Quanto è sicura la password di un iPhone? Praticamente per niente, se diamo ascolto a questo video, pubblicato dall’Istituto Fraunhofer di Darmstadt. Uno script sviluppato dal team che si occupa della sicurezza in IT, permette di accedere a tutti i dati presenti nel dispositivo, incluse le password, gli accessi alle reti Wi-Fi e quant’altro salvato nel Keychain.
La dimostrazione inizia con un iPhone nuovo, bloccato e con l’ultimo firmware installato, iOS 4.2.1. In pochi passi, viene prima effettuato il jailbreak del dispositivo, poi, una volta accessibile il filesystem, si copia lo script e lo si esegue. Come risultato, tutti i dati protetti dell’iPhone vengono mostrati in chiaro, inclusa la password del telefono. Il tutto in soli 6 minuti.
Questo studio vuole illustrare quanto sia cruciale per le compagnie e i singoli utenti proteggere i propri dispositivi. In caso di furto, tutti i dati della rete interna della compagnia possono venire messi alla luce; è quindi consigliato, in caso di furto, cancellare tutti i dati dal telefono da remoto. Il difetto messo in evidenzia riguarda la progettazione della sicurezza su iPhone e iPad in tutti i dispositivi con il firmware iOS 4.2.1.
Seguici
melablog è un supplemento alla testata Blogo.it registrata presso il Tribunale di Milano n. 487/06, P. IVA 04699900967. Contatti, Chi siamo, Condizioni di utilizzo, Privacy.
© 2004-2012 Blogo.it, alcuni diritti riservati sotto licenza Creative Commons.
Per informazioni pubblicitarie e progetti speciali su Melablog.it contattare la concessionaria esclusiva Populis Engage.
dataghoul
10 feb 2011 - 18:15 - #1WOW, hanno scoperto che se HAI ACCESSO FISICO a un dispositivo, puoi farne praticamente qualunque cosa e non c’è protezione che tenga…
…sicuramente gli daranno il Nobel!
ROTFL!
Sythos
10 feb 2011 - 18:21 - #2Aggiungi anche che funziona solo su dispositivi jailbreakati :)
manang
10 feb 2011 - 18:24 - #3si…un po’ paura lo fa…immaginate una applicazione che uno installa e dopo…adios privacy.
apple-side-effects
10 feb 2011 - 18:29 - #4Aggiungi che siete tutti fanboy anzi fanchilds! VERGOGNA APPLE!!!
AlessandroDB
10 feb 2011 - 18:39 - #5Ok, la Apple deve vergognarsi di creare software che, se accessibile, può essere corrotto…
Cioè dovrebbe fare software collegato a rete neurali??! Perché sai… Ogni software si può corrompere a meno che non sia un sistema biologico di intelligenza artificiale in cui le variabili sono pressoché infinite…
Ma questo tu che dici vergogna… Lo sapevi già vero?
dhamon78
10 feb 2011 - 20:04 - #6Ma se funziona solo su dispositivi JB Apple come può farci qualcosa? Il suo sistema di sicurezza è sicuramente impenetrabile da programmini tipo questo visto che per installare un qualunque programma devi passare da App store dove tutto il sw è controllato. Non sbloccate l’iPhone e avrete la sicurezza, sbloccatelo e sarete vulnerabili perchè lo state usando in un modo che Apple non supporta e quindi lo usate a vostro rischio e pericolo.
delafuerte
10 feb 2011 - 20:55 - #7@apple-side-effects
Miiiii…fanchildS?!?!
LOL tu devi essere un madre lingua, vero?!
:-)
teejay87
10 feb 2011 - 21:19 - #8La stessa notizia su 3 blog, gli stessi commenti scritti da gente che non ci capisce nulla.
Il fatto che sia necessario il jailbreak non è una scusa, non si può dire “tienilo non jailbreakkato così sei al sicuro”.
E’ ovvio che il problema c’è nel caso il device viene smarrito!
A quel punto il jailbreak viene eseguito da chi trova il telefono e SOLO per avere accesso al filesystem, operazione che potrebbe essere eseguita anche smontando fisicamente il drive flash.
Il problema non è il jailbreak, il problema è che quelle password dovrebbero essere adeguatamente crittate in modo da essere accessibili al solo sistema operativo stesso.
E invece non è così… basta uno script ed eccole tutte…
tare888
10 feb 2011 - 21:31 - #9mi tremano i baffi
aqua
10 feb 2011 - 22:01 - #10dhamon78
non ha molto senso quello che dici.
il jailbreak è possibile proprio xchè non è così sicuro l’iPhone.
se fosse davvero sicuro, niente Jailbreak e niente crack da parte di Fraunhofer.
cerri
10 feb 2011 - 22:40 - #11Teejay87: almeno un commento decente…
Tutti gli altri credo debbano ancora imparare un po’…
Il problema infatti è lo store delle password o meglio dei dati sensibili, non della possibilità del jailbreak!
etomma
10 feb 2011 - 22:46 - #12Chi dice che non è grave mi sa che non si è reso conto del problema.
I dati sensibili non devono assolutamente essere accessibili a chi non è autorizzato. Pertanto il portachiavi (software che contiene tutte le password salvate) deve salvare tali dati con un qualche algoritmo di cifratura affidabile. Generalmente solo un attacco a forza bruta dovrebbe poter accedere ai dati.
Leggendo il documento prodotto dalla fraunhofer, loro dicono un utente pensa di esser sicuro della sicurezza dei propri dati impostando la password per bloccare il dispositivo, in realtà dimostrano che è possibile accedere a buona parte di questi dati.
Qui è spiegato il perché del successo dell’attacco:
“This decryption is possible, since on current iOS devices the required cryptographic key does not depend on the user’s secret passcode. Instead the required key material is completely created from data available within the device and therefore is also in the possession of a possible attacker.”
Ovvero la chiave usata per crittare alcuni dati non è basata su quella inserita dall’utente (che l’attaccante non conosce) ma è generata sulla base di dati presenti nel dispositivo (e quindi accessibili anche all’attaccante).
Non tutti i dati sono accessibili ma dalla tabella presente nel documento compaiono:
VPN
MS Exchange
WiFi
Apple Push
Mobile Me
CalDav
Voicemail
ecc
Di sicuro roba di non poco conto, soprattutto se uno ci lavora con il dispositivo e alcune di queste password porterebbero compromettere accessi non autorizzati ad un azienda (VPN, WiFi)
http://www.sit.fraunhofer.de/en/Images/sc_iPhone%20Passwords_tcm502-80443.pdf
Questa cosa un po’ mi spaventa, anche se non ho un iPhone. Sul BB ad esempio viene esplicitamente richiesto di inserire una password per criptare il portachiavi, è possibile persino inserire la rubrica tra i dati criptati.
teejay87
10 feb 2011 - 23:09 - #13Fortunatamente c’è anche qualche persona che parla con cognizione di causa, grazie a @cerri ed @etomma.
Bisogna solo sperare di non perdere il telefono e nel caso succedesse, riuscire ad attivare la cancellazione dei dati prima che sia troppo tardi…
frittino
10 feb 2011 - 23:55 - #14Va be’ qui siamo al delirio totale. Non penso che chi ci ruba il telefono sia un ricercatore del CERN di Ginevra … magari e’ solo un comune ladro!
etomma
11 feb 2011 - 00:01 - #15@frittino
Scusa ma non vedo dove sia il delirio totale.
shen_lei
11 feb 2011 - 00:40 - #16Scusate ma avete tutti quanti dei segreti di stato nel vostro iPhone?
frittino
11 feb 2011 - 01:54 - #17@etomma: semplicemente perche’ non penso che un ladro abbia tutte queste capacita di hackeraggio. E poi come dice shen_lei … ma che ci stara’ mai su sti telefoni … a volte ci si prende troppo sul serio.
E’ chiaro che tutti i sistemi sono crackabili, ma da qui a dire che sia qualcosa di semplice e alla portata di tutti c’e’ ne vuole. Tutti i dispositivi, compreso iPhone o concorrenti, sono piu’ che sicuri.
etomma
11 feb 2011 - 09:57 - #18@shen_lei @frittino
Il fatto che una persona non abbia segreti non giustifica il fatto che una società possa permettersi una falla di sicurezza così grande.
Lo scenario potrebbe essere molto diverso, basterebbe che una qualcuno scriva un programmino che faccia tutto il lavoro sporco (jb e lanci lo script di decodifica) e lo distribuisca sul web. Ecco che chiunque potrebbe accedere ai dati.
Sicuramente ci sarà una nuova versione dell’OS che correggerà il problema ma alla data attuale tutti i dispositivi sono vulnerabili.
E cosa non da sottovalutare, quanti altri smartphone faranno la stessa cosa?????
shen_lei
11 feb 2011 - 15:11 - #19Il fatto è che da sempre ogni oggetto elettronico è stato violato quindi non capisco di cosa ci si stupisca.iPhone,Playstation,pc,ogni tipo di oggetto informatico prima o poi trova il suo hacker che si passa35 ore al giorno per violarlo e ci sono sempre riusciti.di cosa vi stupite?
AlessandroDB
11 feb 2011 - 16:49 - #20Ora vorrei entrare più nell’argomento prendendo spunto dagli ultimi commenti.
A mio avviso non ci si può stupire se un dispositivo elettronico è violabile, semmai se questo è troppo facilmente violabile.
Se l’iPhone non possiede i requisiti di sicurezza necessari per renderlo violabile ma in tempi non convenienti in rapporto ai dati ottenibili allora è un dato che chi lavora alla sicurezza in Apple deve mettere mano.
Anche i bancomat sono violabili, ma in tempi così lunghi da non rendere conveniente la violazione. Ora penso di aver reso l’idea.