I ricercatori di sicurezza di Elcomsoft hanno scoperto che i backup criptati eseguiti dai dispositivi Apple con iOS 10 e salvati in locale per esempio su un computer via iTunes utilizzano un algoritmo di protezione tramite password vecchio che è molto facile da decifrare rispetto a quello utilizzato in iOS 9 – circa 2.500 volte più facile, secondo gli esperti.
I rischi? Se con un attacco hacker dei malintenzionati riescono ad ottenere un backup eseguito con iTunes con contenuti i dati criptati di un utente e utilizzare uno strumento in grado di decriptare i dati, potrebbero avere piu’ possibilità di riuscire a trovare la chiave di accesso corretta e accedere a tutti i dati salvati nel file proveniente da un dispositivo con iOS 10 rispetto che con iOS 9. Bisogna specificare che i malintenzionati dovrebbero hackerare il computer in cui viene eseguito il backup tramite iTunes per entrare in possesso dei file di backup.
Il backup dei dati di iTunes puo’ contenere informazioni importanti come come le password degli account, i dati dell’app Salute, i login e le password del browser safari, informazioni sulle carte di credito, informazioni sulle reti Wi-Fi salvate, e tutti i dati che le app di terze parti permettono di archiviare tramite backup.
Gli esperti di Elcomsoft hanno prontamente avvisato Apple di questa grave vulnerabilità, e la società ha detto a Fortune che ha intenzione di aumentare le misure di sicurezza in iOS 10 attraverso un imminente aggiornamento di sicurezza.
Apple ha inoltre precisato che chi salva il backup dei dati su iCloud puo’ stare piu’ tranquillo rispetto a chi tiene i backup in locale, in quanto ci sono ulteriori misure di sicurezza per i file archiviati sulla nuvola.
Ecco parte del rapporto di Elcomsoft:
"Abbiamo scoperto una grave falla di sicurezza nel meccanismo di protezione di iOS 10 nei backup. Questa falla di sicurezza ci ha permesso lo sviluppo di un nuovo attacco che è in grado di bypassare alcuni controlli di sicurezza durante l’enumerazione delle password che proteggono i backup locali (via iTunes) fatti dai dispositivi iOS 10. L’impatto di questa falla di sicurezza è grave… abbiamo scoperto un meccanismo alternativo di verifica della password aggiunto ai backup da iOS 10… abbiamo scoperto che il nuovo meccanismo salta alcuni controlli di sicurezza, che ci permette di cercare le password di circa 2500 volte più velocemente rispetto al vecchio meccanismo utilizzato in iOS 9. Questo nuovo bug è specifico per i backup locali protetti da password prodotte dai dispositivi iOS 10. L’attacco in sé riguarda solo i backup da iOS 10. È interessante notare che il nuovo metodo di verifica della password esiste in parallelo con il metodo vecchio, che continua a lavorare con la stessa bassa velocità come prima."
Ecco la dichiarazione completa di Apple riguardo la sicurezza dei backup locali su iOS 10:
"Siamo a conoscenza di un problema che riguarda il livello di crittografia per i backup dei dispositivi su iOS 10 durante il backup su iTunes su Mac o PC. Affronteremo questo problema con un aggiornamento di sicurezza imminente. Questo non influisce sui backup di iCloud. Noi raccomandano gli utenti di utilizzare password di accesso complesse sui loro Mac o PC per essere accessibili solo dagli utenti autorizzati. Maggiore sicurezza è disponibile con FileVault per la crittografia dell’intero disco".
Perchè i backup dei dati sono piu’ sicuri su iCloud? iCloud protegge i dati codificandoli quando vengono inviati tramite internet, memorizzandoli in formato codificato quando vengono archiviati su server e usando token sicuri per l’autenticazione. I dati sono pertanto al sicuro da accessi non autorizzati sia quando vengono trasmessi ai dispositivi sia quando sono archiviati nella nuvola. iCloud utilizza la crittografia AES di minimo 128 bit (lo stesso standard di sicurezza usato dai più importanti istituti finanziari) e non fornisce mai le chiavi di codifica a terze parti. Per alcuni tipi di dati, come le informazioni su carte di credito, Apple utilizza la crittografia AES a 256 bit e impiega anche la crittografia asimmetrica su curva ellittica e wrapping delle chiavi.
