I dispositivi connessi della tua azienda potrebbero esporre più informazioni del previsto? Una recente ricerca ha mostrato come, sfruttando la rete Apple Find My, sia possibile registrare un dispositivo Linux e accedere ai dati sulla posizione condivisi da un account Apple. Vediamo cosa è successo.
Un Dispositivo Affidabile Non È Sempre Ciò Che Sembra
Apple ha progettato Find My per funzionare a stretto contatto con i propri dispositivi e con accessori di terze parti approvati. Questo modello basato sulla fiducia permette agli utenti di localizzare più facilmente i propri dispositivi o di condividere la loro posizione con altre persone, ma può anche creare alcune criticità dal punto di vista della sicurezza.
Un ricercatore di sicurezza di 22 anni, conosciuto con lo pseudonimo di “Zerotistic”, ha recentemente documentato un metodo per far apparire un dispositivo non Apple sufficientemente affidabile da poter ricevere queste informazioni condivise.
Come Funzionava Questo Metodo?
Zerotistic ha impiegato meno di una settimana per effettuare il reverse engineering dei protocolli Apple e capire come registrare un dispositivo basato su Linux con un account Apple. Il processo prevedeva l’ottenimento di un certificato Apple Identity Services e il rispetto dei requisiti di registrazione di Find My.
Una volta registrato, il dispositivo poteva comunicare con l’infrastruttura di notifiche push di Apple e ricevere informazioni sulla posizione. Il ricercatore ha poi sviluppato del codice per decifrare e interpretare i dati di localizzazione, che includevano coordinate, timestamp e informazioni sulla precisione.
Non Confonderlo Con Un Sistema Di Tracciamento Universale
È importante capire che la dimostrazione presentava limiti ben precisi. Non permetteva di localizzare qualsiasi utente Apple e, per ottenere i dati, l’account doveva già avere una relazione di condivisione della posizione attiva. La tecnica richiedeva inoltre un notevole lavoro di reverse engineering e una conoscenza approfondita dei protocolli interni di Apple.
Si tratta di una distinzione importante quando si valuta il rischio. Il tracciamento Bluetooth e le funzionalità di condivisione della posizione di Find My hanno scopi differenti e questa dimostrazione non ha trasformato Find My in un sistema di tracciamento aperto a chiunque.
Perché È Comunque Importante Per La Tua Azienda
Il tuo team potrebbe non utilizzare Find My per gestire i dispositivi aziendali, ma il problema alla base di questa scoperta riguarda molti servizi connessi. La tua azienda si affida infatti a sistemi che stabiliscono quali dispositivi e account possono avere accesso a determinate informazioni.
Per questo motivo, la registrazione non autorizzata di dispositivi è un problema di sicurezza da tenere sotto controllo. Un dispositivo considerato affidabile può ricevere informazioni a cui uno non autorizzato non può accedere. Se qualcuno riesce a far apparire legittimo un dispositivo sconosciuto, questa barriera di sicurezza diventa meno affidabile.
Il rischio aumenta ulteriormente se la tua azienda gestisce dati sulla posizione. Smartphone aziendali, laptop, tracker e altri dispositivi connessi possono infatti rivelare dove si trovano persone o risorse aziendali.
Controlla A Quali Dati Possono Accedere I Tuoi Dispositivi
Questa scoperta non significa che tu debba smettere di utilizzare i servizi di localizzazione. Puoi però adottare alcune precauzioni e controllare più attentamente i dispositivi e gli account connessi:
- Controlla I Dispositivi Collegati Agli Account Aziendali: verifica regolarmente quali dispositivi risultano associati.
- Rimuovi I Dispositivi Vecchi O Inutilizzati: elimina quelli che non vengono più utilizzati.
- Limita La Condivisione Della Posizione Alle Reali Esigenze Aziendali: consenti l’accesso solo quando è effettivamente necessario.
- Monitora Le Registrazioni Di Nuovi Dispositivi Quando Possibile: presta attenzione all’aggiunta di dispositivi sconosciuti.
- Controlla Quali Servizi Di Terze Parti Possono Accedere Alla Posizione: verifica periodicamente le autorizzazioni concesse.
Queste strategie non impediscono nello specifico la tecnica mostrata dal ricercatore, ma possono rafforzare l’approccio generale della tua azienda al controllo degli accessi.
Una Lezione Sulla Fiducia Digitale
Man mano che la tua azienda aggiunge smartphone, computer, tracker e servizi cloud, ogni nuova connessione crea un ulteriore potenziale punto di accesso. La dimostrazione relativa alla rete Apple Find My mostra perché non dovresti considerare automaticamente affidabile un dispositivo soltanto perché un servizio lo riconosce come tale.
Il messaggio per la tua azienda è semplice: tieni sotto controllo quali dispositivi hanno accesso alle informazioni e verifica regolarmente le relative autorizzazioni.
