iPhone, 6 minuti per ottenere le tue password

Rubare le password contenute nell'iPhone in soli sei minuti? È possibile. Ricercatori del Fraunhofer Institute Secure Information Technology (Fraunhofer SIT) hanno dimostrato che un malintenzionato, entrato in possesso (fisicamente) del terminale o di un altro prodotto iOS, può attaccare il sistema di gestione delle password (keychain).

Nel video che potete osservare in questa notizia, i ricercatori hanno eseguito anzitutto il jailbreak dell'iPhone, poi creano una connessione sicura SSH sul telefono che consente al software di funzionare sul terminale. Il terzo passo è copiare uno script di accesso al keychain sul dispositivo. Lo script usa le funzioni del sistema già nel telefono per accedere alle voci di keychan e, infine, svela i dettagli dell'account al malintenzionato.

Secondo i ricercatori l'attacco ha successo perché la chiave crittografica sui dispositivi iOS è indipendente dal passcode. Usando l'attacco i ricercatori sono stati in grado di accedere e decodificare le password in keychain, tra cui quelle della Mail di Google, Exchange, LDPA, voicemail, le password VPN, Wi-Fi e altre ancora.

"Controllare un account e-mail permette a un malintenzionato di acquisire persino più password: per molti servizi web come i social network un malvivente deve solo richiedere un reset della password". L'attacco è particolarmente importante per le aziende che consentono agli impiegati di usare i loro iPhone su reti aziendali, perché svela anche le password di accesso alla rete.

"Chi perde un dispositivo iOS dovrebbe cambiare istantaneamente tutte le password immagazzinate. L'operazione dovrebbe essere fatta anche per gli account non immagazzinati sul dispositivo ma che potrebbero avere password uguali o simili".