Primo trojan iPhone, e altro...

Dobbiamo meravigliarci? Non direi, visto quanto per almeno due volte le protezioni messe in atto per vincolare l'uso del terminale alla SIM siano state violate. Ma un trojan è un'altra cosa, e se nel caso specifico gli effetti sembrano essere più quelli di un test che di un vero e proprio malware "in esercizio", la cosa non deve passare inosservata.
IPhone è un prodotto insicuro? Non trarrei conclusioni affrettate. Semplicemente, come per un noto sistema operativo, la comunità lo trova un bersaglio più interessante di altri, dopodichè certamente le caratteristiche del dispositivo fanno il resto...
Per altro, girando per la rete i pareri sulla sicurezza di iPhone sembrano generalmente orientati verso una bocciatura (non tutti, però...). La potenza è nulla senza controllo, recitava una nota pubblicità, e indubbiamente il terminale della casa di Cupertino ha delle caratteristiche interessanti. Tuttavia, non posso non notare come il settore della sicurezza meriterebbe modalità di comunicazione migliori di questa. Cito:
I prodotti della tale marca "are going to kill [the iPhone] from a security [perspective]"
Ci mancherebbe: iPhone non era ancora uscito, il mercato era tutto di "tale marca".

Recentemente, al convegno NSS07 a Pisa ho avuto modo di ascoltare un vendor di terminali telefonici mobili parlare di un sistema di gestione enterprise dei cellulari aziendali. Il prodotto, secondo il relatore, consentiva tra le altre cose il controllo del parco applicativo installato ed in esecuzione sul terminale. Quindi, a seguito di una mia domanda, ha aggiunto che il sistema centrale periodicamente si collegava al terminale (o viceversa, non ricordo) per eseguire tale controllo.
Non mi pare si tratti della stessa cosa, anche se il prodotto è interessante per se... Magari, se non fosse possibile installare il software se non preventivamente autorizzato....
Cito e richiamo questo post sul problema centrale: stessi errori di sempre. Si aggiunge sicurezza all'insicurezza di base di una intera classe di prodotti che hanno la peculiarità di ospitare dati critici e per giunta di offrire una elevata percezione di sicurezza.
La cosa peggiore è che i S.O. di questi dispositivi, in realtà, offrirebbero molte delle feature di protezione disponibili, alcune non da molto, nei moderni sistemi operativi dei PC! Per alcuni prodotti si parla di cento e più impostazioni configurabili!
Solo che se comprerete quei prodotti, saranno quasi certamente disabilitate.

Ancora su Time Machine e backup su MacOS (Leopard)

Ringraziando l'autore, rispondo a questo commento con un aggiornamento alla questione del backup con Time Machine che avevo intenzione di scrivere.

Time Machine non adotta alcun sistema di protezione oltre ai meccanismi di controllo accesso ai dati previsti dal file system. Questo significa, sostanzialmente, che il livello di protezione dei dati della partizione o del disco ove sono salvati i dati da T.M. è equivalente a quello offerto per gli stessi dati sul disco originale. Per altro, con il rischio in più del furto del disco esterno, il cui valore economico, marginale rispetto a quello di un PC, è tipicamente causa di una minore attenzione da parte del proprietario rispetto al (faccio il mio esempio) portatile, ed in più è certamente più facile da rubare.

Per quanto mi riguarda, utilizzo FileVault per cifrare interamente la home directory, proprio per ovviare a questo problema. Le informazioni più critiche, poi, le conservo in file immagine cifrati (AES 128-256bit) creati con Disk Utility, ed ovviamente con una password diversa da quella utilizzata per l'accesso al sistema. Questo perchè FileVault non offre, di per se, protezione dal momento che l'utente accede al sistema, quando il meccanismo di cifratura è trasparente alle applicazioni, "buone o cattive" che siano.

Personalmente, riscontrata l'assenza di meccanismi di cifratura da parte di Time Machine, ho ripristinato il sistema di backup che utilizzavo con Mac OS X 10.4 (Tiger):

1. ho creato un volume virtuale cifrato con Disk Utility, di dimensioni adeguate per ospitare i miei backup
2. ho scelto, tra vari software disponibili per il backup, iBackup, configurandolo per utilizzare, come destinazione dei dati di backup, il volume virtuale cifrato
3. ho installato iBackup sul volume virtuale cifrato, e ho creato uno shortcut sul Dock.

A questo punto, quando devo eseguire il backup, basta fare click sull'icona di iBackup perchè il sistema mi richieda la password di decifratura del volume virtuale per accedere all'applicazione. Il sistema, monta quindi il volume, avvia iBackup ed effettua il backup. Il meccanismo funziona anche creando degli script per pianificare l'operazione in modo automatico ma, visto che devo inserire la password e che sono un ragazzo diligente :-) , faccio tutto giornalmente a mano.

iBackup è una delle possibilità. A me piace perchè unisce semplicità di utilizzo a meccanismi standard di compressione e salvataggio dei dati (crea archivi cpio, cpgz o si appoggia a rsync). La semplicità di utilizzo risiede nella possibilità di selezionare, oltre alle directory delle quali l'utente vuole fare delle copie di sicurezza, anche le impostazioni personali e di sistema, le applicazioni etc... Per esempio, la posta elettronica, che come sapranno gli utenti della mela è conservata in "Library".
Il restore funziona bene, e comunque trattandosi di archivi standard, non è necessario avere a disposizione iBackup per ripristinare il tutto, la qual cosa è per me un elemento indispensabile di scelta di un meccanismo di backup (inizialmente utilizzavo Windows, poi Linux ed adesso MacOS, e sono sempre stato in grado di accedere ai backup fatti con i S.O. precedenti, guarda un pò!).

Time Machine e cifratura

Una delle funzionalità che mi ha incuriosito di più nell'aggiornare il sistema operativo Mac Os X dalla versione 10.4 alla 10.5 (Leopard) è "Time Machine".
La ritengo una di quelle funzionalità di sicurezza finalmente pensata per l'utente finale: facile, intuitiva, funzionale.
Due cenni sulle caratteristiche: backup completo, la prima volta che si configura, ed a seguire backup incrementali ogni ora.
Al di là dell'estetica (fantascientifica), quello che è apprezzabile è che TM non si concentra sul backup in quanto tale , ma prevalentemente sullo scopo per cui l'utente prevede di destinare risorse disco alla salvaguardia dei dati : il recovery. Ed in questo, Time Machine ha pochi rivali, sempre limitandoci alle soluzioni user-friendly.
Andando indietro nel tempo, per ogni cartella è possibile vedere i file che conteneva in una certa data, e scegliere se si desidera recuperarli. Stessa cosa per la posta elettronica (vi è mai capitato di cancellare erroneamente un messaggio?) o la rubrica (e di vederla "ripulita" dopo un errore di sincronizzazione con il cellulare?). E' possibile perfino fare ricerche con spotlight (il "google desktop" integrato su Mac OS X) sul contenuto del disco in una certa data.

Fin qui, quindi, tutto bene.

Dopo l'aggiornamento del sistema operativo, dopo aver giocato con Time Machine ed altre nuove applicazioni del sistema, ho quindi riattivato FileVault, il servizio di cifratura della Home. FileVault crea una immagine disco cifrata della directory dell'utente, che viene "montata" in fase di login, garantendo quindi la riservatezza dei dati in caso di furto del disco/notebook (il rischio principale per il quale utilizzo questo meccanismo) e comunque in tutti i casi in cui l'utenza a cui si riferisce la home cifrata non stia utilizzando il sistema.
Attivato quindi FileVault, ecco l'amara (quanto sospetta) scoperta: Time Machine non offre più le funzionalità di ripristino dei dati di cui sopra: la home dell'utente è infatti trattata come un disco a se stante, del quale viene fatto un backup incrementale, e quindi è possibile accedere "opacamente" all'immagine stessa nel tempo, ma non ai file contenuti.
Ovviamente sono d'accordo sul principio: se la home è cifrata, non è il caso che i backup siano fatti in chiaro. Ed infatti il problema di Time Machine, sul quale la documentazione ufficiale Apple non è affatto chiara, è che non è possibile proteggere i backup con cifratura senza rinunciare alle caratteristiche principali di questo software.

Questo aspetto è certamente un limite sul quale Apple dovrà lavorare, sopratutto in virtù del fatto che stiamo parlando di due soluzioni di protezione fornite in bundle con il sistema!

Se da un lato non sono affatto pentito del passaggio dal Linux a MacOs X, l'uso di soluzioni proprietarie in questi casi manifesta tutto il suo limite. Se, in entrambi i casi, la qualità del software può essere discutibile (benchè, in questo ripeto, sono decisamente soddisfatto), le soluzioni open garantiscono una maggiore flessibilità che le alternative commerciali non sempre prevedono: o una cosa il software la fa, oppure ti attacchi. O passi ad una soluzione open :-)