iPhone e smartphone Android: PIN bypassato in meno di due minuti

Con il tool XRY della svedese Micro Systemation, progettato per forze dell’ordine e militari, è possibile superare, in meno di due minuti, il blocco dovuto alla richiesta del PIN. Funziona sia su dispositivi Apple sia Android. La dimostrazione della forzatura ha sollevato alcune polemiche per l’utilizzo non lecito ed autorizzato che le autorità militari e le forze dell’ordine potrebbero fare dello strumento.

iPhone e smartphone Android: PIN sprotetto in meno di due minuti

Micro Systemation, società svedese che si occupa di sicurezza informatica, ha dato una dimostrazione di quanto sia semplice sconfiggere i meccanismi di protezione, basati sull’introduzione di un PIN, sia su iPhone sia su dispositivi Android. L’operazione di forzatura è realizzata con XRY, uno strumento progettato dall’azienda e utilizzato a tale scopo da forze dell’ordine, militari e persino dall’FBI.

Nella dimostrazione, il cui video è stato rimosso da YouTube, l’hack richiede meno di un paio di minuti. La forzatura vera e propria avviene in pochi secondi. Tuttavia, la ricerca del codice avviene con un cosiddetto «attacco di forza bruta» che, partendo dal codice '0000', quello normalmente più utilizzato, cerca di fornire una soluzione nel minor tempo possibile. Un codice come '9945' richiede in genere più tempo.

Il software permette non solo di forzare il codice di accesso, ma anche di estrarre i dati dal dispositivo stesso, con la possibilità di ricostruire persino la storia delle localizzazioni GPS e di copiare i registri delle chiamate, i contatti, i messaggi di testo, ecc.

Alla base di XRY c’è un jailbreak, che provvede all’accesso non autorizzato ai dispositivi mobili. Invece di utilizzare backdoor ufficiali, che a volte sono lasciate dai produttori, sfrutta falle di sicurezza trovate nel sistema operativo stesso. Sfruttando tali exploit, XRY è in grado di iniettare codice nel dispositivo, fornendo libero accesso al sistema.

XRY consente ai singoli utenti di utilizzarlo con successo, con una formazione minima, cosa che può rivelarsi molto utile per le forze dell’ordine e per agenzie con risorse monetarie e tecniche limitate, anche se la legittimità del jailbreaking sembra correre su una lama sottile.

«Se la polizia ha un mandato per accedere alle informazioni di un telefono, questo è l’unico modo per ottenere l’accesso», dichiara Fakhoury di Micro Systemation. «Ma se il software dovesse essere utilizzato sequestrando il telefono di una persona, magari in occasione di una protesta, ciò costituirebbe un problema di non poco conto».