A meno che tu non abbia vissuto sotto un sasso negli ultimi giorni (nel qual caso hai fatto bene a venire direttamente qui), avrai sicuramente sentito parlare della pubblicazione di molte foto private di oltre cento celebrità diverse.
Questa violazione della privacy è stata collegata a iCloud, ma non è del tutto colpa sua. È emerso che queste foto sono state raccolte per un certo periodo da numerose fonti. Una violazione del genere tende a portare a lunghe pene detentive e senza dubbio lo stesso accadrà qui, ma credo che molte persone stiano sottovalutando quanti dati di iCloud siano stati rubati.
Accedi a iCloud
Quali dati contiene iCloud?
Qui in Reincubate ci piace dare alle persone accesso ai propri dati. Dopo aver subito noi stessi una perdita di dati, sappiamo quanto significhi riaverli. Nelle ultime settimane abbiamo creato e lanciato un’API per scaricare e analizzare i dati del tuo iCloud (se la tua azienda potesse trovare utile questo tipo di servizio, parliamone), quindi sappiamo una cosa o due sull’eccellente sicurezza che protegge i tuoi dati, e anche su cosa si possa ottenere conoscendo la combinazione di Apple ID e password.
Con le tue credenziali in mano e iPhone Backup Extractor con funzionalità iCloud puoi estrarre le foto del tuo iPad o iPhone (come ormai sappiamo tutti molto bene), ma puoi anche estrarre tutti i tuoi SMS, i contatti, le informazioni specifiche delle app (WhatsApp ecc.), solo per citarne alcuni! Inoltre avrai accesso ad altre funzionalità di iCloud che non sono archiviate nel backup, come rintracciare la posizione del tuo iPhone o scaricare i file che hai archiviato in iCloud, come documenti, calendario, segnalibri e altro ancora. Comodo!
È assolutamente fantastico quando hai perso il telefono e riesci a salvare quelle foto del bambino, quel contatto di lavoro o quel video di Fluffy. Molto meno fantastico, invece, quando queste informazioni finiscono nelle mani di una terza parte malintenzionata.
Accesso ai dati iCloud con iPhone Backup Extractor
Come sono stati diffusi i dati?
Come detto sopra, per accedere a questi dati serve la combinazione di Apple ID e nome utente. Non c’è altro modo. (A meno che tu non abbia un team di crittografi di livello mondiale che fa matematica inedita per violare lo standard di cifratura più diffuso, ma in quel caso probabilmente avresti di meglio da fare.) Per la grande maggioranza delle persone trovare l’Apple ID di un utente non è facile, ma ricorda che è solo un indirizzo email e, a seconda della tua presenza online, nascondere la tua email può essere difficile. Anche se molte persone usano password diverse per servizi diversi (e fanno bene), raramente usiamo un indirizzo email diverso, quindi, una volta scoperto l’indirizzo email usato per un servizio, non è un grande salto logico presumere che sia valido anche per altri.
Ci resta quindi la password, che può essere indovinata o reimpostata. Reimpostarla richiede l’accesso all’account email oppure la conoscenza delle varie domande segrete che hai impostato, ma queste informazioni possono essere difficili da ottenere. Indovinare, invece, non richiede letteralmente alcuna conoscenza del titolare dell’account! La risposta naturale di qualsiasi azienda seria in fatto di sicurezza è quindi rendere difficile l’indovinare. Se hai un account Apple, ricorderai forse la miriade di regole che la tua password doveva rispettare per essere considerata utilizzabile, che è la prima tecnica usata per rendere le cose più difficili a un attaccante. Non si otterrà più l’accesso grazie all’utente ingenuo che imposta come password 123456, o al sempre poco risolutivo changeme.
«Ok, bene, abbiamo password (abbastanza) robuste, e adesso?»
Beh, la seconda parte del problema è indovinare moltissime volte. In questo caso ci sono un paio di approcci interessanti. Uno è rendere la procedura lenta, eseguendo molte migliaia di iterazioni dell’hash o usando un algoritmo «lento» (questo è un bell’articolo che ne parla più in profondità, sai, se ti interessa il genere). Anche se questo riduce il numero di tentativi al secondo, si può fare di più e nella maggior parte dei casi lo si fa. Abbiamo più misure di sicurezza per garantire che la forza bruta sugli account non possa semplicemente essere portata a termine.
Si possono implementare varie tecniche (per esempio monitorare i tentativi di accesso e disattivare gli account se si rileva un’attività sospetta), ma il problema in questo caso era che esisteva un’API di accesso che non aveva alcuna protezione aggiuntiva. Gli attaccanti hanno scoperto che l’API Trova il mio iPhone consentiva un numero qualsiasi di tentativi di password, il che significava che dovevano semplicemente provare un elenco di password usate di frequente, sperando che una funzionasse.
Tutto qui. È stato così facile.
Ma non più: appena la falla è stata resa nota, Apple l’ha corretta con puntualità. Apple adotta diverse precauzioni per impedire a terzi l’accesso non autorizzato ai dati degli utenti, ma spetta anche a te proteggere i tuoi dati, che si tratti di iCloud di Apple o di altre app e servizi.
