Uno strumento come il GrayKey, che negli USA è ormai nelle mani di diversi corpi di polizia, è in grado di sbloccare un iPhone protetto con password a 6 cifre in soli 11 ore. Se strumenti di questo tipo finissero nelle mani sbagliate ci sarebbero seri rischi per la sicurezza di tutti gli utenti, ecco perché bisogna proteggersi al meglio.
Matthew Green, esperto in sicurezza informatica e professore presso il Johns Hopkins Information Security Institute, afferma che il GrayKey è in grado di violare le password degli iPhone a 6 cifre in circa 11 ore. Codici più lunghi, però, potrebbero richiedere anni per poter essere elaborati da questo strumento e da qualsiasi altro dispositivo oggi esistente che adotta l’attacco brute force per violare uno smartphone.
Sempre dalle stime di Green, emerge che un codice a quattro cifre viene violato tra i sei minuti e mezzo e i 13 minuti. Un codice a 6 cifre può invece essere violato tra le 11 e le 22 ore, mentre se si sale a 8 cifre il temo varia da 48 ore a 92 giorni. Utilizzando un codice a 10 cifre, GrayForce impiegherebbe tra gli 8 e i 25 anni (con una media di 12 anni) per violare l’iPhone.
GrayKey lavora tramite attacco brute force e permette di superare la crittografia degli iPhone con iOS 11 e accedere ai dati memorizzati al suo interno. Il tool richiede sempre l’accesso fisico al dispositivo. Una volta effettuato l’accesso, il tool può estrarre il file system completo dal dispositivo Apple. Gli iPhone possono essere scollegati dall’unità dopo circa due minuti, ma dopo la disconnessione, il software continuerà a funzionare sugli iPhone per cercare di sbloccarlo, mostrando in seguito il codice di accesso e altri dettagli sullo schermo dell’iPhone.
GrayKey sembra utilizzare un exploit che elimina le protezioni di sicurezza integrate da Apple, come i ritardi tra un tentativo errato e l’altro durante l’inserimento delle password, o la possibilità per l’utente di far cancellare automaticamente i dati presenti su iPhone dopo 10 tentativi errati.
Come suggerito nei rapporti precedenti, si pensa che Grayshift, azienda produttrice di questo box, faccia affidamento su exploit zero-day non rivelato per ottenere questo risultato. La società commercializza GrayKey in un “sapore” connesso a Internet da $ 15.000 con sblocchi limitati e una versione senza restrizioni da $ 30.000.
Dopo lo sblocco, l’iPhone può essere riconnesso al dispositivo GrayKey per scaricare l’intero contenuto del filesystem, accessibile tramite un’interfaccia web su un computer collegato. Questi dati includono i contenuti non crittografati del portachiavi integrato su iPhone.
Il box funziona su tutti gli iPhone e su iOS fino alla versione 11.2.4 (per il momento). La versione da 15.000 dollari offre 300 tentativi di accesso all’interno di iPhone crittografati, mentre una versione da 30.000 dollari offre tentativi illimitati.
Come proteggersi?
Le password a sei cifre sono diventate la norma su iOS a partire da 2015, con il rilascio di iOS 9. In precedenza, di default Apple consentiva di inserire solo quattro cifre per proteggere iPhone e iPad da potenziali intrusi. Sfruttando l’introduzione del Touch ID e del Face ID, ora è comunque possibile scegliere password più lunghe senza doverle inserire ogni volta che si vuole utilizzare il dispositivo.
Ovviamente, se il passcode è disabilitato, la prima cosa da fare è attivarlo:
- Vai in Impostazioni
- Selezione Face ID/Touch ID e Codice
- Attiva il passcode selezionando una password a 6 cifre
Come detto in precedenza, però, una password a 6 cifre può essere scovata in sole 11 ore, quindi potrebbe essere utile inserirne una ancora più lunga, magari di 10 cifre.
Dalla stessa schermata, clicca su “Cambia codice”, inserisci la vecchia password e clicca su Opzioni codice. Da qui puoi selezionare tre voci:
- Codice alfanumerico personalizzato
- Codice numerico personalizzato
- Codice numerico a 4 cifre
Seleziona una delle prime due voci e inserisci una nuova password di almeno 10 cifre. Una password alfanumerica richiederà ancora più tempo durante un attacco brute force, soprattutto se inseriamo simboli, lettere e numeri casuali.
Una volta confermata la nuova password, l’iPhone sarà molto più sicuro. Ricordiamo che anche la SIM può essere protetta da password, ma oramai questa procedura è inutile ed è possibile disattivare il PIN in pochi passaggi.
Tornando al capitolo iOS, anche se non ci sono ancora conferme ufficiali, sembra che l’ultima versione 11.3 blocchi questo tipo di tool. Alcuni esperti di sicurezza spiegano che “a partire da iOS 11.3, iOS salva l’ultima volta che un dispositivo è stato sbloccato con i dati biometrici o una password corretta o è stato collegato ad un accessorio o un computer. Se trascorrono sette giorni interi (168 ore) dall’ultima volta che iOS ha salvato uno di questi eventi, la porta Lightning viene completamente disabilitata“.