Desbloqueo de iPhone remoto a 8 metros Un documento confidencial de Cellebrite, filtrado y analizado por el investigador del blog justin[.]sh, describe el producto Advanced Unlocks (AU). Ofrece acceso AFU a los iPhone de la serie 11 a la 16 en iOS 26 hasta al menos 26.4+. Se presenta como un vector AFU de próxima generación más resistente a los cambios del sistema de Apple El producto utiliza un aparato dedicado con un alcance de unos 8 metros y funciona incluso con Stolen Device Protection activada. No funciona en la serie 17, Air, ni posteriores actualmente. El análisis de apunta a una vulnerabilidad en el "bluetooth stack" (protocolo L2CAP), que permite el procesamiento de paquetes de señalización antes del emparejamiento y sin interacción del usuario. La cadena hipotética consiste en el envío de paquetes elaborados por el aire, la explotación de un use-after-free en el demonio bluetoothd, la escalada al kernel y, finalmente, el acceso a archivos, la exposición de claves de cifrado y la extracción de la imagen vía USB sin necesidad de descifrar el código de acceso. Las correcciones introducidas en iOS 26.5 y versiones posteriores, junto con Memory Integrity Enforcement en el iPhone 17, parecen haber cerrado esta vía. El caso muestra cómo las medidas de endurecimiento de Apple (restricciones USB, reinicios a estado BFU, MIE y parches en Bluetooth) dificultan las herramientas forenses de desbloqueo, y como digo siempre, mantén los equipos actualizados.

Roboto 01, el robot humanoide opensource La compañía china RoboParty presentó públicamente por primera vez su robot humanoide RP1, también denominado ROBOTO 01, mediante una demostración interactiva “Kick Me” en la que el robot recuperaba el equilibrio de forma autónoma tras ser empujado. El robot se apoya en el proyecto previo RPO (ROBOTO ORIGIN), abierto y que superó las 2.500 estrellas en GitHub. El diseño es modular, con cabezas intercambiables y distintos efectores finales, e incluye un IMU de seis ejes, sensores opcionales como cámaras Intel D435i o LiDAR 3D, articulaciones cerradas y parada de emergencia de triple redundancia. El aspecto central es su código abierto: el repositorio en GitHub bajo licencia GPL-3.0 agrupa diseño mecánico, electrónica, firmware, descripciones en URDF y MJCF, control de movimiento, simulación, SDK y PartyOS como capa de software. Tras el debut en IROS, RoboParty anunció liberaciones progresivas de componentes de software y hardware, así como un programa de producción en masa previsto para finales del cuarto trimestre de 2026. El precio oficial no se ha publicado aunque algunas estimaciones no oficiales sitúan el rango entre 12.000 y 25.000 dólares. El RP1 se presenta como una base común de alto rendimiento para experimentar, entrenar modelos y validar resultados de forma reproducible.

Tuta habría entregado direcciones IP e información de pago en investigaciones por copyright, a diferencia de Proton Una fuente de confianza cuya identidad no puedo revelar sostiene que Tuta habría facilitado, con bastante facilidad, información vinculada a cuentas investigadas por presuntas infracciones de derechos de autor. Esta misma persona asegura que, en el caso de Proton, no habría obtenido datos ni conseguido la suspensión de las cuentas señaladas. Tuta habría proporcionado, al menos, direcciones IP e información sobre métodos de pago en el marco de esas investigaciones. Como he señalado, esta información procede de una fuente anónima sobre la que no puedo dar ningún detalle. Las solicitudes dirigidas al proveedor no se habrían limitado a pedir el bloqueo de cuentas. En los casos descritos, se habría obtenido información asociada a sus usuarios. La fuente caracteriza la respuesta del proveedor como favorable a los requerimientos recibidos. ¿Qué datos habría facilitado Tuta? Repito, todo es relacionado en lo que refiere a copyright. La información que me llega menciona la entrega de una dirección IP, descrita en la conversación como "la primera IP". No se precisa si se refiere a la utilizada al crear la cuenta, a la de un acceso posterior o a la primera dirección disponible en el procedimiento. El testimonio también señala que se habría facilitado información sobre un método de pago asociado a una cuenta. No se concreta el contenido exacto de los datos de pago entregados. No puedo determinar si se trataba únicamente del medio utilizado para pagar o si incluía información adicional que permitiera vincularlo con una persona. La información recibida se refiere a datos asociados a las cuentas, no a una supuesta ruptura de su cifrado, obvio. Según la fuente, Tuta habría atendido los requerimientos conocidos sin oponerse y habría respondido con mayor rapidez cuando las solicitudes estaban respaldadas por una orden judicial. El relato también caracteriza esas entregas como realizadas "en silencio". Sin embargo, no puedo confirmar si los titulares de las cuentas fueron notificados, si existía alguna restricción para avisarlos o si esa expresión se refiere simplemente a la ausencia de comunicación pública. Para estas actuaciones, según el testimonio, sería necesaria la intervención de un juez. Por tanto, lo descrito no permite afirmar que una simple reclamación privada, sin intervención judicial, bastase para obtener los datos. Lo interesante, la comparación con Proton La misma fuente describe el resultado contrario con Proton. Sostiene que, en su experiencia, Proton no habría facilitado la información solicitada. También afirma que no habría accedido a suspender las cuentas a las que se referían esas peticiones. En resumen: mientras Tuta habría proporcionado información en los procedimientos descritos, las solicitudes dirigidas a Proton no habrían prosperado. No puedo dar más detalles al respecto. Por cierto, gracias a la fuente.

Muy chulo el coche de tesla pero ¿como va de telemetría? 🤔

Ultimamente estoy a saco probando cosillas nuevas, algunas mejores que otras… ya os contaré en profundidad

Potencia, Privacidad y Seguridad | NovaCustom V56 Comenté que estoy probando un nuevo equipo, que ya desde antes del envío me sorprendió. Por supuesto sin IME, pero con un Ultra 7, una RTX 4070, 64GB DDR5... Vamos a probar varias cositas con él youtu.be/bTXVI-9y8lM

Thundermail, el nuevo servicio de Thunderbird Thundermail es el nuevo servicio de correo lanzado por el equipo de Thunderbird. Es un servicio de email orientado a la privacidad que funciona de forma independiente del cliente Thunderbird (este último sigue siendo gratuito y de código abierto). Se puede usar con Thunderbird en su versión de escritorio y movil, o con cualquier otro cliente de correo compatible con estándares abiertos (IMAP, SMTP, JMAP, CalDAV y CardDAV). No tiene anuncios, rastreo etc... El dominio puede ser @[thundermail.]com, @[tb.]pro, o el tuyo propio. Ha sido construido sobre la infraestructura open source Stalwart, con el objetivo de ofrecer un sistema 100 % abierto y sin bloqueo de proveedor. Los datos se alojan en servidores ubicados en Alemania, bajo jurisdicción del Reglamento General de Protección de Datos (GDPR). Thundermail declara que no vende datos de los usuarios ni los utiliza para fines publicitarios o de entrenamiento de IA. El servicio se encuentra actualmente en fase beta y el acceso es por invitación. Existe una lista de espera activa en tb[.]pro/waitlist. El plan Early Bird tiene un coste de 6 dólares al mes (facturación anual). Incluye aproximadamente 30 GB de almacenamiento de correo, 60 GB para el servicio "Send", una bandeja de entrada, hasta 15 direcciones de correo y soporte para 3 dominios personalizados. Thundermail forma parte de la evolución de lo que anteriormente se denominaba “Thunderbird Pro”. Se anunció inicialmente en 2025 y ha ido desarrollándose durante todo este tiempo. Está pensado como una alternativa centrada en la privacidad y los estándares abiertos frente a servicios como Gmail o Proton Mail, manteniendo la compatibilidad total con el cliente Thunderbird.

Trezor reduce el numero de revendedores de sus dispositivos Tras los recientes ataques conocidos a los dispositivos de Ledger, Danny Sanders, el CCO de Trezor, ha publicado una imagen donde explica que los revendedores que reciban dicha carta dejarán de ser revendedores oficiales, pidiendo disculpas a todos los revendedores y dando las gracias. Trezor a su vez ha lanzado este mensaje:

Todo lo que está mal, en una foto.

Pérdidas repentinas de fondos en Ledger en el Sudeste Asiático Ayer Ledger anunció que investiga pérdidas de fondos de usuarios del Sudeste Asiático que compraron dispositivos al revendedor autorizado CryptoBilis (Malasia, Indonesia y Filipinas). Así lo informaba en X: “Ledger está investigando informes de pérdida de fondos de usuarios en el Sudeste Asiático que compraron productos de un revendedor llamado CryptoBillis. Como medida de precaución, y a la espera de los resultados de nuestra investigación, hemos pedido a CryptoBilis que suspenda todas las ventas y envíos de dispositivos Ledger. Recomendamos a los usuarios de Ledger que hayan comprado a este revendedor en los últimos 90 días que no inicien la configuración si aún no lo han hecho. Si ya ha configurado su dispositivo Ledger, considere mover los activos a un nuevo firmante Ledger (con una nueva semilla). Continuaremos informando a los clientes sobre las actualizaciones a medida que avance la investigación.” Según Ledger, con la información disponible las pérdidas parecen limitadas a esa via y no hay indicios de compromiso de su infraestructura, sistemas o servicios. Investigadores de seguridad (Mark Karpelès y previamente Joe Grand) han documentado implantes físicos en dispositivos Ledger Nano X. Estos no sustituyen ni alteran el elemento seguro: se conectan a la vía de comunicación con la pantalla OLED, interceptan los datos que se muestran al usuario, reconstruyen la frase de recuperación de 24 palabras mediante reconocimiento de letras y la transmiten de forma autónoma a través de un módulo celular con SIM o eSIM y antena propia. Las versiones más recientes son más refinadas y difíciles de detectar a simple vista, y suelen ocultarse en el espacio destinado al acolchado de la pantalla. Un aspecto relevante es que estos dispositivos modificados pueden superar el Genuine Check de Ledger. La verificación confirma que el elemento seguro es genuino, pero no detecta modificaciones físicas externas al chip. El firmware tampoco puede identificar el ataque, ya que el implante se limita a escuchar la actualización de la pantalla. Karpelès ha indicado que el caso de CryptoBilis podría corresponder a este tipo de compromiso y ha solicitado fotografías del interior de dispositivos afectados para verificarlo. Hasta el momento, no existe confirmación oficial de que los dispositivos comercializados por CryptoBilis contengan estos implantes ni de que ese sea el vector utilizado en las pérdidas reportadas. La recomendación se ha repetido un millón de veces y sigue sin ser suficiente: Si adquieres una hardware wallet, hazlo directamente desde la web oficial.

Cuando hablamos de privacidad y software, hay ciertas cosas que a día de hoy son inviables, esto no es algo necesariamente malo, pero hay que conocerlo y entenderlo. Existen 3 tipos de aplicaciones: Populares Conocidas Desconocidas Esto se basa en la percepción general de la población. Un ejemplo de cada una sería: WhatsApp Signal SimpleX Hasta aquí, todo bien ¿Pero qué sucede? Una aplicación "popular" generalmente no tiene como eje principal la privacidad y entender los motivos es importante, para tratar de evitar eso. Si utilizas WhatsApp y SimpleX te darás cuenta de algo y es que desde que las inicias, la llegada a la app es muy diferente. Las personas cuando descargan una aplicación no quieren privacidad, quieren simplicidad. Podemos juzgar si eso está bien o mal, pero son las reglas de juego. Ahora que sabemos las reglas populares, tenemos que jugar con ellas, aquí es donde entra Signal y donde hay que entender su papel. Signal no pretende ser SimpleX, no lo será nunca. Signal busca hacer sencillo y amigable la llegada a una aplicación de mensajería segura y privada. Por eso tantos políticos la usan, porque es fácil de entender en todo momento qué está sucediendo y volver a tener tu misma cuenta si la pierdes, como recuperar a tus amigos etc... Hay quien critica a Signal por no ser lo que no pretende ser, ni lo que debe ser. Este tipo de aplicaciones son muy necesarias porque son las que en un momento dado, podrían hacerse fácilmente populares y perdurar en el tiempo. En esta ocasión tienen a un gigante delante como WhatsApp, pero hay muchos ámbitos donde aplicaciones así son capaces de ocupar el hueco de "popular" y crear una alternativa real con una privacidad mucho más fuerte. Entenderlo no es renunciar a tu privacidad, es aceptar la realidad.

Apple aplica más medidas de seguridad frente a los agentes de IA y el acceso a tu ordenador Apple va a endurecer el control del Acceso completo al disco en macOS, el ajuste que permite a una aplicación leer y escribir archivos del sistema que normalmente están restringidos. La compañía ha advertido de que algunos desarrolladores lo están usando de forma que puede exponer archivos, correo, mensajes e incluso el historial de navegación sin que el usuario entienda del todo qué está autorizando. En el caso de las apps de mensajería, eso también compromete la privacidad de las personas con las que se habla. El ajuste existe desde macOS Mojave y es necesario para herramientas de seguridad o copias de seguridad. El problema, según Apple, es que salta en buena medida los controles pensados para proteger datos privados. La idea es que ese permiso solo se conceda con una acción explícita del usuario, para que quede claro el riesgo antes de aceptarlo. Todavía no hay fecha para el cambio. Apple lo justifica por la llegada de agentes de inteligencia artificial cada vez más autónomos: a medida que ganan capacidad, el riesgo de darles ese nivel de acceso crece. El anuncio encaja con un caso reciente de Muse, el agente de Meta. Una periodista le dio Acceso completo al disco y la herramienta llegó a leer sus iMessages. David Singleton (El CTO), que la integración de Mensajes es opcional: Muse solo puede leer ese contenido si macOS concede el acceso al disco y además, se activa el conector de Mensajes en la propia app.

Vaya, parece que hay a quien le molesta cierto contenido, simplemente, por decir la verdad. Recomiendo seguirlos encarecidamente. Si no fuesen de valor se llamarían LaLiga. La verdad se impone sola, la mentira necesita apoyo de LaLiga.

Por si acaso, recomiendo seguirme por otras redes 👇 privtr.ee/@stark