C'è una convinzione estremamente diffusa, quella secondo la quale la sicurezza degli iPhone e del sistema operativo iOS sia infallibile: non ci sono brecce, non ci sono vulnerabilità da sfruttare. In realtà non è mai stato proprio così, ma si può dire che era estremamente difficile trovare exploit kit per sfruttare vulnerabilità del sistema iOS. Non a caso, nel dark web ma anche nel mercato grigio (a cavallo tra legalità e illegalità) un exploit per iOS costava cifre astronomiche fino a pochi mesi fa.
Ora però i tempi sono cambiati e la novità è certificata dalla più grande e specializzata società di compravendita di exploit, la Zerodium. Zeordium solo 5 anni fa offriva fino a 1.5 milione di dollari a chiunque offrisse loro codice per sfruttare qualche vulnerabilità di iOS per ottenere il classico "escalation of privilege", l'ottenimento dei diritti di amministrazione per assumere il controllo totale di un iPhone.
Qualche giorno fa però Zerodium ha aggiornato i propri listini, decretando quello che si può definire un vero e proprio crollo nel "mercato" degli exploit per i dispositivi Apple: Zerodium è disposta a pagare exploit per Android ben 2.5 milioni, mentre ha sospeso per almeno 3 mesi l'acquisto di exploit per iOS. Il motivo è semplice: in pochi anni l'azienda ha ricevuto una quantità tale di exploit kit per iOS da aver reso più "appetibili" quelli per Android. Insomma, troppi bug per iOS quindi gli exploit per sfruttarli valgono semplicemente meno.
Il fondatore di Zerodium, Chaouki Bekrar ha addirittura affermato che ormai il livello di sicurezza di iOS è precipitato, raggiungendo il proprio minimo storico: secondo Bekrar le uniche due cose che impediscono per adesso agli iPhone di poter essere definiti "colabrodi" sono l'assenza di exploit persistenti e il meccanismo di sicurezza PAC. I PAC (Pointer Authentication Code) sono usati nel sistema iOS e in tutte le app integrate per impedire la modifica dei puntatori di funzione e degli indirizzi.
Certo, vari esperti di sicurezza dicono che potrebbe essere una semplice operazione di marketing, una trovata pubblicitaria e alcuni mettono in dubbio la legittimità stessa di Zerodium, startup molto aggressiva che non comunica le vulnerabilità che individua e riceve ai rispettivi vendor. In realtà i segnali cominciano a provenire da più parti e l'aumento anche nel dark web della circolazione di questi codici di exploit ha effettivamente segnato dei livelli mai registrati negli anni passati. A buon mercato e sempre più facili da ottenere sono sopratutto quelli che sfruttano bug di Safari.
Inutile dire che occorrerà aspettare qualche mese per poter "toccare con mano" il problema, in base a quanti exploit kit saranno sfruttati "in the wild" cioè in attacchi veri contro gli iPhone, ma potremmo essere di fronte da un cambiamento piuttosto importante nel mondo della cyber security.
Nessun commento:
Posta un commento