Apple ha annunciato tantissime novità per quanto riguarda la crittografia end-to-end su iCloud e nuove funzioni di sicurezza per iMessage e Apple ID.
Crittografia end-to-end
iCloud protegge già 14 categorie di dati utilizzando la crittografia end-to-end per impostazione predefinita, inclusa l’app Messaggi quando i backup sono disabilitati, le password archiviate nel portachiavi iCloud, i dati sulla salute, la cronologia delle ricerche di Apple Maps e altro ancora.
Con la nuova opzione di protezione avanzata dei dati, il numero di categorie di dati iCloud che utilizzano la crittografia end-to-end sale a 23.
La protezione avanzata dei dati sarà disponibile su iPhone, iPad e Mac a partire da iOS 16.2, iPadOS 16.2 e macOS 13.1 alla fine di questo mese e fornirà la crittografia end-to-end per le seguenti categorie aggiuntive di iCloud:
- Backup del dispositivo e backup dei messaggi
- iCloud Drive
- Note
- Foto
- Promemoria
- Memo Vocali
- Preferiti su Safari
- Segnalibri Safari
- Siri Shortcuts
- Wallet
Apple afferma che le uniche categorie di dati iCloud che non sono ancora protette dalla crittografia end-to-end sono Mail, Contatti e Calendario a causa della “necessità di interagire con i sistemi globali di posta elettronica, contatti e calendario” che utilizzano tecnologie legacy.
Advanced Data Protection per iCloud è disponibile per il test a partire dalle ultime versioni beta di iOS 16.2, iPadOS 16.2 e macOS 13.1 rilasciate oggi. Apple afferma che la nuova funzione di sicurezza opzionale sarà disponibile per gli utenti statunitensi entro la fine dell’anno e inizierà a essere distribuita nel resto del mondo all’inizio del 2023.
I dati iCloud crittografati end-to-end possono essere decrittografati solo sui tuoi dispositivi Apple affidabili su cui hai effettuato l’accesso con il tuo account ID Apple, garantendo che i dati rimangano al sicuro anche in caso di violazione dei dati nel cloud. Nemmeno Apple ha accesso alle chiavi di crittografia, quindi se perdi l’accesso al tuo account, puoi recuperare i dati solo utilizzando il passcode o la password del dispositivo, il contatto di ripristino o la chiave di ripristino. Gli utenti verranno guidati a configurare almeno un contatto di ripristino o una chiave di ripristino prima di attivare la protezione avanzata dei dati.
Puoi disattivare la protezione avanzata dei dati in qualsiasi momento. In tal modo, il tuo dispositivo caricherà in modo sicuro le chiavi di crittografia richieste sui server Apple e il tuo account tornerà a un livello di protezione standard, come spiegato da Apple.
Quando la protezione avanzata dei dati è abilitata, l’accesso ai tuoi dati tramite iCloud.com è disabilitato per impostazione predefinita. Gli utenti hanno la possibilità di attivare l’accesso ai dati su iCloud.com, che consente al browser Web e ad Apple di avere accesso temporaneo alle chiavi di crittografia specifiche dei dati.
La protezione avanzata dei dati è progettata per mantenere la crittografia end-to-end nella maggior parte dei contenuti iCloud condivisi, a condizione che tutti i partecipanti abbiano abilitato la protezione avanzata dei dati, inclusa la libreria di foto condivise di iCloud, le cartelle condivise di iCloud Drive e le note condivise.
Tuttavia, Apple afferma che la collaborazione iWork, la funzione Album condivisi in Foto e la condivisione di contenuti con un collegamento non supportano la protezione avanzata dei dati.
iMessage e Apple ID
Oltre all’estensione facoltativa della crittografia end-to-end a molte altre categorie di dati di iCloud, Apple ha annunciato anche altre due nuove funzionalità di sicurezza progettate per proteggere dalle minacce ai dati degli utenti nel cloud.
Apple afferma che le nuove funzionalità di verifica della Contact Key di iMessage e della Security Key per l’ID Apple saranno disponibili a livello globale su iPhone e altri dispositivi nel 2023.
iMessage Contact Key Verification consente agli utenti che affrontano “minacce digitali straordinarie”, come giornalisti, attivisti per i diritti umani e funzionari governativi, di verificare ulteriormente che stanno inviando messaggi solo con le persone a cui intendono inviarli realmente. Nelle conversazioni tra utenti che hanno abilitato la verifica della chiave di contatto di iMessage, gli utenti vengono avvisati se un utente malintenzionato dovesse mai riuscire a violare i server cloud e inserire il proprio dispositivo per intercettare la conversazione.
Come ulteriore livello di sicurezza, gli utenti di iMessage Contact Key Verification possono confrontare un codice di verifica del contatto di persona, su FaceTime o tramite un’altra chiamata sicura per verificare ulteriormente che stanno comunicando solo con chi intendono davvero farlo.
I token di sicurezza per l’ID Apple offriranno agli utenti la possibilità di utilizzare token di sicurezza fisica di terze parti per proteggere ulteriormente il proprio account. Per gli utenti che abilitano questa funzione, i token di sicurezza rafforzano l’autenticazione a due fattori di Apple richiedendo una chiave di sicurezza hardware come uno dei due fattori anziché un codice di autenticazione.
Le parole di Apple
Craig Federighi ha affermato che l’espansione della crittografia end-to-end di iCloud ha richiesto molto tempo per l’implementazione perché Apple aveva bisogno di costruire qualcosa di sicuro e testare la tecnologia.
Alcuni dei passaggi che abbiamo intrapreso più di un decennio fa progettando iCloud e il modo in cui abbiamo crittografato sono stati precursori necessari per arrivare verso questo momento, e l’utilizzo della crittografia end-to-end per gli altri tipi di dati come password e cronologia del browser ha contribuito a rendere migliore quella tecnologia.
Con la crittografia end-to-end che si espande alla maggior parte dei servizi iCloud, se un utente malintenzionato dovesse accedere ai dati iCloud, non ci sarebbe modo di decrittografarli. Come svantaggio, impedirà l’accesso alle informazioni su iCloud.com, motivo per cui è una funzione che può essere abilitata o disabilitata a seconda del livello di sicurezza e praticità che ogni utente iPhone desidera.
Per quanto riguarda il recupero dei dati, Federighi spiega che una persona che ha abilitato la protezione avanzata dei dati che perde l’accesso al proprio dispositivo e dimentica la propria password iCloud dovrebbe aver attivato una chiave di ripristino o un contatto per il recupero dei dati per accedere al proprio contenuto.
Un utente che attiva questa funzione si assume una responsabilità aggiuntiva. Si sta assumendo la responsabilità del recupero dei dati, dall’impostazione di un contatto per il recupero dei dati alla protezione di una chiave di ripristino. Tutti gli utenti potrebbero non essere pronti o disposti a farlo.
La protezione avanzata dei dati non consentirà alle forze dell’ordine di accedere a dati come backup o foto di iCloud, cosa che ora è possibile con i backup di iCloud non crittografati. Quando gli è stato chiesto se Apple avesse considerato questa cosa durante l’implementazione della protezione avanzata dei dati, Federighi ha sostanzialmente affermato che i vantaggi superano gli svantaggi in quanto fornisce protezione ai funzionari governativi che potrebbero essere presi di mira da avversari stranieri.
Apprezziamo profondamente il lavoro delle forze dell’ordine e le sosteniamo. Riteniamo di avere davvero a cuore la stessa missione, ovvero proteggere le persone. In definitiva, mantenere i dati dei clienti al sicuro ha grandi implicazioni sulla nostra sicurezza in generale. Ci sono informazioni sensibili che un aggressore malintenzionato, che si tratti di un avversario straniero o di un criminale organizzato, potrebbe sfruttare.
Federighi ha affermato che l’unico modo per proteggere i dati dei clienti è stare “un passo avanti” rispetto agli aggressori con funzionalità come Advanced Data Protection.