Condividi su:

Una nuova ricerca ha scavato nella sicurezza iOS e Android e ha scoperto come le forze dell’ordine aggirano la crittografia del tuo smartphone.

Le forze dell’ordine in tutto il mondo hanno sempre più richiesto backdoor negli schemi di crittografia che proteggono i tuoi dati , sostenendo che è in gioco la sicurezza nazionale. Ma una nuova ricerca indica che i governi hanno già metodi e strumenti che, nel bene e nel male, consentono loro di accedere agli smartphone bloccati grazie alle debolezze negli schemi di sicurezza di Android e iOS.

I crittografi della Johns Hopkins University hanno utilizzato la documentazione disponibile pubblicamente su Apple e Google, nonché le proprie analisi per valutare la robustezza della crittografia Android e iOS. Hanno anche studiato più di un decennio di rapporti su quali di queste funzionalità di sicurezza mobile le forze dell’ordine e i criminali hanno precedentemente aggirato, utilizzando speciali strumenti di hacking.

I ricercatori hanno approfondito l’attuale stato di cose della privacy mobile e hanno fornito raccomandazioni tecniche su come i due principali sistemi operativi mobili possono continuare a migliorare le loro protezioni.

Sono rimasto davvero scioccato, perché sono entrato in questo progetto pensando che questi telefoni proteggessero davvero bene i dati degli utenti,

afferma Matthew Green, crittografo della Johns Hopkins, che ha supervisionato la ricerca.

Ora sono uscito dal progetto pensando che quasi nulla è protetto quanto potrebbe essere. Allora perché abbiamo bisogno di una backdoor per le forze dell’ordine quando le protezioni che questi telefoni offrono effettivamente sono così cattive?

Su Android non solo puoi attaccare il livello del sistema operativo, ma anche altri diversi livelli di software che possono essere vulnerabili in modi diversi.

Come funziona la crittografia negli smartphone

Prima di eliminare tutti i dati e gettare il telefono fuori dalla finestra, tuttavia, è importante comprendere i tipi di violazioni della privacy e della sicurezza che i ricercatori stavano osservando in modo specifico.

Quando si blocca il telefono con un codice di accesso, un blocco dell’impronta digitale o un blocco del riconoscimento facciale, crittografa i contenuti del dispositivo. Anche se qualcuno rubasse il tuo telefono e ne estrasse i dati, vedrebbero solo parole senza senso.

La decodifica di tutti i dati richiederebbe una chiave che si rigenera solo quando si sblocca il telefono con un codice di accesso o il riconoscimento del viso o delle dita.

Gli smartphone oggi offrono più livelli di queste protezioni e diverse chiavi di crittografia per diversi livelli di dati sensibili. Molte chiavi sono legate allo sblocco del dispositivo, ma le più sensibili richiedono un’autenticazione aggiuntiva.

Con tutto questo in mente, i ricercatori hanno pensato che sarebbe stato estremamente difficile per un utente malintenzionato portare alla luce una qualsiasi di quelle chiavi e sbloccare una certa quantità di dati. Ma non è quello che hanno scoperto.

Come aggirare la crittografia su iOS

Su iOS in particolare, l’infrastruttura è pronta per questa crittografia gerarchica di alto livello,

afferma Maximilian Zinkus, uno studente di dottorato presso Johns Hopkins che ha guidato l’analisi di iOS.

Ma sono rimasto decisamente sorpreso di vedere allora quanto di esso è inutilizzato.

Zinkus afferma che il potenziale c’è, ma i sistemi operativi non estendono le protezioni di crittografia fin dove potrebbero.

Quando un iPhone è stato spento e si avvia, tutti i dati si trovano in uno stato che Apple chiama “Protezione completa”.

L’utente deve sbloccare il dispositivo prima che qualsiasi altra cosa possa realmente accadere e le protezioni della privacy del dispositivo sono molto elevate.

Potresti ancora essere costretto a sbloccare il tuo telefono, ovviamente, ma gli strumenti forensi esistenti avrebbero difficoltà a estrarre dati leggibili da esso. Tuttavia, una volta sbloccato il telefono la prima volta dopo il riavvio, molti dati si spostano in una modalità diversa: Apple la chiama “Protetto fino alla prima autenticazione utente”, ma i ricercatori spesso la chiamano semplicemente “Dopo il primo sblocco : AFU”.

Se ci pensi, il tuo telefono è quasi sempre nello stato AFU

Probabilmente non riavvii lo smartphone per giorni o settimane alla volta e la maggior parte delle persone certamente non lo spegne dopo ogni utilizzo (Per la maggior parte, ciò significherebbe centinaia di volte al giorno.)

Quindi quanto è efficace la sicurezza AFU? È qui che i ricercatori hanno iniziato ad avere preoccupazioni.

La principale differenza tra Protezione completa e AFU riguarda quanto sia facile e veloce per le applicazioni accedere alle chiavi per decrittografare i dati.

Quando i dati si trovano nello stato Protezione completa, le chiavi per decrittografarli vengono archiviate in profondità nel sistema operativo e crittografate da sole. Ma una volta sbloccato il dispositivo per la prima volta dopo il riavvio, molte chiavi di crittografia iniziano a essere archiviate nella memoria ad accesso rapido, anche quando il telefono è bloccato.

A questo punto un utente malintenzionato potrebbe trovare e sfruttare alcuni tipi di vulnerabilità di sicurezza in iOS per acquisire chiavi di crittografia accessibili in memoria e decrittografare grandi blocchi di dati dal telefono.

Sulla base dei rapporti disponibili sugli strumenti di accesso agli smartphone , come quelli dell’appaltatore delle forze dell’ordine israeliane Cellebrite e della società di accesso forense con sede negli Stati Uniti Grayshift, i ricercatori si sono resi conto che è così che funzionano quasi tutti gli strumenti di accesso tramite smartphone in questo momento.

È vero che è necessario un tipo specifico di vulnerabilità del sistema operativo per afferrare le chiavi, e sia Apple che Google correggono il maggior numero possibile di difetti, ma se riesci a trovarlo, anche le chiavi sono disponibili.

Come aggirare la crittografia su Android

I ricercatori hanno scoperto che Android ha una configurazione simile a iOS con una differenza fondamentale. Android ha una versione di “Protezione completa” che si applica prima del primo sblocco.

Successivamente, i dati del telefono sono essenzialmente nello stato AFU. Ma laddove Apple offre agli sviluppatori la possibilità di mantenere alcuni dati sotto i più severi blocchi di protezione completa per tutto il tempo – come ad esempio un’app bancaria – Android non ha quel meccanismo dopo il primo sblocco.

Gli strumenti forensi che sfruttano la giusta vulnerabilità possono acquisire ancora più chiavi di decrittazione e, in ultima analisi, accedere ad ancora più dati su un telefono Android.

Tushar Jois, un altro candidato al dottorato di ricerca della Johns Hopkins che ha guidato l’analisi di Android, osserva che la situazione di Android è ancora più complessa a causa dei molti produttori di dispositivi e implementazioni di Android nell’ecosistema.

Esistono più versioni e configurazioni da difendere e gli utenti hanno meno probabilità di ricevere le ultime patch di sicurezza rispetto agli utenti iOS.

Google ha lavorato molto per migliorarlo, ma resta il fatto che molti dispositivi là fuori non ricevono alcun aggiornamento,

afferma Jois.

Inoltre, diversi fornitori hanno componenti diversi che inseriscono nel loro prodotto finale, quindi su Android non solo puoi attaccare il livello del sistema operativo, ma anche altri diversi livelli di software che possono essere vulnerabili in modi diversi e fornire agli aggressori sempre più accesso ai dati.

I ricercatori hanno condiviso i loro risultati con i team Android e iOS prima della pubblicazione.

La privacy su iOS

Un portavoce di Apple ha dichiarato che il lavoro di sicurezza dell’azienda è incentrato sulla protezione degli utenti da hacker, ladri e criminali che cercano di rubare informazioni personali.

I tipi di attacchi che i ricercatori stanno osservando sono molto costosi da sviluppare, ha sottolineato il portavoce; richiedono l’accesso fisico al dispositivo di destinazione e funzionano solo fino a quando Apple non risolve le vulnerabilità che sfruttano. Apple ha anche sottolineato che il suo obiettivo con iOS è bilanciare sicurezza e praticità.

I dispositivi Apple sono progettati con più livelli di sicurezza per proteggersi da un’ampia gamma di potenziali minacce e lavoriamo costantemente per aggiungere nuove protezioni per i dati dei nostri utenti,

ha affermato il portavoce in una nota.

Poiché i clienti continuano ad aumentare la quantità di informazioni sensibili che memorizzano sui propri dispositivi, continueremo a sviluppare protezioni aggiuntive sia hardware che software per proteggere i loro dati.

La privacy su Android

Allo stesso modo, Google ha sottolineato che questi attacchi Android dipendono dall’accesso fisico e dall’esistenza del giusto tipo di difetti sfruttabili.

Lavoriamo per correggere queste vulnerabilità su base mensile e rafforzare continuamente la piattaforma in modo che bug e vulnerabilità non diventino sfruttabili,

ha detto un portavoce in una nota.

Puoi aspettarti di vedere un ulteriore rafforzamento nella prossima versione di Android.

Ecco un test sulla crittografia

Per capire la differenza in questi stati di crittografia, puoi fare un piccolo test per te stesso su iOS o Android.

Quando il tuo migliore amico chiama il tuo telefono, il suo nome di solito viene visualizzato sulla schermata della chiamata perché è nei tuoi contatti.

Ma se riavvii il dispositivo e non lo sblocchi, chiedi al tuo amico di chiamarti, vedrai solo il suo numero, non il nome.

Questo perché le chiavi per decrittografare i dati della rubrica non sono ancora in memoria.

Anche i backup sono a rischio?

I ricercatori hanno anche approfondito il modo in cui Android e iOS gestiscono i backup su cloud, un’altra area in cui le garanzie di crittografia possono diminuire.

È lo stesso tipo di cose in cui è disponibile una crittografia elevatissima, ma non è necessariamente in uso tutto il tempo,

afferma Zinkus.

E quando esegui il backup, espandi anche i dati disponibili su altri dispositivi. Quindi, se anche il tuo Mac viene “sequestrato” durante una ricerca, ciò aumenta potenzialmente l’accesso delle forze dell’ordine ai dati in cloud.

Sebbene le protezioni per smartphone attualmente disponibili siano adeguate per una serie di “modelli di minaccia” o potenziali attacchi, i ricercatori hanno concluso che non sono all’altezza degli strumenti forensi specializzati che i governi possono facilmente acquistare per le forze dell’ordine e le indagini di intelligence.

Le forze dell’ordine aggirano la crittografia?

Un recente rapporto dei ricercatori dell’organizzazione no profit Upturn ha trovato quasi 50.000 tentativi della polizia degli Stati Uniti in tutti i 50 stati che utilizzano strumenti forensi sui dispositivi mobili per ottenere l’accesso ai dati degli smartphone tra il 2019 e il 2022.

I cittadini di alcuni paesi potrebbero pensare che sia improbabile che i loro dispositivi saranno mai soggetti a questo tipo di ricerca, ma con la sorveglianza mobile è ormai onnipresente e questi strumenti stanno proliferando.

Finché i sistemi operativi mobili tradizionali avranno queste debolezze della privacy, tuttavia, è ancora più difficile spiegarsi perché i governi di tutto il mondo, continuano a chiedere alle aziende tecnologiche di “diminuire” la crittografia dei loro prodotti.

Condividi su: