Безопасность iOS 10 хромает, используйте шифрование FileVault

|
FavoriteLoading В закладки
Безопасность iOS 10 хромает, используйте шифрование FileVault

Еще во время тестирования бета-версий мобильной операционной системы iOS 10 ряд специалистов отметили ее слабую защиту и полное отсутствие шифрования ядра. В начале сентября Apple представила финальный релиз «самой совершенной системы» для мобильных устройств, но безопасности в обновлении не прибавилось.

Несколько дней назад российская компания «Элкомсофт» опубликовала любопытный отчет, в котором подчеркнула, что взломать резервную копию iOS 10 можно намного легче, чем iOS 9. И самое интересное, что для этого не нужно сверхмощное оборудования или специализированный компьютер.

FileValutIn2

За одну секунду к бекапу iOS 10 можно подбирать до 6 миллионов паролей. В iOS 9 этот показатель достигал всего 2400 паролей в секунду. Более того, специалисты из «Элкомсофт» уверяют, что около 30% пользователей использует 10 000 самых распространенных паролей. Таким образом, взлом резервной копии iOS 10 может занять меньше одной секунды.

Вся проблема в том, что в iOS 10 используется устаревшая защита PBKDF2. У iOS 9 — SHA256. Странное решение от Apple: новая система получает старую защиту.

И хотя в Apple зачастую любят отмалчиваться, в этот раз от американского производителя последовал развернутый комментарий по обнаруженной проблеме.

Мы в курсе сложившейся ситуации, связанной с уровнем шифрования резервных копий iOS 10, созданных при помощи iTunes на Mac или PC. В ближайшее время мы постараемся устранить даную проблему, выпустив обновление безопасности. Обратите внимание, что столь просто алгоритм взлома не касается резервных копий хранящихся в iCloud.

Мы рекомендуем пользователям использовать шифрование дисков с помощью FileVault. [PA]

Речь идет о включении следующего пункта:

FileValutIn1

Откройте Настройки —> Защита и безопасность. Нажмите на замок в нижнем левом углу и введите пароль администратора. Включите FileVault и дождитесь окончания шифрования диска. Рекомендуется подключиться к источнику питания, поскольку процесс шифрования весьма продолжительный.

FileVault обезопасит вас не только от взлома резервных копий iOS 10, но и от взлома самого Mac. В противном случае, получить полный контроль над Mac можно всего за 3 минуты [инструкция о том, как это сделать].

Оставайся в теме. Подпишись на наш Telegram 👏
FavoriteLoading В закладки
undefined
iPhones.ru
О безопасности подумать лучше раньше. Потом может быть поздно.
Прокомментировать

🙈 Комментарии 35

  1. ilcom avatar
    ilcom28 сентября 2016
    0

    падает ли быстродействие от включенного FV?

    toivan avatar
    toivan28 сентября 2016
    4

    @ilcom, конечно

    bezmozgov avatar
    bezmozgov28 сентября 2016
    1

    @ilcom, нет

    Commander avatar
    Commander28 сентября 2016
    0

    @ilcom, конечно, но гораздо меньше чем от новой версии оsх

    Antisuicide avatar
    Antisuicide28 сентября 2016
    1

    @ilcom, не заметил если честно, что до – что после. На HDD может только..

    tar.gz avatar
    tar.gz28 сентября 2016
    0

    @ilcom, довольно активно пользую mbp13 и fv на мой взгляд убавило батарею на пару часов а так все как раньше. На производительность на мой взгляд влияния не видно. ИМХО

    _assa_ avatar
    _assa_28 сентября 2016
    0

    @ilcom, очень сильно падает.

  2. Commander avatar
    Commander28 сентября 2016
    0

    жуть

  3. toivan avatar
    toivan28 сентября 2016
    6

    Не делайте резервные копии на компе, вот и все

  4. iGitlin28 сентября 2016
    0

    а тем временем вышла 10.0.2 и там какраз про улучшение безопасности говорят

  5. w_maybach avatar
    w_maybach28 сентября 2016
    0

    Дмитрий, в названии (и в статье не один раз) опечатка: не vALUt, а vAULt! Убежище! Как так? :D

    Дмитрий Бардаш avatar
    Дмитрий Бардаш28 сентября 2016
    0

    @w_maybach, Это называется: «когда утром было мало кофе»:) Спасибо вам большое!

  6. qq avatar
    qq28 сентября 2016
    0

    > для этого не нужно сверхмощное оборудования
    > FileValut
    ахаххаахаха, 3 класса школы финишд?

    и при чем тут безопасность iOS, если речь идёт про резервные копии создаваемые iTunes?!

  7. entomius avatar
    entomius28 сентября 2016
    1

    Очень приочень не советовал бы включать эту шнягу. Только если у вас на компе или телефоне сверхсекретная инфа. И то подумал бы.

    AntiDot avatar
    AntiDot28 сентября 2016
    0

    @entomius, FANCY BEARS’? Проблема со взломом Mac?

  8. creker avatar
    creker28 сентября 2016
    1

    И как так можно было копипастить. Раньше использовали PBKDF2 – это безопасный и проверенный способ генерации паролей. В iOS 10 сменили на SHA256, что для генерации паролей не подходит от слова вообще.

    Вариантов, как такое могло произойти, мало. Не понимать разницы в безопасности между PBKDF2 и SHA256 могут ну разве что совсем школьники, чтобы сменить первое на второе. Ладно бы еще у них с самого начала небезопасная схема была.

    nopox avatar
    nopox28 сентября 2016
    0

    @creker, Да, возникает подозрение, что Apple попросту прогнулись.

    nopox avatar
    nopox28 сентября 2016
    0

    @creker, на счёт копипасты, я пробежался по зарубежным новостям, почти на половине всё напутали про PBKDF2 vs SHA256.

  9. Lefechka avatar
    Lefechka28 сентября 2016
    1

    Очередной продавец ненужной хрени нашёл небезопасность там, где ее нет

    creker avatar
    creker28 сентября 2016
    1

    @Lefechka, очередной комментарий от человека, который ничего не понял, но таки авторитетно заявляет, что все бред и неправда.

    Lefechka avatar
    Lefechka28 сентября 2016
    0

    @creker, ты о себе то зачем публично стока самокритики выстукиваешь на клаве?
    Ты сможешь внятно пояснить логику твоих выводов о каком-то там непонимании?

  10. salamander avatar
    salamander28 сентября 2016
    0

    Такой трабл.
    Когда включена функция шифрования, то пароль не всегда вводится, приходится “выходить на выбор пользователя” и снова пытаться ввести пароль, и так по несколько раз.

    tar.gz avatar
    tar.gz28 сентября 2016
    0

    @salamander, интересно. У вас hdd или ssd?

    salamander avatar
    salamander28 сентября 2016
    0

    @tar.gz, Fusion Drive 1TB, Системный диск разбит на 180гб

    tar.gz avatar
    tar.gz28 сентября 2016
    0

    @salamander, c hdd такое замечал. С ssd перестало проявляться. Попробуйте обычный твердотел. Конечно 1ТБ дорого но 512 вполне доступны.

    salamander avatar
    salamander28 сентября 2016
    0

    @tar.gz, А если производить установку SSD на iMac, то он будет как дополнительный носитель? Или взамен старому?

    tar.gz avatar
    tar.gz28 сентября 2016
    0

    @salamander, у меня не было iMac, но на сколько я вкурсе второй винт ставят взамен DVD привода. Так что – в замен старого. И ещё могу посоветовать Вам, с ноля установить ось и включить шифрование на вашем фьюжн драйве, и только после окончания шифрования перенести документы и установить программы – так делаю я, однако многие считают это излишним. И только если это не поможет менять на ssd. Так же имейте в виду что Ваш гибрид (фьюжн) медленнее ссд и вероятно имеет смысл всё-таки его заменить, но сначала фишровпние чистой системы. ИМХО

    creker avatar
    creker28 сентября 2016
    0

    @salamander, на iMac с DVD приводом SSD отлично влезает под него. Остается и штатный диск, и SSD, и DVD. На SSD можно поставить чистую систему, а HDD отмапить на папку с пользователями вместо штатной. Получается и скорость, и не критические до скорости личные данные лежат на большом диске.

  11. Pekka avatar
    Pekka28 сентября 2016
    0

    Кто-нибудь может подсказать реальный сценарий использования данной «уязвимости»? Например, кража данных кредитных карт, какая-либо блокировка с целью последующего «выкупа»?

    Когда у меня была еще iOS 3 на iPhone 3G, я пользовался тем, что открывал базы данных SMS из своей резервной копии — резервная копия была полностью открыта. Поэтому мне не совсем понятно, действительно ли описанная в статье проблема таковой является.

    nopox avatar
    nopox28 сентября 2016
    0

    @Pekka, думаю нельзя назвать эту уязвимость критической. Для осуществления взлома нужен сам Backup. Но, что действительно странно, что раньше backup’ы были защищена намного лучше, нежели сейчас.

    По поводу реального сценария, всё достаточно просто, ведь в телефонах сейчас столько приватной информации, большая часть её сохраняется в backup’ах. Это может быть и корпоративная инфа, ключи для доступа к сетям, переписка, платёжные реквизиты, пароли.

    creker avatar
    creker28 сентября 2016
    1

    @Pekka, во-первых, любая система защиты, если она имеет уязвимость, не требует обоснования, насколько эту уязвимость будет использовать. Зачем-то же есть система защиты, а в ней огромная дыра. Этого достаточно.

    Во-вторых, резервная копия это кладезь информации. Проникнуть на ПК намного проще, чем на телефон, а значит будет очень просто получить доступ ко всей информации через резервную копию. То, что раньше не было вообще никакой защиты, лишь означает, что тогда Apple не сильно заботилась о безопасности данных.

    Pekka avatar
    Pekka28 сентября 2016
    0

    @creker, Я это, в общем-то, серьезно спрашиваю.
    Физически мой компьютер недоступен (стоит дома на столе). Я много лет делал резервные копии с мобильных и никогда их не шифровал (когда-то у меня был даже Palm), проблем не было.
    Честно говоря, шифрования я тоже побаиваюсь, потому что, в случае каких-либо сбоев, открытые данные я смогу сам восстановить (например, потерял я иФон, но базы данных программ я могу открыть и прочитать данные, если это мне очень понадобится). Если данные зашифрованы, я их сам теряю навсегда (в случае каких-то сбоев).
    Реально, мои документы, заметки, записные книжки или что-то там еще никому не нужны.
    Я и File Vault боюсь пользоваться — в случае какой-то проблемы с системой/диском я не смогу восстановить данные (то же самое можно сказать и о шифровании в Windows NT, причем в Windows невозможно расшифровать данные, если пользователь зашел под другой учетной записью — это значит, что в случае сбоя и переустановки системы данные фактически теряются. Кстати, как это происходит в случае с File Vault?).
    При этом жизнь показывает, что по-настоящему конфиденциальные данные у меня есть — это, например, данные кредитных карт.
    Но повышенная безопасность всегда приводит к неудобству. Поэтому я и спрашиваю, насколько проблема, описанная в статье, действительно опасна.

    creker avatar
    creker28 сентября 2016
    0

    @Pekka, ну вот сами и оцените, насколько вам дороги резервный копии и данные в них. Опасность оценивается уже в конкретном контексте. К вам в ПК удаленно может что-то проникнуть куда проще, чем на телефон. Оно сможет получить доступ к резервным копиям и достаточно быстро подобрать к ним пароль. Насколько для вас это опасно.

    Lefechka avatar
    Lefechka28 сентября 2016
    0

    @creker, так самый понимающий пояснит “несведущим” так как он попадёт в мой комп?
    Где возьмет копию и как ее ламать станет?

  12. sstyle avatar
    sstyle28 сентября 2016
    0

    Чтобы не взломали учетку достаточно включить пароль прошивки.

Вы должны авторизоваться или зарегистрироваться для комментирования.

Нашли орфографическую ошибку в новости?

Выделите ее мышью и нажмите Ctrl+Enter.

Как установить аватар в комментариях?

Ответ вот здесь