Crack della password dei backup più semplice su iOS 10, Apple prepara il fix

iOS 10 utilizza un meccanismo di verifica password del tutto nuovo per i backup che, secondo alcuni test effettuati da Elcomsoft, è più semplice da hackerare rispetto al precedente. La compagnia è specializzata in software d'accesso ai dati presenti sugli iPhone e ha dimostrato che il nuovo metodo utilizzato su iOS 10 "salta certi controlli di sicurezza", consentendo ai software della società di accedere alle password dei backup "circa 2.500 volte più velocemente".

Con i dispositivi iOS gli utenti possono effettuare backup protetti da crittografia tramite iTunes su PC o Mac. A differenza dei backup tradizionali, quelli crittografati vengono protetti da password scelte dagli utenti, le quali su iOS 10 sono più semplici da decifrare rispetto alle stesse su iOS 9. Ottenendo la password di un backup su iTunes si ottengono di riflesso tutti i dati presenti sullo smartphone, fra cui le credenziali d'accesso del Portachiavi con tutte le informazioni sensibili ad esse legate.

"Abbiamo un'implementazione embrionale con il recupero che avviene tutto sulla CPU. Il nuovo controllo di sicurezza è circa 2.500 volte più debole rispetto a quello passato utilizzato per i backup di iOS 9", ha scritto Elcomsoft. Di seguito riportiamo quante password possono provare i sistemi della compagnia con diversi setup:

• iOS 9 (CPU): 2.400 password al secondo con un Intel Core i5
• iOS 9 (GPU): 150.000 password al secondo con una NVIDIA GeForce GTX 1080
• iOS 10 (CPU): 6.000.000 password al secondo (Intel i5)

Apple è passata dall'algoritmo di hashing PBKDF2 con 10 mila interazioni all'algoritmo SHA256 a interazione singola, elemento che comporta un significativo aumento di velocità in caso di attacco brute force. La compagnia è consapevole di questa "caratteristica" del nuovo modello e tramite un portavoce ha fatto sapere di essere al lavoro su un fix:

"Sappiamo del problema che riguarda la forza della crittografia per i backup sui dispositivi con iOS 10 quando effettuano il backup su Mac o PC. Sistemeremo il problema su un aggiornamento di sicurezza in arrivo. Precisiamo che la problematica non si presenta con i backup su iCloud. Raccomandiamo agli utenti di utilizzare PC o Mac protetti con password complesse e che i sistemi vengano utilizzati solo da utenti autorizzati. Un'ulteriore strato di sicurezza è garantito dalla cifratura completa del disco FileVault".

Apple è al lavoro sui primi aggiornamenti "corposi" di iOS 10 e macOS Sierra. Nei giorni scorsi ha rilasciato le beta (anche pubbliche) di iOS 10.1 e macOS Sierra 10.12.1, con il primo che introduce l'attesa modalità Portrait su iPhone 7 Plus.