Seguridad del sistema en watchOS
El Apple Watch utiliza muchas de las mismas funcionalidades de seguridad de plataforma basadas en hardware que utilizan iOS y iPadOS. Por ejemplo, el Apple Watch:
Realiza un arranque seguro y actualizaciones de software seguras.
Mantiene la integridad del sistema operativo.
Ayuda a proteger los datos, tanto en el dispositivo como cuando se comunica con un iPhone enlazado o con Internet.
Las tecnologías compatibles incluyen las indicadas en Seguridad del sistema (por ejemplo, KIP, SKP y SCIP), así como las tecnologías de protección de datos, llaveros y redes.
Actualizar watchOS
watchOS puede configurarse para que se actualice durante la noche. Para obtener más información sobre cómo se almacena el código del Apple Watch para su uso durante la actualización, consulta Repositorios de claves.
Detección de la muñeca
Si la detección de muñeca está activada, el dispositivo se bloquea automáticamente poco después de que el usuario se lo quita de la muñeca. Si la detección de muñeca esta desactivada, el centro de control ofrece una opción para bloquear el Apple Watch. Cuando el Apple Watch está bloqueado, se puede usar Apple Pay únicamente si se ingresa el código en el Apple Watch. La detección de la muñeca se desactiva mediante la app Watch del iPhone. Esta configuración también se puede aplicar a través de un servicio de administración de dispositivos.
Bloqueo de activación
Si se activa Encontrar en un iPhone, su Apple Watch enlazado también puede utilizar el bloqueo de activación. El bloqueo de activación dificulta el uso o venta del Apple Watch en caso de pérdida o robo. El bloqueo de activación hace que se requiera la cuenta de Apple y la contraseña del usuario para desenlazar, borrar o reactivar el Apple Watch. Para obtener más información, consulta Seguridad del bloqueo de activación.
Enlazado seguro con iPhone
Un Apple Watch puede estar enlazado con un iPhone a la vez. Cuando un Apple Watch no está enlazado, el iPhone comunica instrucciones para que se borren todos los contenidos y configuraciones del reloj.
El enlace del Apple Watch con el iPhone se usa para protegerlo con un código secreto codificado en un patrón animado que muestra el Apple Watch y que captura la cámara en el iPhone. Si es necesario, también se puede usar un PIN de seis dígitos como método de enlace alternativo. La forma en que se usa el secreto o el PIN depende de la versión del sistema operativo que se ejecute en el Apple Watch y el iPhone.
Cuando se enlaza un Apple Watch con watchOS 26, o posterior, con un iPhone con iOS 26, o posterior, el enlace se realiza mediante el intercambio de claves a través de una conexión IKEv2 segura. Esta conexión se autentica mediante la autenticación PSK estándar con el secreto codificado en el patrón animado o mediante un secreto específico de la conexión derivado del PIN utilizando SPAKE2+. Se usa ML-KEM-1024 para proporcionar seguridad postcuántica, además de la seguridad proporcionada por el protocolo Diffie-Hellman de curva elíptica.
Una vez establecida la conexión, cada dispositivo genera pares de llaves públicas y privadas Ed25519 aleatorias, y se intercambian las llaves públicas. Las claves privadas se almacenan en el Secure Enclave del Apple Watch. Esto no es posible en el iPhone porque, cuando un usuario hace un respaldo en iCloud en el mismo iPhone, se conserva el enlace existente del Apple Watch sin necesidad de migración. Cada dispositivo también genera e intercambia secretos para el enlace fuera de banda BLE 4.1.
Cuando el Apple Watch y el iPhone ejecutan versiones de software más antiguas, el secreto codificado en el patrón animado se usa para el enlace fuera de la banda BLE 4.1, y el PIN de seis dígitos se usa para el enlace estándar con el ingreso de la clave por BLE. Una vez que se establece y encripta la sesión BLE mediante el protocolo de seguridad más alto disponible en Bluetooth Core Specification, el iPhone y el Apple Watch intercambian las claves mediante lo siguiente:
Un proceso adaptado del servicio de identidad (IDS) de Apple de la forma que se describe en Descripción general de la seguridad de iMessage.
Un intercambio de claves mediante IKEv2/IPSec. El intercambio de claves inicial se autentica mediante la clave de sesión de Bluetooth (en casos de enlace) o las claves IDS (en casos de actualización del sistema operativo). Cada dispositivo genera un par de claves pública y privada Ed25519 y, durante el proceso de intercambio de claves inicial, se intercambian las claves públicas. Cuando un Apple Watch con watchOS 10, o posterior, se enlaza por primera vez, las claves privadas tienen su raíz en el Secure Enclave.
En un iPhone con iOS 17 o versiones posteriores, las claves privadas no tienen su raíz en el Secure Enclave, ya que si un usuario restaura su respaldo en iCloud en el mismo iPhone, conserva el enlace existente de Apple Watch sin requerir una migración.
Nota: el mecanismo usado para el intercambio de claves y la encriptación varía según las versiones del sistema operativo en el iPhone y en el Apple Watch. Cuando se enlaza un iPhone con iOS 13, o posterior, con un Apple Watch con watchOS 6 o posterior, sólo se usa IKEv2/IPSec para el intercambio de claves y la encriptación.
Una vez que se han intercambiado las claves:
La clave de la sesión Bluetooth se descarta y todas las comunicaciones entre el iPhone y el Apple Watch se encriptan mediante uno de los métodos enumerados antes; y los enlaces encriptados de Bluetooth, Wi-Fi y datos celulares proporcionan una capa de encriptado secundaria.
La dirección BLE del dispositivo también cambia en intervalos de 15 minutos para reducir el riesgo del rastreo local del dispositivo si alguien transmite un identificador persistente.
En el caso de IKEv2/IPsec, las claves se almacenan en el llavero del sistema y se utilizan para autenticar futuras sesiones IKEv2/IPsec entre los dispositivos. La encriptación entre dispositivos depende del hardware y los sistemas operativos:
Un iPhone con iOS 26, o posterior, enlazado con un Apple Watch con watchOS 26, o posterior, utiliza ML-KEM-768 para la seguridad postcuántica, además de la seguridad proporcionada por el protocolo Diffie-Hellman de curva elíptica.
Un iPhone con iOS 15, o posterior, enlazado con un Apple Watch Series 4, o posterior, con watchOS 8 o posterior se encripta y se protege su integridad usando AES-256-GCM.
Los dispositivos más antiguos o dispositivos con versiones de sistemas operativos más antiguas usan ChaCha20-Poly1305 con claves de 256 bits.
Para admitir las apps que necesitan datos de transmisión en tiempo real, la encriptación se realiza mediante los métodos descritos en Seguridad de FaceTime, que hacen uso del servicio de identidad (IDS) de Apple proporcionado por el iPhone enlazado o una conexión a Internet directa.
El Apple Watch implementa almacenamiento encriptado mediante hardware y protección basada en clases para los archivos y elementos del llavero. Además, también se usan repositorios de claves con control de acceso para los elementos del llavero. Las claves que se utilizan para establecer la comunicación entre el Apple Watch y el iPhone también se aseguran mediante la protección basada en clases. Para obtener más información, consulta Repositorios de claves para la protección de datos.
Aprobación con Apple Watch en macOS
Cuando se activa el desbloqueo automático con Apple Watch, el Apple Watch se puede usar en lugar de Touch ID, o junto con él, para aprobar cuadros de diálogos de autenticación o autorización de las siguientes:
Apps de macOS y de Apple que soliciten autorización
Apps de terceros que soliciten autenticación
Contraseñas guardadas de Safari
Notas seguras
Uso seguro del Wi-Fi, datos celulares, iCloud y Gmail
Cuando el Apple Watch no se encuentre dentro del alcance de Bluetooth, se puede usar Wi‑Fi o los datos celulares en su lugar. El Apple Watch se conecta automáticamente a las redes Wi-Fi a las cuales el iPhone enlazado ya había accedido, y a aquellas cuyas credenciales se sincronizaron con el Apple Watch mientras ambos dispositivos estaban dentro del rango. Este comportamiento de conexión automática se puede configurar de manera individual para cada red en la sección Wi-Fi de la app Configuración del Apple Watch. En el caso de las redes Wi‑Fi a las que ningún dispositivo se ha conectado, es posible conectarse a ellas en la sección Wi‑Fi en la app Configuración del Apple Watch.
Cuando el Apple Watch y el iPhone están fuera del rango, el Apple Watch se conecta directamente a los servidores de iCloud y Gmail para obtener los datos de correo, en lugar de sincronizar estos datos con el iPhone enlazado por Internet. En el caso de las cuentas de Gmail, el usuario debe ingresar sus credenciales de Google en la sección Mail de la app Reloj en el iPhone. El identificador OAuth proporcionado por Google se enviará al Apple Watch en un formato encriptado mediante el servicio de identidad (IDS) de Apple para usarlo y poder obtener datos de correo. El identificador OAuth nunca se usa para establecer una conexión con el servidor de Gmail desde el iPhone enlazado.