Apple odhalil některé podrobnosti o zabezpečení mobilního operačního systému iOS

“Naše pozice je architektura zabezpečení,” uvedl v projevu v nejnovějším vydání Black Hat Dallas De Atley, ředitel bezpečnosti platformy Apple. Zabezpečení iOS. „To je něco, nad čím musíte přemýšlet, nejen hodit kód.“ Takto se Apple ukázal, když se poprvé připojil k Black Hat poté, co potvrdil svou účast v roce 2008 a byl na poslední chvíli zrušen. Účelem letošního projevu je, Zabezpečení iOS Komplexní šifrovací rámec založený na certifikátech, který společnost Apple vyvinula pro své produkty.

Ve svém popisu fungování zabezpečeného spouštění De Atley uvedl, že firmware na každém zařízení iOS je digitálně podepsán společností Apple jako součást výrobního procesu. Podle De Atley šifrování také umožňuje uživatelům využívat šifrovací „úrovně“ jejich zařízení. De Atley dodává, že pouhým stisknutím zamykacího tlačítka je zaručeno šifrování e-mailových zpráv uživatelů v zařízení. Soubory lze také automaticky zašifrovat a nelze je otevřít, dokud uživatel nezadá heslo.

Úrovně šifrování zahrnují „úplnou ochranu“, kde je k dešifrování vyžadován přístupový kód; „Protected to first lock“, jak říká De Atley, funguje jako šifrování celého disku na stolním počítači; a nakonec „žádná ochrana“ šifrovacích mechanismů.

Bezpečnostní pracovník společnosti Apple vysvětlil, že společnost vyvinula další úsilí, například „obešla“ heslo pomocí jedinečného identifikátoru zařízení, aby odrazila útočníky od útoků „hrubou silou“. Dalším bezpečnostním opatřením je vymazání zařízení po 10 neúspěšných pokusech o přístup.

“Kryptografie toho všeho je velmi složitá,” uvedl De Atley k návrhu iOS, který zahrnuje koncept “úložiště klíčů”, které v zařízení zůstává, aby si klíče tříd uchovával stále.

Apple zahrnuje šifrování v procesorech založené na 256bitovém standardu Advanced Encryption a algoritmu Secure Hash. De Atley ujistil, že ani Apple, ani výrobci neznají jedinečný identifikátor, opatření, které zaručuje maximální ochranu uživatele. Apple ukládá globální klíč jako kontrolní bod.

Jak již je známo, aplikace v Apple App Store nebudou fungovat na zařízeních iOS, pokud nejsou podepsány společností Apple. Vývojáři obdrží od společnosti certifikát veřejného klíče, aby zajistili, že jejich aplikace fungují se systémem iOS. Vývojáři se mohou připojit k programu iOS Developer Enterprise a vytvářet obchodní aplikace. De Atley uvedl, že každý obdrží „profil Enterprise Provisioning“, který se nahraje do zařízení, která používají, a jeho platnost každý rok vyprší. Výsledkem je, že Apple přísně kontroluje, co se děje v aplikacích běžících na jeho zařízeních.

De Atley uvedl, že architektura iOS podporuje koncept jedné kontrolní skupiny šifrování pro každé zařízení, což je „právo“, které definuje konkrétní formu šifrování, která rozhoduje o tom, které aplikace budou mít přístup ke každému zařízení na základě signálu dynamického kódu. . To vše předpokládá, že tak či onak je známo, jaký software běží na zařízeních.

Chcete-li vymazat data, zařízení Apple ve skutečnosti data nevymaže, ale zpřístupní je po odstranění šifrovacího klíče. U takzvaného „Erasable Storage“, když uživatel aktivuje funkci na dálku, jsou klíče vymazány ukládáním.

De Atley uvedl, že celý proces šifrování může klást nároky na baterii a výkon zařízení, takže aplikace Apple ve výchozím nastavení spí, dokud uživatel nestiskne jiné tlačítko.

Několik informací

Navzdory očekávání vyvolanému projevem společnosti Apple o Black Hat byli zúčastnění bezpečnostní experti zklamáni tím, jak málo se toho naučili.

A to podle něj nebylo nic víc, než vysvětlil Dallas De Atley, než to Apple zveřejnilo v květnu v bílé knize. Bylo řečeno, že jeho prezentace zahrnovala témata od nízkoúrovňových funkcí v bootloaderu a jádru až po požadavky na kódový signál a oprávnění aplikace. Ale pro některé bezpečnostní odborníky byla přednáška odborníka Apple kurzem, jak uzamknout iOS.

„Očekával jsem víc, ale byl to jednoduchý pohled na to, co Apple dělá pro zabezpečení iOS,“ řekl e-mailem CSO Online Kevin Mitnick, zakladatel Mitnick Security Consulting. Podobně Michael Price, hlavní architekt iOS poskytovatele mobilního zabezpečení Appthority, uvedl, že relace ponechala nezodpovězené otázky týkající se zabezpečení napříč všemi platformami mobilních aplikací společnosti. “Doufáme, že zveřejní další technickou dokumentaci nebo se v příštím roce vrátí do Black Hat, aby diskutovali o dalších oblastech souvisejících s bezpečností jejich produktů,” řekl.

Výsledkem bylo, že zapojení společnosti Apple do Black Hat bylo krokem ke zlepšení vztahů s bezpečnostním průmyslem; Koncept, který se Apple pokusí vyvinout ve světle jedné z jeho nejnovějších operací: akvizice firmy zabývající se hardwarovým a softwarovým zabezpečením pro mobilní zařízení, počítače a sítě AuthenTec za 352 milionů dolarů.