Ci sono nuovi iPhone speciali, ma non tutti possono averli

23 Luglio 2020 74

Apple ha iniziato a distribuire gli iPhone speciali per ricercatori di sicurezza di cui si parla da circa un anno: si tratta grosso modo di iPhone con "jailbreak di fabbrica", che permettono ai cacciatori di bug di installare app da fonti esterne all'App Store. Questo passaggio è spesso critico per gli hacker, che si sviluppano da sé tool di monitoraggio, diagnostica e analisi fondamentali per identificare o verificare vulnerabilità.

Finora i ricercatori di bug nei Melafonini hanno dovuto ricorrere ai tradizionali sistemi di jailbreak, che però tendono a non essere disponibili per l'ultima versione del sistema operativo. Il ricercatore potrebbe quindi perdere tempo a investigare una vulnerabilità già chiusa con aggiornamenti successivi. L'alternativa era riuscire a mettere le mani sui prototipi ad uso interno degli sviluppatori Apple, che raggiungono cifre elevatissime nelle aste online proprio per gli enormi privilegi di accesso di cui godono.

Gli iPhone presentati ieri sono un po' una via di mezzo tra quelli normali e quelli interni. Sono disponibili in quantità limitate, e naturalmente non si può semplicemente entrare in un negozio e comprarli - bisogna fare domanda direttamente ad Apple, bisogna fare parte del programma sviluppatori Apple e avere già una reputazione nel settore rivolta in particolare a iOS. Apple dice che gli iPhone distribuiti sono di ultima generazione, che non possono essere usati per fini personali e che verranno sostituiti in automatico ogni 12 mesi.

Ci sono tuttavia delle restrizioni legali che hanno fatto storcere il naso a diversi ricercatori. Alcuni, tra cui gli hacker del team Project Zero di Google, hanno addirittura dichiarato che rinunceranno al dispositivo. In particolare, non piace la clausola secondo cui non è permesso svelare pubblicamente i dettagli di una vulnerabilità finché Apple non ha rilasciato una patch correttiva.

Molti ricercatori e associazioni, tra cui appunto Project Zero, impongono un ultimatum di tre mesi per mantenere alta la pressione sui produttori e gli sviluppatori. Il concetto è semplice: si divulgano i dettagli all'azienda responsabile della vulnerabilità e 90 giorni dopo li si rendono pubblicamente accessibili. In questo modo si evita che gli sviluppatori, consci del fatto che il segreto rimane tale, trascurino di correggere il problema con tempestività.

Quindi. Da una parte ha senso l'approccio di Apple, perché se una vulnerabilità non viene divulgata rimangono basse le probabilità che un truffatore le scopra e ci sviluppi un malware; dall'altra ha senso costringere le aziende a chiudere le falle il prima possibile, perché "improbabile" non è sinonimo di "impossibile". Nella discussione online che è derivata tra gli esperti che si schierano con l'una o l'altra fazione, si è argomentato che tanto Apple non ci mette mai più di 90 giorni per chiudere una falla. Ma almeno un precedente c'è: risale al 2016, e riguarda un bug scovato proprio da Project Zero in macOS.

Lo smartphone più completo? Samsung Galaxy S23 Ultra, in offerta oggi da smartapp a 883 euro oppure da eBay a 959 euro.

74

Commenti

Regolamento Commentando dichiaro di aver letto il regolamento e di essere a conoscenza delle informazioni e norme che regolano le discussioni sul sito. Clicca per info.
Caricamento in corso. Per commentare attendere...
Freddy

Ciao Maicol.Mar

Sono SENTADO, il Community Manager di HDnetwork.

Ho appena sistemato il tuo account ed autorizzata, manualmente, la tua iscrizione al Forum.

Fammi sapere se è tutto ok; puoi trovarmi li (chiaramente) o su Telegram @SENTADO83

Buona serata.

MirKo.

Maicol.Mar

Ciao Freddy, scusa ma non saprei come altro contattare qualcuno che spero possa aiutarmi, scrivo su questo vecchio articolo e poi puoi tranquillamente cancellare questo post.
Sono 3 giorni che provo ad iscrivermi al Forum di HDBlog ma non riesco a ricevere email per conferma. Ho provato con 2 differenti indirizze email: @gmail.com e @tiscali.it, ma nulla di nulla (controllato anche caselle spam of course).
Ho inviato un paio di messaggi email all'indirizzo indicato sul forum ma senza ricevere risposte. Se hai possibilità di fare qualcosa o un suggerimento ringrazio.

P.s. il nome utente usato è maicol.mar

Andrea

Se costa 400 euro probabilmente non avrà l'audio stereo
Comunque ho notato la differenza dal OLED del mare 20 pro al OLED del k20 pro

Freddy

;)

R173

Ormai molti anche a 400€ hanno un buon display da top di gamma e anche per l'audio mi sembra la differenza sia davvero poca o impercettibile. Rimane da vedere il supporto software e la certificazione ip. Quelli si che valgono

MK50

Ciao, volevo segnalare che il mio account è stato clonato (sicuramente dal “famoso Santoss”), è possibile rimuovere questo account clone?
Ecco il link ad un suo commento (sotto ci sono un paio di mie risposte): https://disqus.com/by/b_g_ph4rm4/?l=it
Ed un link al profilo incriminato: https://www.hdblog.it/apple/articoli/n524304/apple-facebook-amazon-google-congresso-usa/#comment-5004288508
Grazie in anticipo. :)

Andrea

Fotocamera, display, audio, meno bug, certificazione ip (non sempre)

R173

Beh in fondo la differenza non è molto grande. Cosa cambia di più? Fotocamera (che a me manco interessa molto) e materiali?

@fFreddy

Andrea

Su HD blog è pieno di gente che pensa che uno smartphone da 400 (con processore top) euro sia come me uno da 1200

Daniele

Nuovo account? Ma cosa scrivi, sfigato. Devi averne di tempo libero per scrivere con tanta passione... se fossi in te valuterei la canna del gas

Dark!tetto

Dipende dal brand però

Mr. G - No OIS no party

Magari. Ormai sono chiusi uguale

Frederik

Dai su si scherza, se ve la prendete così avete solo una coda di paglia lunga così e mi date ragione. E poi chi ti dice che non possa permettermeli, c'è una bella differenza tra scegliere di buttare 1200€ l'anno per fare il gioco del modello nuovo o no.

Dark!tetto

Quello si chiama Android, figurati se Apple con una semplice iscrizione ti sblocca il suo gioiello.

Colpa mia. Ho scritto di biNbi speciali e lui si è sentito chiamare in causa quindi ha voluto dare il suo contributo molto speciale
Poi davvero, uno che si riduce a creare un nuovo account perchè ha paura che gli rovinino il main account pieno di laicsss speciali datigli dai suoi amici molto speciali..... Beh si commenta da solo.

E tu sei il più speciale di tutti. Si che lo sei.

dario

Il discorso è semplice: 7 giorni li impieghi sempre e comunque a parità di impegno e lavoro per chiudere una falla.
Se sai che la falla non è nota e non lo sarà fino a quando non introdurrai la patch, nessuno ti obbliga a impiegarci solo il tempo strettamente necessario, te la puoi prendere comoda quanto vuoi.

salvatore esposito

veramente hai fatto un account solo per offendere? sei account fake di chi?

Pistacchio
Daniele

biNbi miNkia come te, sfigato

xpy

Anche se in contemporanea il discorso resta lo stesso, se invece vengono tenuti segreti magari Apple pensa "non lo conosce nessuno quindi posso aspettare e risolvere tra 6/12 mesi che tanto avevo già previsto di aggiornare quella sezione di codice" e in quel tempo è possibile che un hacker scopra la stessa falla e la sfrutti

@bearbops

Si ma qui Apple saprebbe in contemporanea con l’hacker della falla.

xpy

Apple si, ma ad esempio un hacker è molto più difficile che perda tempo a sviluppare un exploit se sa che la casa madre è già a conoscenza della falla

MK50

Io capisco che uno ha la 104 se è incapace di accettare che ognuno coi propri soldi fa quello che vuole, ed ha il diritto di non essere giudicato per questo.

Andrea

Se una persona può permetterselo non vedo che male c'è, chi ha la 104 sono quelli come te che sono invidiosi degli altri

Mi vedo già le inserzioni su eBay

IPhone speciali x biNbi molto speciali

Frederik

Gli iphone sono tutti speciali, in particolar modo chi spende più di 800€ per un telefono capisci che ha la 104

ErCipolla

Non sto dicendo che sia una questione di vita o di morte, solo che nell'industria non è considerata una buona pratica, tutto qui. Poi ovviamente va valutato caso per caso, diciamo che un bavaglio preventivo rappresenta comunque un potenziale rischio.

il botto di cosa? non serve assolutamente a niente a livello consumer, se non a rendere piu vulnerabile il telefono. serve appunto a quei gruppi che cercano attivamente vulnerabilità nel software per le riconpense

AC MILAN

Che viene resa pubblica diventa meno efficace è relativo, potrei benissimo risponderti che si e no la conoscono in 10 compreso lo sviluppatore, se la divulgano come dici tu probabilmente ne approfitteranno sopratutto i più esperti....quindi sono punti di vista

ErCipolla

Si, è quello che fa Project Zero se non sbaglio, se entro 90 gg dalla segnalazione allo sviluppatore non sistemano viene pubblicata.

edd

Ultimatum di 90 giorni. In 90 giorni devi risolverla perché devi, non perché vuoi.

fabbro

per favore non facciamo fregare dalle pubblicità, ti ho risposto anche in altro commento, come tutti, anche apple deve venderti l'illusione della sicurezza (che in valore assoluto non esiste) e della privacy, rendere certe cose pubbliche romperebbe la favola

fabbro

pensi male, ci sono exploit che sono stati validi per diverse versioni di ios, ci sono backdoor ancora aperte perchè fanno comodo.Ricordo che ci sono aziende che sbloccano iphone quando apple dice che è impossibile.
In questo campo non sempre le cose arrivano al grande pubblico o all'utenza media, molte cose rimangono confinate tra gli esperti.Il problema non è se il leak diventa pubblico o meno, il problema nasce quando non si ha la volontaà di fixare alcune cose e se lo sanno in due se ne fregano, se arriva al grande pubblico è un problema, poi come fanno a farti le pubblicità sull'importanza della privacy.

@bearbops

Si ma non credo sia il caso di Apple che fa da sempre di sicurezza e privacy il valore aggiuntivo dei suoi prodotti. Sarebbe un suicidio commerciale.

QuelMattacchioneDiJohnMalkovic

Hahahaha

ErCipolla

Eh, si spera, ma in passato diverse aziende invece sono state zitte fino al rilascio della patch, o addirittura hanno ignorato il bug finché qualcuno non l'ha reso pubblico "sput*anandoli". Non conterei troppo sull'integrità di una multinazionale, spesso per loro è più importante non fare brutta figura ammettendo un problema che salvaguardare la sicurezza degli utenti.

@bearbops

Ma Apple impone agli sviluppatori di non divulgare informazioni, questo non esclude che voglia pubblicare a suo modo, come fatto in precedenza, un comunicato sul suo sito ufficiale. Penso che, una volta appresa l'entità del bug, sappiano come è meglio muoversi.

@bearbops

Se Apple ha scelto di non divulgare l'informazione sarà perchè si è posta l'obiettivo di colmare i bug velocemente. Non penso che abbia bisogno di noi per immaginare che probabilmente dei leak possono uscire.

fabbro

questo perche tu dai per scontato che i bug vengano fixati ma non è sempre cosi, soprattutto nel breve periodo.La pubblicazione serve, come scritto nell'articolo, a mettere pressione per la soluzione

ErCipolla

Il punto è che se è pubblica si possono adottare contromisure secondarie per tamponare prima dell'arrivo del fix ufficiale. Vedi ad esempio ciò che è successo con Meltdown/Spectre, dove i browser hanno introdotto patch specifiche in attesa che gli SO stessi introducessero fix più a basso livello.
Se è privata... chi ti dice quanti la stanno già usando? Chi ti dice che comportamenti evitare in attesa dell'aggiornamento? Chi ti dice come verificare se il tuo sistema è già stato bucato, e quindi di adottare eventuali contromisure?

@bearbops

Questo ragionamento non lo comprendo appieno, Apple una volta informata della falla da sistemare ci metterà lo stesso tempo per colmarla, sia se l'informazione sia pubblica o meno. Metti che ci vogliano 7 giorni, se è pubblica tutto il mondo potrebbe, ipoteticamente, sfruttare questo bug per scopi illeciiti. Se è privata, ammesso che chi ha scoperto la falla venda l'informazione sottobanco, potrebbe sfruttarla solo chi ha sganciato il denaro, sempre per soli 7 giorni. Sicuramente Apple premierà chi riuscirà a identificare delle falle di sicurezza, in questo modo dichiarandola Apple saprà da chi è partito il leak in qualunque caso.

ErCipolla

Intendo nello specifico che la clausola che dice che non si può svelare l'exploit prima del rilascio di una patch è potenzialmente pericolosa.

Esempio pratico: supponi che si trovi una vulnerabilità che permette di infettare il sistema se apri una mail formattata in un certo modo. Apple decide che il fix verrà incluso nella prossima minor di iOS in uscita tra due settimane. In quelle due settimane di tempo, se la vulnerabilità viene resa subito pubblica diventa meno efficace (e perde di valore monetario), perché fa in tempo a girare la voce tra gli utenti di non aprire mail con un certo titolo.
Se invece rimane privata, non solo gli utenti sono più a rischio (proprio perché non sono a conoscenza del rischio e quindi non possono reoglare i loro comportamenti di conseguenza), ma durante quelle due settimane venderla a personaggi senza scrupoli è più redditizio, dato che una vulnerabilità conosciuta vale molto meno di una "zero-day" fresca.

fabbro

infatti io qua vengo solo quando mi annoio, qui trovi tanti casi umani con cui discutere e aggiorno la mia idea sull'utenza media italiana.Per informarmi ho altre fonti sicuramente.
Mi diverte anche vedere come certi esperti di tecnologia riescano solo a copiare articoli.
Questo luogo era partito bene, poi...

Andredory

Macché, visita altri siti per leggere qualcosa di decente anziché volerti strappare gli occhi di dosso come qua.

fabbro

vero, ma io ho sempre l'illusione che chi gestisca questi spazi abbia il fine di informare e condividere esperienze....che illuso che sono

Andredory

Lo sto già facendo da mesi, ma anche se lo segnali raramente correggono.

Mirko

Ho un'idea geniale ... potremo leggere noi l'articolo e fargli notare gli errori con un commento, così non devono pagare e sfruttare uno stagista in nero.

Recensione Mac Mini M2 Pro: piccolo e potente, ma occhio ai prezzi | VIDEO

Macbook Pro M1 Max 15 mesi dopo: durata e consigli alla luce dei nuovi M2 | Video

100 Giorni con iPhone 14 Pro: cos'è cambiato? | Recensione

Recensione iPhone 14 Plus, autonomia da vendere