«Con l'iPhone non mi succede»: che cosa protegge davvero un iPhone

Abstract

La convinzione che l'acquisto di un iPhone metta al riparo da accessi non autorizzati è diffusa e ha un fondamento reale, ma copre soltanto una parte del problema. Questo lavoro separa ciò che il dispositivo protegge davvero da ciò che non protegge.

Il fondo di verità

Conviene partire da ciò che è vero, perché è molto. iOS isola ogni applicazione in un ambiente separato, sottopone il software distribuito sull'App Store a un processo di revisione e distribuisce gli aggiornamenti in modo uniforme. Il dispositivo è però soltanto uno degli anelli della catena che protegge le nostre informazioni: gli altri sono l'account, gli aggiornamenti e le autorizzazioni che concediamo.

Prima via: le credenziali, senza alcun malware

Chi riesce a compromettere l'accesso a un Apple Account non ha bisogno di installare nulla sul dispositivo: raggiunge da un altro apparecchio i dati sincronizzati. Il vettore principale è il phishing. Esiste poi una variante fisica: il furto del dispositivo da parte di chi ha osservato il proprietario digitare il codice di sblocco, un fenomeno che Apple contrasta con la funzione «Protezione dispositivo rubato».

Seconda via: il profilo che installiamo noi

iOS prevede un meccanismo legittimo che consente di applicare al dispositivo impostazioni tramite un profilo di configurazione. Profili malevoli possono instradare il traffico o arruolare il telefono in piattaforme ostili, il tutto sfruttando un'autorizzazione concessa, spesso distrattamente, dall'utente.

Terza via: lo spyware mercenario

È l'unica via che passa dallo sfruttamento di vulnerabilità del sistema operativo, ad esempio con tecniche zero-click. Si tratta tuttavia di attacchi mirati e costosissimi, usati contro un numero ristretto di individui. Chi non è un bersaglio di questo tipo è esposto principalmente alle prime due vie, che non costano quasi nulla agli attaccanti.

Che cosa serve davvero

• Proteggere l'account con l'autenticazione a due fattori.
• Attivare la «Protezione dispositivo rubato».
• Controllare i profili di configurazione installati.
• Installare gli aggiornamenti appena escono.

Le contromisure utili sono a costo nullo e agiscono esattamente sulle vie d'ingresso che restano aperte: l'account, le autorizzazioni concesse e lo stato di aggiornamento del sistema.