tus AirPods sin que lo sepas.

Hoy que he sacado algo de tiempo os escribo la segunda parte de esta serie, donde os voy a hablar de un tema de "Safety" que me preocupa bastante. Y es que el coste de estos AirPods Pro es muy alto, y al igual que sucedía con los teléfonos de alta gama, son propensos a generar incidentes de robo, con y sin violencia. Pero también puede servir para espiar la ubicación de una persona en todo momento. 

Figura 7: AirPods Pro: Unas pruebas en casa de Safety & Security (II de III)
Cómo te pueden vigilar por tus AirPods sin que lo sepas.

En los terminales iPhone el uso de Find My iPhone y marcar el terminal como perdido exigiendo al que lo tenga que se autentique con la cuenta de Apple ID del dueño, redujo mucho este tipo de incidentes. Es decir, el bloqueo de los terminales iPhone por parte del dueño fue un elemento disuasorio muy importante entre los ladrones, ya que venderlos robados y bloqueados no es algo sencillo. Por eso pensé en si llevaban algún mecanismo similar en los AirPods Pro... y la respuesta es sí y no, por lo que yo he probado.

3.- Pareado con multiples dispositivos y multiples Apple ID

En un inicio pensé que, si conectabas unos AirPods Pro a un terminal Apple (MacBook, iPhone o Apple Watch) que pertenecía a un Apple ID, entonces ya no se podría parear a cualquier otro dispositivo en el que el Apple ID fuera otro distintos. Pero no. Parece que Apple no quiso cruzar ese puente y puedes conectar unos AirPods Pro a dispositivos con diferentes cuentas de Apple ID.

Figura 8: Los AirPods Pro no se pueden bloquear como robados o perdidos

Así que, si alguien se encuentra tus AirPods Pro o te los roba los puede utilizar, de hecho, la prueba que hice en la parte anterior de conectar cada auricular con dispositivos distintos lo hice con dos dispositivos asociados a dos Apple ID diferentes.

Figura 9: Los AirPods aparecen en el Find My iPhone de TODAS las cuentas de Apple ID
que lo han pareado alguna vez.

Y esto es muy curioso, ya que cualquiera de las cuentas de Apple ID que haya pareado correctamente los AirPods podrá usarlos... y esto tiene unas implicaciones de Seguridad y Privacidad interesantes. Lecciones aprendidas:

h.- Compartir AirPods Pro es compartir localización de Apple ID.

4.- Regalar unos AirPods para vigilar a una persona

Vamos a suponer que una persona desea vigilar a otra persona y saber dónde está en todo momento. Podría ser un padre que quiera tener un "control parental" de una persona, o una pareja que quiera vigilar los movimientos de otra persona cuando entre y salga de casa o del trabajo... o cosas peores. Basta con que haga lo siguiente:

1.- Compra unos AirPods Pro. 

2.- Los parea y usa en tu terminal iPhone. 

3.- Se los regala a la persona que quiere vigilar. 

4.- La persona vigilada puede usar Find My iPhone para saber donde están los AirPods Pro, y por ende, el dueño de los mismos.

Esto abre un problema serio de privacidad, ya que si compras unos AirPods Pro de segunda mano, o te los regalan, y alguien los ha pareado ya en su cuenta, puede que estés enviándole constantemente tu localización a Find My y cuando esta persona este cerca (a distancia de BlueTooth) podrá verla. Y puede que no sea lo que quieres. Y encima la persona que te tiene vigilada no ha tenido ni que instalar un troyano, ni nada. 

Figura 10: Todas las cuentas de Apple ID podrán saber dónde están esos AirPods Pro

Es casi involuntario para todos, lo único que tiene que estar activado en el terminal de la persona que se va a "espiar" es el servicio de Find My iPhone que, probablemente lo tendrá activado. Lo peor de todo es que la persona que tiene los AirPods  pareados por alguien que le vigila no tiene ninguna información. No sabe que sus AirPods Pro han sido pareados a varios Apple ID, y no sale que está compartiendo su localización - vale, no es la suya, es la de su iPhone conectado a sus AirPods - con otro Apple ID cuando esté cerca. Lo que permite a un acosador vigilar cuando entra y sale de casa, cuando entra y sale del trabajo, etcétera. Esto creo que está mal hecho por Apple. Es algo que debería arreglar.

Figura 11: Activar Last Location en Find My iPhone

Por supuesto, si te los roban, es difícil localizar quién te los quitó si no estás cerca, pues el servicio solo te deja ver la localización de tus AirPods cuando estás a distancia de BlueTooth, luego si te los roban, el ladrón podrá usar tus AirPods y tu no recibirás la ubicación. Es decir, el modelo que ha elegido Apple deja puertas abiertas a tu privacidad a distancia de BlueTooth y no resuelve el problema del robo. Mal doblemente.

j.- Si te roban unos AirPods es difícil que localices al ladrón.

Pero mucho peor, puede que en la oficina dejes los AirPods Pro encima de la mesa, alguien los paree a su cuenta, y luego te los deje otra vez en tu sitio. Tú no te darías cuenta de que estás siendo vigilado, pero a partir de ese momento pueden vigilar tus movimientos de entrada y salida de la oficina con Find My iPhone. Peligroso.

Figura 12: Si llevas los AirPods y el estuche cerca, cualquiera puede parearse en un descuido.

Haz la prueba tu mismo. Parea tus AirPods Pro con dos terminales iPhone y entra en Find My iPhone, los AirPods Pro estarán bajo vigilancia de localización de ambas cuentas y aparecerán en los dos Find My iPhone. Peligroso. Muy peligroso.

4.- El pareado es la clave

Pensando en todo eso, la clave es el pareado de los AirPods. Si te pueden parear los AirPods Pro, los pueden usar para saber dónde estás, y los pueden usar libremente. Esto último será un reclamo para ladrones con y sin violencia. Pero... ¿cómo evitar el pareado?

Figura 13: Número de Serie en el estuche cargador

Para parearse hace faltan que tengas los auriculares y el estuche cargador de batería de AirPods Pro juntos. Así que si sales a la calle, tal vez no llevar el estuche cargador de batería es una buena opción para evitar estos problemas. Y tener siempre a buen recaudo el número de serie de tus AirPods Pro. Si alguien se hace con el número de serie, puede pedir un clonado de tus AirPods Pro y parearlos a su cuenta igualmente.

Figura 14: Apple pide el número de serie para pedir una pieza
(uno de los dos auriculares o el estuche cargador "perdido")

Este número de serie se necesita para poder pedir a Apple una estuche cargador de batería nuevo, o unos auriculares nuevos que puedan funcionar juntos. Si no tienen el mismo número de serie no funcionan para hacer el pareado. Esta información del número de serie se puede conseguir de tres sitios distintos, que debes vigilar:

1.- De tu caja del producto. 

2.- Del estuche de batería - está dentro grabada -. 

3.- De la información de los AirPods Pro en tu tu iPhone una vez pareados.

Como ves, en el punto tres volvemos a tener el mismo problema. Si alguien es capaz de tocar tu estuche de batería con tus auriculares dentro y parearlo con su iPhone, podrá tener también acceso a tu número de serie. Esto deja unas lecciones importantes:

Figura 15: Si se parean, pueden ver tu número de serie

k.- Tú número de serie es importante. 

l.- Si separas tu estuche cargador de batería de los AirPods cuando estás en la calle no te podrán robar los AirPods tan fácilmente.

Fin de la segunda parte

La verdad es que cada vez que he jugado a fondo con las tecnologías Apple, han aparecido pequeños "corner cases" que acaban siendo peligrosos. Recuerdo el truco de bar usando Siri para robar las cuentas de correo electrónico de los usuarios de iPhone o el famoso DirtyTooth de hace tres años que permitía robarte la agenda de contactos completa, pero son muchos más los que te vas encontrando cuando ves cómo funcionan las cosas en detalle. Os dejo el truco de bar en un vídeo de dos minutos que grabé hace ya unos años.

Figura 16: Truco para robar cuentas con Siri en iPhone

Ahora el ver el cómo con unos AirPods Pro tu privacidad se puede ir al trate completamente me deja más que preocupado. Ya os recomendé en el artículo anterior el libro que escribimos de Hacking iOS:  iPhone & iPad 2ª Edición donde contamos muchos detalles de cómo funciona la seguridad de estas tecnologías, pero si os ha gustado esto, os recomiendo que conozcáis bien, bien como funciona vuestro iPhone.

Figura 17: Libro de Hacking iOS:iPhone & iPad (2ª Edicón) en 0xWord de
Chema Alonso, Ioseba Palop, Pablo Gonzáleez y Alejandro Ramos entre otros.

Espero que estas cosas os sean útiles, que en la tercera parte vamos a habla de alguna cosa más bastante curiosa sobre este capricho tan caro que son los AirPods Pro.

Saludos Malignos!

*****************************************************************************************************
- AirPods Pro: Unas pruebas en casa de Safety & Security (I de III)
- AirPods Pro: Unas pruebas en casa de Safety & Security (II de III)
- AirPods Pro: Unas pruebas en casa de Safety & Security (III de III)
*****************************************************************************************************
Autor: Chema Alonso (Contactar con Chema Alonso)