Dans un article précédent, j'ai parlé du mode de restriction de l'accès aux accessoires dans les appareils exécutant iOS. Dans l'article, je me suis concentré sur les fonctionnalités d'iOS, ce qui rend la sécurité des données utilisateur dépendante de la seule ligne de protection "insurmontable": le code de verrouillage de l'écran. Presque toutes les mesures de protection sont en quelque sorte liées à un code de verrouillage. Apple périodiquement (selon un calendrier complexe) désactive la biométrie dans l'iPhone, forçant l'utilisateur à entrer un mot de passe pour déverrouiller l'écran. Allumé ou redémarré le téléphone - vous avez besoin d'un code de verrouillage. Mode SOS utilisé - code de verrouillage. Le téléphone n'a pas été utilisé pendant plusieurs heures - encore une fois le code de verrouillage. Connectez-vous à l'ordinateur et entrez à nouveau le code de verrouillage. Vous souhaitez définir un mot de passe pour la sauvegarde? À partir d'iOS 13 et ici, vous avez besoin d'un code de verrouillage.
Il semblerait que l'utilisateur ait juste besoin de définir un code de verrouillage long et complexe pour sécuriser complètement l'appareil. Cependant, ce comportement n'est pas différent du système de sécurité hypothétique du bâtiment, où seule l'entrée est protégée - alors que les portes des bureaux sont toujours grandes ouvertes, il n'y a pas de mot de passe sur les ordinateurs dans les bureaux, et vous pouvez obtenir un accès illimité au réseau interne à partir de n'importe quel appareil simplement en vous connectant au réseau Wi-Fi (bien sûr, également complètement ouvert).
Science-fiction? En effet, le décrit semble étrange, mais c'est dans cet état que le système de sécurité iOS est maintenant. En fait, toute la protection est entièrement basée sur une seule ligne de défense, qui est le code de verrouillage d'écran - avec une seule petite condition: le compte utilisateur est protégé par une authentification à deux facteurs.
Que puis-je faire si je connais le code de verrouillage de l'iPhone
Si le code de verrouillage d'écran est connu, pratiquement toutes les données peuvent être extraites de l'iPhone, y compris les mots de passe des comptes. Comment faire Créez une sauvegarde en la protégeant avec un mot de passe. Et à quoi sert le code de verrouillage? Voici la séquence d'étapes pour créer une telle sauvegarde:
- Nous connectons l'iPhone à l'ordinateur. À partir d'iOS 11, pour vous connecter à un ordinateur sur l'iPhone, vous devez non seulement cliquer sur «accepter» la demande de connexion, mais également saisir un code de verrouillage .
- Lancez iTunes ou iOS Forensic Toolkit et voyez si le mot de passe pour la sauvegarde est défini. Pas installé? Génial, installez le vôtre et créez une sauvegarde! (Pourquoi définir un mot de passe - je vais l'écrire séparément; en résumé, seules les données telles que le trousseau et certaines autres entrent dans la copie de sauvegarde avec le mot de passe). Une seule chose peut interférer: à partir d'iOS 13, vous devez entrer un code de verrouillage pour définir un mot de passe pour la sauvegarde. Le mot de passe est défini, mais vous est inconnu? Peu importe également: à partir d'iOS 11, le mot de passe de la sauvegarde peut être réinitialisé ... en entrant le code de verrouillage de l'écran sur l'iPhone!
Le code de verrouillage peut être utilisé pour un accès complet et illimité aux mots de passe du trousseau sur l'iPhone lui-même. De plus, en connaissant le code de verrouillage, vous pouvez facilement afficher tous les mots de passe enregistrés par l'utilisateur à la fois dans le trousseau et dans un gestionnaire de mots de passe tiers connecté au système de remplissage automatique iOS (par exemple, Roboform).
Connaissant le code de verrouillage, vous pouvez facilement détacher le téléphone volé d'iCloud. Pour ce faire, changez simplement le mot de passe iCloud directement dans les paramètres du téléphone; Saisissez le mot de passe d'origine du propriétaire de l'iPhone car cela n'est pas nécessaire. Avec une dextérité minimale, le mot de passe iCloud change en quelques secondes, après quoi Find my iPhone s'éteint instantanément.
En utilisant le code de verrouillage, vous pouvez décrypter la base de données de mots de passe utilisateur dans iCloud, ses messages SMS et iMessage, ainsi que les données de santé. Il y a un point subtil ici: pour accéder à ces données, il est nécessaire que le compte utilisateur soit protégé par une authentification à deux facteurs.
Qu'est-ce que l'authentification à deux facteurs a à voir avec cela?
Eh bien, nous avons compris ce qui est exactement accessible à l'attaquant qui a appris le code de verrouillage. Mais qu'en est-il de l'authentification à deux facteurs?
Le fait est que seulement avec l'inclusion de l'authentification à deux facteurs, certaines fonctionnalités avancées d'iCloud deviennent disponibles. Dans le même temps, l'ensemble du smartphone devient le facteur très supplémentaire nécessaire pour ... mais pour quoi.
- Pour réinitialiser le mot de passe dans iCloud (correspond au mot de passe du compte Apple ID). Ils ont réinitialisé le mot de passe pour iCloud, puis sur le pouce: déconnecté Trouver mon iPhone, détacher l'iPhone du verrou iCloud; glissé des photos depuis le cloud (vous pouvez google Celebgate ici), extrait des sauvegardes, une liste d'appels, etc.
- Pour accéder aux mots de passe dans le cloud iCloud. Ici, je note simplement que les mots de passe du porte-clés cloud iCloud Keychain sont cryptés avec une clé qui dépend du code de verrouillage. À propos, le code de verrouillage convient à tout appareil participant à la synchronisation. Sans authentification à deux facteurs, les mots de passe ne seront tout simplement pas synchronisés avec le cloud, donc cet élément est ici.
- Données de santé. Cela inclut les données sur l'activité de l'utilisateur - le nombre de pas, la fréquence cardiaque (si une montre ou un tracker est utilisé), etc. Des informations très utiles si vous pouvez les gérer avec compétence. Encore une fois, les données d'intégrité tombent dans le cloud si et seulement si l'authentification à deux facteurs est activée, et pour les décrypter, vous devrez entrer un code de verrouillage.
- "Temps d'écran." Il existe des limitations et des statistiques sur l'utilisation de tous les appareils de l'utilisateur et de ses enfants. Encore une fois, la synchronisation du cloud ne fonctionne pas sans 2FA.
- SMS et iMessage. Vous ne pouvez activer leur synchronisation dans iCloud qu'avec une authentification à deux facteurs, vous avez généralement besoin d'un code de verrouillage pour déchiffrer.
«Quelle horreur! Non, je n'inclurai certainement pas l'authentification à deux facteurs, c'est juste dangereux! " Raisonnement logique? Honnêtement, pas vraiment: l'activation de l'authentification à deux facteurs avec l'iPhone, connaissant son code de verrouillage, sera très, très simple, ce qui nous ramène au premier point. Mais désactiver 2FA aujourd'hui est très difficile, voire impossible.
Protéger le code de verrouillage contre les attaques par force brute
À l'aide d'un code de blocage, un attaquant (ou des organismes chargés de l'application des lois) peut faire un certain nombre de choses indésirables pour l'utilisateur. Le code de verrouillage est presque la seule et dernière ligne de défense restante. S'il tombe en panne, un attaquant peut faire presque n'importe quoi avec l'iPhone lui-même ou avec des données dans le cloud - un analogue complet du bâtiment, dont l'ensemble du système de sécurité est limité à un verrou numérique à l'entrée. Vous pouvez simplement aller plus loin dans la chaîne: les mots de passe des comptes du trousseau vous aideront à vous connecter aux réseaux sociaux; si vous trouvez un mot de passe pour votre compte Google - vous pouvez accéder aux données qui ont accumulé les appareils des utilisateurs avec Android.
Apple est conscient de tout cela. Depuis longtemps, lors de la configuration de votre iPhone ou iPad, vous serez invité à entrer un code de verrouillage à 6 chiffres (auparavant, il n'y en avait que 4). Oui, vous pouvez activer un code de verrouillage à 4 chiffres, mais la sécurité de cette étape est douteuse: les codes de verrouillage à 4 chiffres à l'aide d'outils spéciaux peuvent être fissurés en une demi-heure. Mais la recherche de mots de passe composés de 6 chiffres peut prendre jusqu'à 19 ans, ce qui est assez sûr. Cependant, les solutions que nous connaissons utilisent des solutions de contournement particulières: dans certains cas, les quelques centaines de milliers de mots de passe (AFU, certaines générations de matériel) sont triés beaucoup plus rapidement et des dictionnaires de fréquence sont utilisés à la place d'une recherche exhaustive.
Qu'en est-il de la protection matérielle excessive? Tous les appareils iOS 64 bits ont un sous-système de sécurité Secure Enclave, dont le matériel est souvent Secure Element, ce qui limite la vitesse et le nombre de tentatives possibles. À ce jour, la protection Secure Enclave a été plus ou moins contournée pour toutes les générations d'iPhone et iPad, à l'exception de ce dernier, basé sur le SoC A12. Parmi les modèles «sûrs» - iPhone Xs, Xs Max et Xr. Dans ces modèles, la vitesse de recherche sera limitée à un mot de passe en 10 minutes; Pour autant que je sache, les fabricants d'outils de piratage n'ont pas encore pu contourner cette limitation. Mais pour les modèles plus anciens, en particulier en mode AFU (après le premier déverrouillage, c'est-à-dire que le téléphone a été pris à l'utilisateur à l'état activé et que l'utilisateur l'a déverrouillé au moins une fois après avoir allumé), la vitesse de recherche est plusieurs fois plus rapide.
Et quelle est la vérité, vous pouvez désactiver le verrouillage iCloud sans connaître le mot de passe pour iCloud?
Vrai - mais uniquement pour les appareils enregistrés dans un compte avec une authentification à deux facteurs active. Étonnamment, c'est le cas: peut-être le mécanisme le plus puissant, un moyen de dissuasion avancé, après l'apparition de plusieurs vols d'iPhone, vous pouvez le désactiver, ne connaissant que le code de verrouillage et rien de plus.
Comment cela se fait-il? J'ai besoin de l'iPhone lui-même et de son code de verrouillage. Lancez l'application système Find iPhone. Dans l'application - un champ de saisie du mot de passe avec l'inscription «Obligatoire». Ignorez-le en cliquant sur "Identifiant Apple ou mot de passe oublié?" Et nous verrons une demande de code de verrouillage du téléphone:
Nous entrons le code de verrouillage et à l'étape suivante, nous définissons un nouveau mot de passe pour iCloud:
Le problème est résolu: nous connaissons maintenant le mot de passe d'Apple ID / iCloud; Le verrouillage iCloud peut être désactivé à partir des paramètres système.
Une autre méthode ne nécessite pas l'utilisation de l'application Find My Phone. Nous allons dans l'ID Apple dans les paramètres de l'appareil, puis ouvrons l'élément Mot de passe et sécurité:
Vient ensuite le changement de mot de passe. Il y aura une demande pour le code de verrouillage de l'appareil:
Après cela, changez le mot de passe pour iCloud / Apple ID:
Même après cela, le propriétaire d'origine peut toujours reprendre le contrôle du compte en envoyant une demande de restauration et en spécifiant un numéro de téléphone de confiance.
Les paramètres Trusted Phone Number indiquent le numéro de téléphone auquel les SMS seront envoyés pour une authentification à deux facteurs. C'est ce numéro que le propriétaire pourra utiliser pour restaurer l'accès au compte si l'attaquant change son mot de passe Apple ID.
Vous ne pouvez pas supprimer un seul numéro, mais cela n'arrêtera pas l'attaquant. La première étape consistera à ajouter un nouveau «numéro de téléphone de confiance», la seconde consiste à supprimer l'ancien qui appartenait à l'ancien propriétaire du compte. À partir de ce moment - vraiment tout: la récupération rapide de l'accès au compte auprès du propriétaire d'origine de l'appareil échouera. Dans le meilleur des cas, cela sera possible après une longue procédure de vérification, au cours de laquelle les traces de l'appareil volé seront perdues.
Comment serait-ce bien?
De mon point de vue, le système de sécurité iOS laisse désormais beaucoup à désirer. La seule ligne de défense est une protection totalement inadéquate. (Ici, je mentionnerai la protection par mot de passe de "Screen Time"; ce n'est pas parfait, mais mieux que rien. D'une manière ou d'une autre, je parlerai davantage de cette protection.)
Comment améliorer la sécurité? Je proposerais les mesures suivantes.
- «Retour, comme c'était dans iOS 10»: avant iOS 11, personne ne pouvait jamais réinitialiser le mot de passe sur la sauvegarde locale. Vous avez oublié votre mot de passe? Vous pouvez sauvegarder dans iCloud et réinitialiser le téléphone aux paramètres d'usine; Le mot de passe de sauvegarde a été réinitialisé. Mais il était impossible de supprimer simplement l'iPhone, de trouver le code de verrouillage et de supprimer la sauvegarde: le mot de passe pour la sauvegarde pourrait être défini de manière longue et très difficile (vous devez toujours le saisir une fois pendant l'installation et le second lors de la restauration de l'appareil), et le casser est extrêmement lent , de l'ordre de centaines de tentatives par seconde en utilisant l'accélération matérielle sur le GPU.
- N'autorisez pas l'ajout ou la suppression de numéros de téléphone fiables sans confirmation du mot de passe iCloud. Maintenant, pour ajouter un nouveau numéro de confiance auquel vous pouvez obtenir le code 2FA, entrez simplement le code de verrouillage de l'iPhone.
- Empêchez la réinitialisation du mot de passe pour Apple ID / iCloud avec un code de verrouillage. Essayez de modifier ou de réinitialiser le mot de passe de votre compte Google d'une manière ou d'une autre - assurez-vous que le système de récupération d'accès peut être à la fois pratique et sûr.
- Et plus encore, ne permettez pas la déconnexion de Localiser mon iPhone après avoir réinitialisé le mot de passe. Ici, encore une fois, je vais l'envoyer à Google: il suffit de changer (pas même de réinitialiser, juste de changer!) Le mot de passe du compte Google et de désactiver la protection FRP (Factory Reset Protection) pendant trois jours: la période est suffisante pour avoir le temps de faire quelque chose À propos de l'appareil volé. Ce moment acquiert une signification particulière étant donné que les voleurs prennent désormais non seulement le smartphone de la victime, mais les forcent à les informer du code de verrouillage, changeant instantanément le mot de passe du cloud et déliant l'appareil d'iCloud.
Est-il possible de renforcer en quelque sorte la sécurité d'iOS? Les utilisateurs d'entreprise peuvent utiliser le système Apple Configurator, où vous pouvez définir des restrictions sur la manipulation des comptes. Il est logique que les utilisateurs finaux définissent le mot de passe «Screen Time». Si vous ne vous laissez pas emporter par les auto-restrictions, l'expérience d'utilisation de l'appareil ne sera pas affectée, mais vous ne pourrez pas réinitialiser le mot de passe pour la sauvegarde: en plus du code de verrouillage de l'écran, le système vous demandera également de saisir le mot de passe "Screen Time". De plus, vous pouvez configurer les restrictions de telle manière que sans le mot de passe «Screen Time», vous ne pouvez pas changer le mot de passe du compte ou le supprimer de l'iPhone.