Codici e password
Per proteggere i dati degli utenti da attacchi malevoli, Apple utilizza i codici in iOS e iPadOS e le password in macOS. A password e codici più lunghi corrisponde una maggiore efficacia, che contribuisce a dissuadere gli attacchi di forza bruta. Ulteriori misure dissuasive implementate Apple sono l’adozione di ritardi temporali (per iOS e iPadOS) e la limitazione del numero di tentativi consentiti per inserire la password (per il Mac).
In iOS e iPadOS, impostando il codice o la password, l’utente abilita automaticamente la protezione dei dati. La protezione dei dati è abilitata anche sugli altri dispositivi che presentano un SoC Apple, come i Mac con chip Apple, Apple TV e Apple Watch. In macOS, Apple si avvale di FileVault, un programma integrato per la crittografia dei volumi.
In che modo codici e password efficaci possono aumentare la sicurezza
iOS e iPadOS supportano codici alfanumerici a sei e quattro cifre, così come quelli di lunghezza arbitraria. Oltre a sbloccare il dispositivo, un codice o una password forniscono entropia per determinate chiavi di codifica. Ciò significa che un hacker in possesso di un dispositivo non potrà accedere ai dati conservati in classi di protezione specifiche senza il codice.
Il codice o la password sono legati all’UID del dispositivo, quindi eventuali attacchi di forza bruta devono essere realizzati sul dispositivo stesso. Per rendere ogni tentativo più lento viene utilizzato un numero di iterazioni alto. Il numero di iterazioni è calibrato in modo da far durare ogni tentativo circa 80 millisecondi. Ciò significa che ci vorrebbero più di cinque anni e mezzo per provare tutte le combinazioni di un codice alfanumerico a sei caratteri con lettere minuscole e numeri.
Quanto più è sicuro il codice impostato dall’utente, tanto più diventa sicura la chiave di codifica. E utilizzando Face ID e Touch ID, l’utente ha la possibilità di stabilire un codice molto più sicuro che altrimenti sarebbe poco pratico. Un codice più sicuro consente di ottenere la più alta entropia possibile con l’obiettivo di proteggere le chiavi di codifica utilizzate per la protezione dati, senza influire negativamente sulla praticità di utilizzo da parte dell’utente che si trova a sbloccare un dispositivo svariate volte durante la giornata.
Se viene inserita una password lunga che contiene solo numeri, in “Blocco schermo” compare un tastierino numerico anziché la tastiera completa. Un codice numerico lungo può essere più facile da inserire rispetto a un codice alfanumerico breve, pur fornendo un livello di sicurezza equivalente.
Gli utenti possono specificare un codice alfanumerico più lungo selezionando “Codice alfanumerico personalizzato” nelle opzioni relative al codice in Impostazioni > Touch ID e codice o Impostazioni > Face ID e codice.
In che modo i ritardi di tempo incrementali contribuiscono a dissuadere gli attacchi di forza bruta
In iOS, iPadOS e macOS, per dissuadere ulteriormente eventuali hacker dal tentare di decifrare i codici, vengono applicati ritardi sempre più lunghi dopo l’inserimento di codice, password o PIN (a seconda del dispositivo e dello stato in cui si trova) come mostrato nella tabella seguente.
Tentativi | 3 | 4 | 5 | 6 | 7 | 8 | 9 | 10 o più |
|---|---|---|---|---|---|---|---|---|
Schermata di blocco di iOS e iPadOS | Nessuno | 1 minuto | 5 minuti | 15 minuti | 1 ora | 3 ore | 8 ore | Il dispositivo è disattivato e deve connettersi a un Mac o PC |
Schermata di blocco di watchOS | Nessuno | 1 minuto | 5 minuti | 15 minuti | 1 ora | 3 ore | 8 ore | Il dispositivo è disattivato e deve connettersi a un iPhone |
Finestra di login e schermata di blocco di macOS | Nessuno | 1 minuto | 5 minuti | 15 minuti | 1 ora | 3 ore | 8 ore | 8 ore |
Modalità di recupero macOS | Nessuno | 1 minuto | 5 minuti | 15 minuti | 1 ora | 3 ore | 8 ore | Consulta “In che modo i ritardi di tempo incrementali contribuiscono a dissuadere gli attacchi di forza bruta (macOS)” sotto |
FileVault con chiave di recupero (personale, istituzionale o iCloud) | Nessuno | 1 minuto | 5 minuti | 15 minuti | 1 ora | 3 ore | 8 ore | Consulta “In che modo i ritardi di tempo incrementali contribuiscono a dissuadere gli attacchi di forza bruta (macOS)” sotto |
Codice PIN del blocco remoto di macOS | 1 minuto | 5 minuti | 15 minuti | 30 minuti | 1 ora | 1 ora | 1 ora | 1 ora |
Se l’opzione “Inizializza i dati” è attivata su iPhone o iPad (in Impostazioni > [Face ID o [Touch ID e codice]), dopo 10 tentativi consecutivi errati di inserimento del codice, tutti i contenuti e le impostazioni vengono cancellati dallo spazio di archiviazione. Tentativi consecutivi con lo stesso codice errato non vengono conteggiati per il raggiungimento del limite. Questa impostazione è anche disponibile come policy amministrativa tramite una soluzione MDM che la supporti e tramite Microsoft Exchange ActiveSync, e può essere impostata su una soglia più bassa.
Sui dispositivi con Secure Enclave, i ritardi sono comandati da Secure Enclave. Se il dispositivo viene riavviato durante un ritardo, tale ritardo viene comunque applicato e il timer comincia da capo per il periodo attuale.
In che modo i ritardi di tempo incrementali contribuiscono a dissuadere gli attacchi di forza bruta in macOS
Per impedire gli attacchi di forza bruta, all’avvio del Mac non sono consentiti più di 10 tentativi di inserimento della password nella finestra di login e, dopo vari tentativi non corretti, vengono applicati ritardi sempre più lunghi. I ritardi sono comandati da Secure Enclave. Se il Mac viene riavviato durante un ritardo, tale ritardo viene comunque applicato e il timer comincia da capo per il periodo attuale.
Per impedire che il malware causi la perdita irreversibile dei dati cercando di attaccare la password dell’utente, questi limiti non vengono applicati se l’utente ha effettuato correttamente il login al Mac, ma vengono reimpostati dopo il riavvio. Se vengono esauriti i 10 tentativi, l’utente dispone di altri 10 tentativi dopo il riavvio in recoveryOS. Se anche quei tentativi vengono esauriti, sono disponibili altri 10 tentativi per ogni meccanismo di recupero FileVault (recupero iCloud, chiave di recupero di FileVault e chiave istituzionale), per un massimo di 30 tentativi aggiuntivi. Una volta esauriti anche quei tentativi aggiuntivi, Secure Enclave non elabora più nessuna richiesta di decrittografia del volume o di verifica della password e i dati presenti nell’unità non possono più essere recuperati.
Per contribuire a proteggere i dati in ambiente aziendale, gli addetti IT dovrebbero definire e applicare delle policy di configurazione di FileVault tramite una soluzione MDM. Le organizzazioni dispongono di svariate opzioni per la gestione dei volumi codificati, tra cui le chiavi di recupero istituzionali, le chiavi di recupero personali (che possono facoltativamente essere archiviate con la MDM) o un insieme di entrambe. Anche la rotazione delle chiavi può essere impostata come policy nella MDM.
Nei Mac con chip di sicurezza Apple T2, la password assolve una funzione simile, salvo per il fatto che la chiave generata è usata per la codifica con FileVault invece che per la protezione dati. Inoltre, macOS offre delle opzioni aggiuntive per il recupero delle password:
Recupero di iCloud
Recupero di FileVault
Chiave istituzionale di FileVault