Codici e password
Per proteggere i dati degli utenti da attacchi malevoli, Apple utilizza i codici in iOS, iPadOS e visionOS e le password in macOS. A password e codici più lunghi corrisponde una maggiore efficacia, che contribuisce a dissuadere gli attacchi di forza bruta. Ulteriori misure dissuasive implementate Apple sono l’adozione di ritardi temporali (iOS, iPadOS e visionOS) e la limitazione del numero di tentativi consentiti per inserire la password (Mac).
Su iPad, iPhone e Apple Vision Pro, impostando il codice o la password, l’utente abilita automaticamente la protezione dei dati. La protezione dei dati è abilitata anche sugli altri dispositivi che presentano un SoC Apple, come i Mac con chip Apple, Apple TV e Apple Watch. Sui di con macOS, Apple si avvale di FileVault, un programma integrato per la crittografia dei volumi.
Aumentare la sicurezza con codici e password sicuri
iOS, iPadOS e visionOS supportano codici alfanumerici a sei e quattro cifre, così come quelli di lunghezza arbitraria. Oltre a sbloccare il dispositivo, un codice o una password forniscono entropia per determinate chiavi di codifica. Ciò significa che un hacker in possesso di un dispositivo non potrà accedere ai dati conservati in classi di protezione specifiche senza il codice.
Il codice o la password sono legati all’UID del dispositivo, quindi eventuali attacchi di forza bruta devono essere realizzati sul dispositivo stesso. Per rendere ogni tentativo più lento viene utilizzato un numero di iterazioni alto. Il numero di iterazioni è calibrato in modo da far durare ogni tentativo circa 80 millisecondi. Ciò significa che ci vorrebbero più di cinque anni e mezzo per provare tutte le combinazioni di un codice alfanumerico a sei caratteri con lettere minuscole e numeri.
Quanto più è sicuro il codice impostato dall’utente, tanto più diventa sicura la chiave di codifica. E utilizzando Optic ID, Face ID e Touch ID, l’utente ha la possibilità di stabilire un codice molto più sicuro che altrimenti sarebbe poco pratico. Un codice più sicuro consente di ottenere la più alta entropia possibile con l’obiettivo di proteggere le chiavi di codifica utilizzate per la protezione dati, senza influire negativamente sulla praticità di utilizzo da parte dell’utente che si trova a sbloccare un dispositivo svariate volte al giorno.
Se il codice contiene solo numeri, nella schermata di blocco viene mostrato un tastierino numerico. Un codice numerico lungo può essere più facile da inserire rispetto a una password alfanumerica breve, pur fornendo un livello di sicurezza equivalente.
Gli utenti possono specificare una password alfanumerica più lunga selezionando “Codice alfanumerico personalizzato” nelle opzioni del codice in Impostazioni > [Optic ID], [Face ID] o [Touch ID] e codice. Se la password è alfanumerica, nella schermata di blocco viene mostrato un tastierino completo.
Ritardi di tempo incrementali per scoraggiare gli attacchi di forza bruta
Su iPad, iPhone, Mac e Apple Vision Pro, per dissuadere ulteriormente eventuali hacker dal tentare di scoprire i codici tramite tentativi ripetuti, vengono applicati ritardi sempre più lunghi dopo l’inserimento di codice, password o PIN (a seconda del dispositivo e dello stato in cui si trova) come mostrato nella tabella seguente.
Tentativi | 3 | 4 | 5 | 6 | 7 | 8 | 9 | 10 o più |
|---|---|---|---|---|---|---|---|---|
Schermata di blocco di iOS e iPadOS | Nessuno | 1 minuto | 5 minuti | 15 minuti | 1 ora | 3 ore | 8 ore | Il dispositivo è bloccato e deve connettersi a un Mac o PC |
Schermata di blocco di watchOS | Nessuno | 1 minuto | 5 minuti | 15 minuti | 1 ora | 3 ore | 8 ore | Il dispositivo è bloccato e deve connettersi a un iPhone |
Finestra di login di FileVault e schermata di blocco | Nessuno | 1 minuto | 5 minuti | 15 minuti | 1 ora | 3 ore | 8 ore | 8 ore |
Modalità di recupero macOS | Nessuno | 1 minuto | 5 minuti | 15 minuti | 1 ora | 3 ore | 8 ore | Consulta “In che modo i ritardi di tempo incrementali contribuiscono a dissuadere gli attacchi di forza bruta (macOS)” sotto |
FileVault con chiave di recupero (personale, istituzionale o iCloud) | Nessuno | 1 minuto | 5 minuti | 15 minuti | 1 ora | 3 ore | 8 ore | Consulta “In che modo i ritardi di tempo incrementali contribuiscono a dissuadere gli attacchi di forza bruta (macOS)” sotto |
Codice PIN del blocco remoto di macOS | 1 minuto | 5 minuti | 15 minuti | 30 minuti | 1 ora | 1 ora | 1 ora | 1 ora |
Se l’opzione “Inizializza i dati” è attivata su iPad, su iPhone o su Apple Vision Pro (in Impostazioni > [Optic ID], [Face ID] o [Touch ID] e codice), dopo 10 tentativi consecutivi errati di inserimento del codice, tutti i contenuti e le impostazioni vengono cancellati dallo spazio di archiviazione. Tentativi consecutivi con lo stesso codice errato non vengono conteggiati per il raggiungimento del limite. Questa impostazione è anche disponibile come policy amministrativa tramite un servizio di gestione dei dispositivi che la supporti e tramite Microsoft Exchange ActiveSync, e può essere impostata su una soglia più bassa.
I ritardi sono comandati da Secure Enclave. Se il dispositivo viene riavviato durante un ritardo, tale ritardo viene comunque applicato e il timer comincia da capo per il periodo attuale.
Ritardi di tempo incrementali per scoraggiare gli attacchi di forza bruta in macOS
Per impedire gli attacchi di forza bruta, all’avvio del Mac non sono consentiti più di 10 tentativi di inserimento della password nella finestra di login e, dopo vari tentativi non corretti, vengono applicati ritardi sempre più lunghi. I ritardi sono comandati da Secure Enclave. Se il Mac viene riavviato durante un ritardo, tale ritardo viene comunque applicato e il timer comincia da capo per il periodo attuale.
Per impedire che il malware causi la perdita irreversibile dei dati cercando di attaccare la password dell’utente, questi limiti non vengono applicati se l’utente ha effettuato correttamente il login al Mac, ma vengono reimpostati dopo il riavvio. Se vengono esauriti i 10 tentativi, l’utente dispone di altri 10 tentativi dopo il riavvio in recoveryOS. Se anche quei tentativi vengono esauriti, sono disponibili altri 10 tentativi per il meccanismo di recupero di FileVault configurato (recupero iCloud, chiave di recupero di FileVault e chiave istituzionale), per un massimo di 30 tentativi aggiuntivi. Una volta esauriti anche quei tentativi aggiuntivi, Secure Enclave non elabora più nessuna richiesta di decrittografia del volume o di verifica della password e i dati presenti nell’unità non possono più essere recuperati.
Per proteggere i dati in ambiente aziendale, gli addetti all’IT dovrebbero definire e applicare delle policy di configurazione di FileVault tramite un servizio di gestione dei dispositivi. Le organizzazioni dispongono di svariate opzioni per la gestione dei volumi codificati, tra cui le chiavi di recupero istituzionali, le chiavi di recupero personali (che possono facoltativamente essere archiviate con un servizio di gestione dei dispositivi) o un insieme di entrambe. Anche la rotazione delle chiavi può essere impostata come policy in un servizio di gestione dei dispositivi.
Nei Mac con chip di sicurezza Apple T2, la password assolve una funzione simile, salvo per il fatto che la chiave generata è usata per la codifica con FileVault invece che per la protezione dati.