Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Bug in iOS 10: la crittografia del backup è troppo debole

Set 26, 2016 Marco Schiaffino News, Prodotto, Tecnologia, Vulnerabilità 0

Il nuovo sistema consentirebbe di violare la protezione molto più facilmente di quanto accadeva con iOS 9. Apple: “correggeremo la falla”.

All’interno del backup di un dispositivo iOS ci sono una gran quantità di dati sensibili, compresi username e password degli account email e di tutti i servizi utilizzati. Un ottimo motivo per consi

derare il backup come un elemento “critico” per la sicurezza degli utenti.

Per proteggere questi dati, Apple ha previsto in iTunes la possibilità di proteggere con una password i backup eseguiti in locale. Con il nuovo iOS 10, però, l’azienda di Cupertino sembra aver combinato un pasticcio. Il sistema, infatti, è stato (involontariamente) indebolito.

A lanciare l’allarme è stato Oleg Afonin di Elcomsoft, che ha spiegato come il problema si annidi nel meccanismo alternativo di verifica della password introdotto con iOS 10.

Si tratta di un sistema che è stato affiancato a quello originale e che userebbe un algoritmo derivato da sha256 al posto di pbkdf2. Risultato: il nuovo sistema rende molto più facile un attacco di brute forcing per individuare la password.

I dati di backup memorizzati su PC o Mac sono un boccone prelibato per i pirati informatici. Soprattutto se sanno di poter violare la protezione cirttografica.

Stando a quanto riportato da Afonin, infatti, il nuovo metodo di verifica consentirebbe un maggior numero di tentativi al secondo, aprendo la strada a un attacco che consentirebbe di tentare l’accesso con una velocità 40 volte superiore a quanto fosse possibile con iOS 9.

Nel dettaglio, un attacco di questo tipo contro iOS 9 con i sistemi messi a punto da Elcomsoft permettono di tentare 2.400 password al secondo utilizzando un PC con CPU Intel Core i5 e 150.000 password al secondo usando tecniche basate su GPU.

Con il nuovo iOS 10, i ricercatori hanno raggiunto, usando la semplice CPU Intel Core i5, una media di 6.000.000 di tentativi al secondo.

Il bug affligge solo i backup creati localmente e non il backup su iCloud. Si tratta, comunque, di una vulnerabilità seria. Come sottolinea Oleg Afonin, infatti, l’accesso al backup è uno dei pochi metodi che un cyber-criminale può usare per estrarre le informazioni contenute nel Keychain, tra cui i dati della carta di credito collegata all’account.

L’azienda non ha negate il problema, riconoscendo che il nuovo sistema rappresenta un pericolo per la sicurezza dei dati degli utenti iOS.

“Siamo a conoscenza di un problema riguardante l’efficacia del sistema di cifratura dei backup dei dispositivi iOS 10 eseguiti tramite iTunes su Mac e PC” spiega l’azienda in un comunicato. “Risolveremo il problema quanto prima con un aggiornamento”.

Condividi l'articolo