Еще во время тестирования бета-версий мобильной операционной системы iOS 10 ряд специалистов отметили ее слабую защиту и полное отсутствие шифрования ядра. В начале сентября Apple представила финальный релиз «самой совершенной системы» для мобильных устройств, но безопасности в обновлении не прибавилось.
Несколько дней назад российская компания «Элкомсофт» опубликовала любопытный отчет, в котором подчеркнула, что взломать резервную копию iOS 10 можно намного легче, чем iOS 9. И самое интересное, что для этого не нужно сверхмощное оборудования или специализированный компьютер.
За одну секунду к бекапу iOS 10 можно подбирать до 6 миллионов паролей. В iOS 9 этот показатель достигал всего 2400 паролей в секунду. Более того, специалисты из «Элкомсофт» уверяют, что около 30% пользователей использует 10 000 самых распространенных паролей. Таким образом, взлом резервной копии iOS 10 может занять меньше одной секунды.
Вся проблема в том, что в iOS 10 используется устаревшая защита PBKDF2. У iOS 9 — SHA256. Странное решение от Apple: новая система получает старую защиту.
И хотя в Apple зачастую любят отмалчиваться, в этот раз от американского производителя последовал развернутый комментарий по обнаруженной проблеме.
Мы в курсе сложившейся ситуации, связанной с уровнем шифрования резервных копий iOS 10, созданных при помощи iTunes на Mac или PC. В ближайшее время мы постараемся устранить даную проблему, выпустив обновление безопасности. Обратите внимание, что столь просто алгоритм взлома не касается резервных копий хранящихся в iCloud.
Мы рекомендуем пользователям использовать шифрование дисков с помощью FileVault. [PA]
Речь идет о включении следующего пункта:
Откройте Настройки —> Защита и безопасность. Нажмите на замок в нижнем левом углу и введите пароль администратора. Включите FileVault и дождитесь окончания шифрования диска. Рекомендуется подключиться к источнику питания, поскольку процесс шифрования весьма продолжительный.
FileVault обезопасит вас не только от взлома резервных копий iOS 10, но и от взлома самого Mac. В противном случае, получить полный контроль над Mac можно всего за 3 минуты [инструкция о том, как это сделать].
(Проголосуйте первым за статью!)
34 комментариев
Форум →падает ли быстродействие от включенного FV?
@ilcom, конечно
@ilcom, нет
@ilcom, конечно, но гораздо меньше чем от новой версии оsх
@ilcom, не заметил если честно, что до – что после. На HDD может только..
@ilcom, довольно активно пользую mbp13 и fv на мой взгляд убавило батарею на пару часов а так все как раньше. На производительность на мой взгляд влияния не видно. ИМХО
@ilcom, очень сильно падает.
жуть
Не делайте резервные копии на компе, вот и все
а тем временем вышла 10.0.2 и там какраз про улучшение безопасности говорят
Дмитрий, в названии (и в статье не один раз) опечатка: не vALUt, а vAULt! Убежище! Как так? :D
@w_maybach, Это называется: «когда утром было мало кофе»:) Спасибо вам большое!
> для этого не нужно сверхмощное оборудования
> FileValut
ахаххаахаха, 3 класса школы финишд?
и при чем тут безопасность iOS, если речь идёт про резервные копии создаваемые iTunes?!
Очень приочень не советовал бы включать эту шнягу. Только если у вас на компе или телефоне сверхсекретная инфа. И то подумал бы.
@entomius, FANCY BEARS’? Проблема со взломом Mac?
И как так можно было копипастить. Раньше использовали PBKDF2 – это безопасный и проверенный способ генерации паролей. В iOS 10 сменили на SHA256, что для генерации паролей не подходит от слова вообще.
Вариантов, как такое могло произойти, мало. Не понимать разницы в безопасности между PBKDF2 и SHA256 могут ну разве что совсем школьники, чтобы сменить первое на второе. Ладно бы еще у них с самого начала небезопасная схема была.
@creker, Да, возникает подозрение, что Apple попросту прогнулись.
@creker, на счёт копипасты, я пробежался по зарубежным новостям, почти на половине всё напутали про PBKDF2 vs SHA256.
Очередной продавец ненужной хрени нашёл небезопасность там, где ее нет
@Lefechka, очередной комментарий от человека, который ничего не понял, но таки авторитетно заявляет, что все бред и неправда.
@creker, ты о себе то зачем публично стока самокритики выстукиваешь на клаве?
Ты сможешь внятно пояснить логику твоих выводов о каком-то там непонимании?
Такой трабл.
Когда включена функция шифрования, то пароль не всегда вводится, приходится “выходить на выбор пользователя” и снова пытаться ввести пароль, и так по несколько раз.
@salamander, интересно. У вас hdd или ssd?
@tar.gz, Fusion Drive 1TB, Системный диск разбит на 180гб
@salamander, c hdd такое замечал. С ssd перестало проявляться. Попробуйте обычный твердотел. Конечно 1ТБ дорого но 512 вполне доступны.
@tar.gz, А если производить установку SSD на iMac, то он будет как дополнительный носитель? Или взамен старому?
@salamander, на iMac с DVD приводом SSD отлично влезает под него. Остается и штатный диск, и SSD, и DVD. На SSD можно поставить чистую систему, а HDD отмапить на папку с пользователями вместо штатной. Получается и скорость, и не критические до скорости личные данные лежат на большом диске.
Кто-нибудь может подсказать реальный сценарий использования данной «уязвимости»? Например, кража данных кредитных карт, какая-либо блокировка с целью последующего «выкупа»?
Когда у меня была еще iOS 3 на iPhone 3G, я пользовался тем, что открывал базы данных SMS из своей резервной копии — резервная копия была полностью открыта. Поэтому мне не совсем понятно, действительно ли описанная в статье проблема таковой является.
@Pekka, думаю нельзя назвать эту уязвимость критической. Для осуществления взлома нужен сам Backup. Но, что действительно странно, что раньше backup’ы были защищена намного лучше, нежели сейчас.
По поводу реального сценария, всё достаточно просто, ведь в телефонах сейчас столько приватной информации, большая часть её сохраняется в backup’ах. Это может быть и корпоративная инфа, ключи для доступа к сетям, переписка, платёжные реквизиты, пароли.
@Pekka, во-первых, любая система защиты, если она имеет уязвимость, не требует обоснования, насколько эту уязвимость будет использовать. Зачем-то же есть система защиты, а в ней огромная дыра. Этого достаточно.
Во-вторых, резервная копия это кладезь информации. Проникнуть на ПК намного проще, чем на телефон, а значит будет очень просто получить доступ ко всей информации через резервную копию. То, что раньше не было вообще никакой защиты, лишь означает, что тогда Apple не сильно заботилась о безопасности данных.
@creker, Я это, в общем-то, серьезно спрашиваю.
Физически мой компьютер недоступен (стоит дома на столе). Я много лет делал резервные копии с мобильных и никогда их не шифровал (когда-то у меня был даже Palm), проблем не было.
Честно говоря, шифрования я тоже побаиваюсь, потому что, в случае каких-либо сбоев, открытые данные я смогу сам восстановить (например, потерял я иФон, но базы данных программ я могу открыть и прочитать данные, если это мне очень понадобится). Если данные зашифрованы, я их сам теряю навсегда (в случае каких-то сбоев).
Реально, мои документы, заметки, записные книжки или что-то там еще никому не нужны.
Я и File Vault боюсь пользоваться — в случае какой-то проблемы с системой/диском я не смогу восстановить данные (то же самое можно сказать и о шифровании в Windows NT, причем в Windows невозможно расшифровать данные, если пользователь зашел под другой учетной записью — это значит, что в случае сбоя и переустановки системы данные фактически теряются. Кстати, как это происходит в случае с File Vault?).
При этом жизнь показывает, что по-настоящему конфиденциальные данные у меня есть — это, например, данные кредитных карт.
Но повышенная безопасность всегда приводит к неудобству. Поэтому я и спрашиваю, насколько проблема, описанная в статье, действительно опасна.
@Pekka, ну вот сами и оцените, насколько вам дороги резервный копии и данные в них. Опасность оценивается уже в конкретном контексте. К вам в ПК удаленно может что-то проникнуть куда проще, чем на телефон. Оно сможет получить доступ к резервным копиям и достаточно быстро подобрать к ним пароль. Насколько для вас это опасно.
@creker, так самый понимающий пояснит “несведущим” так как он попадёт в мой комп?
Где возьмет копию и как ее ламать станет?
Чтобы не взломали учетку достаточно включить пароль прошивки.
Нашли орфографическую ошибку в новости?
Выделите ее мышью и нажмите Ctrl+Enter.Почему не все беспроводные зарядки заряжают Apple Watch
Как на iPhone отключить подборки фото и воспоминания в галерее iOS
Как на iPhone настроить автоподключение для разных Wi-Fi сетей
Как скопировать музыку с одного iPod на другой?
Проблемы с Lightning-кабелем. Как разобраться, в чем дело?
Как убрать нижнюю панель в Сообщениях на iPhone
Почему Siri не слушает голосовые команды, а предлагает вводить их с клавиатуры
Как на iPhone создать опрос в групповом чате iMessage