Apple Touch ID e Secure Enclave: quanto sono sicure?

Il processore A7 che equipaggia il nuovo iPhone 5S di Apple include la cosiddetta Secure Enclave, una funzionalità che viene utilizzata per memorizzare, in forma cifrata, le informazioni raccolte durante le operazioni di scansione delle impronte digitali degli utenti (iPhone 5S e lettore impronte digitali, Apple vuol chiarire).
L’approccio che Apple ha adottato con la Secure Enclave è certamente nuovo nel suo genere, quella che in una giornata di lanci che non ha provocato l’atteso “effeto wow” (Esslinger: Apple non sta innovando più come un tempo) è probabilmente destinata a rimanere l’innovazione di più grande interesse.

L’iPhone 5S utilizza un processore ARMv8 “alias” A7 che è stato messo a punto dagli ingegneri di ARM insieme con Apple e che poggia per la prima volta su di un’architettura a 64 bit. L’abbandono dei 32 bit rappresenta un passaggio importante perché permette di avere prestazioni migliori anche se i miglioramenti non saranno evidenti, ancora, per un bel po´ di tempo ossia fintanto che le varie applicazioni non saranno opportunamente ricompilate.
Per creare l’area Secure Enclave, comunque, Apple aveva bisogno di un processore che fosse stato realizzato tenendo presente il concetto di crittografia a livello nativo nonché di hardware dedicato che permettesse di dialogare con un’area ben recintata costruita all’interno dell’architettura del processore stesso.

La tecnologia che è alla base della Secure Enclave fu oggetto di anni di studio. Solo tre anni fa, Apple – insieme con alcuni partner – arrivò a definire il funzionamento di TrustZone/SecurCore, la tecnologia dalla quale è stata poi fatta derivare, più recentemente, Secure Enclave.
I dettagli operativi di Secure Enclave non sono ovviamente noti, soprattutto per ciò che riguarda l’hardware impiegato da Apple. I tecnici della Mela escludono infatti che possano essere compiuti attacchi efficaci nei confronti della tecnologia appena presentata perché ciò richiederebbe degli approfonditi interventi sull’hardware anche soltanto per tentare di accedere al contentuo della Secure Enclave.

Apple ritiene che la Secure Enclave possa divenire il punto di riferimento per una più sicura gestione dei pagamenti in mobilità. E pur spiegando che al momento non sono fornite API per gli sviluppatori, i portavoce dell’azienda chiariscono che la distribuzione di un pacchetto destinato ai programmatori che vorranno interagire con la Secure Enclave sarà comunque rilasciato nei prossimi mesi.

Cosa ne pensano i ricercatori sul livello di sicurezza garantito dal nuovo iPhone 5S?

Secondo il conosciuto hacker Dino Dai Zovi, Apple avrebbe lavorato molto bene, ultimamente, sulla sicurezza dei suoi dispositivi. Zovi sostiene che i dati memorizzati su un iPhone 4S, protetto con una password complessa, sono come in cassaforte.

@adamcecc A powered-off iPhone 4S or later with a complex passcode is a freaking vault. Apple did very well w/ passcodes + on-chip crypto.

— Dino A. Dai Zovi (@dinodaizovi) September 11, 2013

Quanto alla Secure Enclave ed alla tecnologia Touch ID per il riconoscimento delle impronte digitali, Zovi suggerisce agli utenti di aspettare. Il ricercatore consiglia di non affidarsi ciecamente alle nuove tecnologie di Apple ma di prediligere, almeno per il momento, per la protezione dell’iPhone 5S, l’utilizzo di una buona parola chiave che sia quindi sufficientemente complessa. Il senso del commento di Zovi è chiaro: lasciate che i ricercatori possano analizzare con cura il funzionamento della tecnologia Touch ID portando a galla eventuali lacune.
Considerato comunque che metà dei possessori di un iPhone non protegge neppure il suo dispositivo utilizzando il codice a quattro cifre, spiega ancora Zovi, Touch ID può comunque rivelarsi una buona soluzione. “Se il Touch ID sprona un sempre maggior numero di persone a proteggere i loro dispositivi, è comunque una vittoria“.
Di recente lo stesso CEO di Yahoo, Marissa Mayer, aveva pubblicamente ammesso di non utilizzare alcuna forma di protezione e quindi alcuna password per difendere il contenuto del suo iPhone.