Códigos e senhas
Para proteger os dados de usuários contra ataques maliciosos, a Apple usa códigos no iOS, iPadOS e visionOS, e senhas no macOS. Quanto mais longo o código ou a senha, mais fortes eles são e mais fáceis de desencorajar ataques de força bruta. Para desencorajar ainda mais os ataques, a Apple impõe adiamentos (no iOS, iPadOS e visionOS) e um número limitado de tentativas de inserção de senha (no Mac).
No iPad, iPhone e Apple Vision Pro, quando um usuário configura um código ou senha do dispositivo, ele ativa automaticamente a Proteção de Dados. A Proteção de Dados também é ativada em outros dispositivos que possuem um sistema no chip (SoC) da Apple, como o Mac com Apple Silicon, a Apple TV e o Apple Watch. Em dispositivos com macOS, a Apple usa o FileVault, um programa integrado de criptografia de volumes.
Aumento de segurança com códigos e senhas fortes
O iOS, iPadOS e visionOS são compatíveis com códigos de seis ou quatro dígitos e códigos alfanuméricos de qualquer tamanho. Além de desbloquear o dispositivo, um código ou senha fornece entropia para certas chaves de criptografia. Isso significa que se um invasor se apossar de um dispositivo, ele não conseguirá acessar os dados em classes de proteção específicas sem o código.
O código ou senha é trançado ao UID do dispositivo, portanto, os ataques de força bruta precisam ser realizados no dispositivo sendo atacado. Um grande número de iterações é usado para fazer com que as tentativas sejam cada vez mais lentas. O número de iterações é calibrado de forma que uma tentativa dure aproximadamente 80 milissegundos. Na verdade, seriam necessários mais de cinco anos e meio para tentar todas as combinações de um código alfanumérico de seis caracteres com letras minúsculas e números.
Quanto mais forte for o código do usuário, mais forte se torna a chave de criptografia. E ao usar o Optic ID, Face ID e Touch ID, o usuário pode estabelecer um código muito mais forte do que seria prático de outra maneira. O código mais forte aumenta a quantidade efetiva de entropia que protege as chaves de criptografia usadas pela Proteção de Dados, sem prejudicar a experiência do usuário ao desbloquear um dispositivo várias vezes ao dia.
Em códigos que contêm apenas números, um teclado numérico aparece na Tela Bloqueada. Pode ser mais fácil digitar um código numérico longo do que uma senha alfanumérica curta (a segurança fornecida por ambos é similar).
Os usuários podem especificar uma senha alfanumérica mais longa depois de selecionar Código Alfanumérico Personalizado nas Opções de Código em Ajustes > [Optic ID], [Face ID] ou [Touch ID] e código. Em senhas alfanuméricas, um teclado completo aparece na Tela Bloqueada.
Incremento do adiamento para desencorajar ataques de força bruta
No iPad, iPhone, Mac e Apple Vision Pro, para desencorajar ainda mais os ataques de força bruta ao código, há um incremento no adiamento depois da inserção de um código, senha ou PIN inválido (dependendo do dispositivo e do estado em que se encontra), conforme mostrado na tabela abaixo.
Tentativas | 3 | 4 | 5 | 6 | 7 | 8 | 9 | 10 ou mais |
|---|---|---|---|---|---|---|---|---|
Tela Bloqueada do iOS e iPadOS | Nenhuma | 1 minuto | 5 minutos | 15 minutos | 1 hora | 3 horas | 8 horas | O dispositivo é bloqueado e precisa ser conectado a um Mac ou PC |
Tela Bloqueada do watchOS | Nenhuma | 1 minuto | 5 minutos | 15 minutos | 1 hora | 3 horas | 8 horas | O dispositivo é bloqueado e precisa ser conectado a um iPhone |
Janela de Início de Sessão e Tela Bloqueada do FileVault | Nenhuma | 1 minuto | 5 minutos | 15 minutos | 1 hora | 3 horas | 8 horas | 8 horas |
Modo de Recupera- ção do macOS | Nenhuma | 1 minuto | 5 minutos | 15 minutos | 1 hora | 3 horas | 8 horas | Consulte “Como o incremento no tempo de atraso desencora- ja ataques de força bruta no macOS” abaixo |
FileVault com chave reserva (Pessoal, Institucio- nal ou iCloud) | Nenhuma | 1 minuto | 5 minutos | 15 minutos | 1 hora | 3 horas | 8 horas | Consulte “Como o incremento no tempo de atraso desencora- ja ataques de força bruta no macOS” abaixo |
Código PIN de bloqueio remoto do macOS | 1 minuto | 5 minutos | 15 minutos | 30 minutos | 1 hora | 1 hora | 1 hora | 1 hora |
Se a opção Apagar Dados estivar ativada no iPad, iPhone ou Apple Vision Pro (em Ajustes > [Optic ID], [Face ID] ou [Touch ID] e Código), após 10 tentativas incorretas consecutivas de digitar o código, o conteúdo e os ajustes serão removidos do armazenamento. Tentativas consecutivas do mesmo código incorreto não são contabilizadas no limite. Esse ajuste também está disponível como política administrativa por meio de um serviço de gerenciamento de dispositivos compatível com esse recurso e pelo Microsoft Exchange ActiveSync, podendo ser definido em um valor mais baixo.
Os intervalos são exigidos pelo Secure Enclave. Se o dispositivo for reiniciado durante um atraso programado, o atraso ainda é imposto e o timer é reiniciado para o período atual.
Incremento do adiamento para desencorajar ataques de força bruta no macOS
Para ajudar a impedir ataques de força bruta, quando o Mac inicializa, não são permitidas mais de 10 tentativas de inserção da senha na janela de início de sessão e há uma imposição de incrementos cada vez maiores do adiamento após um certo número tentativas incorretas. Os intervalos são exigidos pelo Secure Enclave. Se o Mac for reiniciado durante um adiamento, ele ainda será aplicado e o timer será reiniciado para o período atual.
Para ajudar a impedir que malwares causem perda permanente de dados ao tentar atacar a senha do usuário, esses limites não são aplicados depois de o usuário ter iniciado uma sessão com sucesso no Mac, mas são impostos novamente depois de reiniciar. Se as 10 tentativas forem esgotadas, mais 10 tentativas estarão disponíveis depois de reiniciar no recoveryOS. Se elas também forem esgotadas, outras 10 tentativas serão disponibilizadas para o mecanismo de recuperação do FileVault que estiver configurado (recuperação do iCloud, chave reserva do FileVault e chave institucional), num máximo de 30 tentativas adicionais. Depois que essas tentativas adicionais também são esgotadas, o Secure Enclave não processa mais nenhuma solicitação para descriptografar o volume ou verificar a senha e os dados da unidade tornam-se irrecuperáveis.
Para ajudar a proteger dados em um ambiente empresarial, o setor de TI deve usar um serviço de gerenciamento de dispositivos para definir e exigir políticas de configuração do FileVault. As organizações têm várias opções de gerenciamento de volumes criptografados, como chaves reservas institucionais, pessoais (que podem ser armazenadas com o serviço de gerenciamento de dispositivos para guarda) ou uma combinação de ambas. A alternância de chaves também pode ser definida como política no serviço de gerenciamento de dispositivos.
Em um Mac com chip Apple T2 Security, a senha cumpre uma função semelhante, com a exceção de que a chave gerada é usada para criptografia do FileVault, em vez da Proteção de Dados.