O functie de securitate de pe iPhone poate fi folosita impotriva utilizatorului

Am văzut ieri o știre pe Wall Street Journal în care un domn spunea că din cauza unei opțiuni de securitate de pe iPhone, nu își mai poate recupera accesul pe iPhone-ul 14 Pro furat acum câteva luni. Ideea este așa: pe iPhone există posibilitatea de a genera niște chei de recuperare (de 28 de caractere) care trebuie introduse atunci când se dorește schimbarea parolei Apple ID.

Opțiunea a fost introdusă în 2020 și se dorește a oferi un nivel suplimentar de protecție împotriva atacurilor pe Apple ID și în esență este o chestie foarte bună.

În cazul domnului de la WSJ opțiunea se dovedește a fi un dezavantaj, nu un avantaj. Pentru că cei ce i-au furat iPhone-ul au știut PIN-ul telefonului și au putut să activeze Recovery Key (Settings > [numele] > Password & Security și apoi Recovery Key). Odată activată chestia asta, nu se mai poate schimba parola Apple ID fără cheie, pe care evident că nu ai dacă activarea s-a făcut după ce telefonul a fost furat.

Mai rău, un set nou de chei se pot genera și dacă exista deja unele, ceea ce face oarecum inutilă opțiunea atâta vreme cât telefonul a fost furat și PIN-ul e cunoscut.

Din câte am văzut, știrea asta a făcut ceva valuri, într-o oarecare măsură justificate.

Ce se întâmplă?

Haideți să ne uităm puțin mai în detaliu asupra problemei: un utilizator, merge într-un bar și tot verificându-și telefonul nu își dă seama că sunt indivizi care stau cu ochii pe el din diverse unghiuri încercând să îi vadă PIN-ul. Când pasul acesta e rezolvat, se produce o ambuscadă, și hoții reușesc să îi fure telefonul.

Având PIN-ul, pot intra rapid pe el și să activeze/regenereze cheile pentru ca apoi să poată să schimbe parola Apple ID.

E vina Apple aici? Da și nu.

Într-un fel este pentru că permite generarea cheilor fără să ceară parola Apple ID, chestie care oricum ar fi inutilă pentru că de cele mai multe ori, utilizatorii au email-ul asociat Apple ID pe iPhone, iar cu PIN-ul cunoscut, cei ce l-au furat pot să îl acceseze și să genereze o parolă nouă și dacă e cazul, un set (sau un set nou) de chei de recuperare.

Oricum o dai, de cele mai multe ori furtul telefonului odată cu cunoașterea PIN-ului expune toate datele utilizatorului, indiferent de protecțiile suplimentare puse de Apple. Deci cu sau fără Recovery Keys, accesul e oricum pierdut în situația descrisă mai sus …

E însă un pas ce poate fi activat pentru a bloca acest lucru, cel puțin pentru moment și voi discuta despre el.

Revenind la povestea de pe WSJ, problema cea mare pare să fie faptul că Apple are posibilitatea de invalida acele chei de recuperare și să permită recuperarea parolei pentru Apple ID, însă nu este o procedură standard. În ciuda eforturilor domnului în cauză, care era chiar dispus să se ducă direct la birourile Apple din Cuppertino pentru a i se verifica identitatea, Apple nu pare să vrea să îl ajute, asta în opoziție cu un incident petrecut anul trecut, când un utilizator din New York a pățit același lucru și după numeroase apeluri pe linia de suport, a fost ajutat de un angajat care a invalidat opțiunea de recuperare și a putut să își schimbe parola.

Ce se poate face?

Pare că situația e cumva fără ieșire și chestia asta trebuie să fie cunoscută de toată lumea: atâta vreme cât email-ul asociat contului Apple ID este conectat și activ pe iPhone, dacă telefonul este furat și hoțul știe PIN-ul, nu prea mai ai ce face.

Ai putea să blochezi accesul la Mail cu un PIN diferit și Face ID și așa pornirea clientului de email nu se mai poate face ușor (intri în Settings, cauți aplicația Mail, clic pe ea și poi activezi Face ID) problema este că dezactivarea nu mai cere o verificare suplimentară, așa că cei ce au PIN-ul pot debloca rapid opțiunea.

Soluția cea mai bună este ca pentru Apple ID să se folosească un alt cont de email care să nu fie conectat pe iPhone și la care să se poată avea acces direct din browser (fără a-i salva datele de conectare în Chrome Password Wallet sau iCloud Chain).

Și bineînțeles să țineți telefonul aproape și să fiți foarte atenți când îl deschideți și cum puneți PIN-ul, adică să folosiți exclusiv deblocarea cu Face ID în zonele aglomerate.