Una pequeña caja es capaz de saltarse tu pin de bloqueo en tu dispositivo IOS inclusive si tienes activada la opción de borrar tras 10 intentos fallidos.
Desde el Blog de MDSec nos llega una noticia interesante. Una pequeña caja llamada IP-Box es capaz de realizar un ataque de fuerza bruta al Pin Code de la pantalla de bloqueo del iPhone/iPad hasta conseguir tu contraseña de acceso. Esto, independientemente de si tienes o no configurado el TouchID, ya que, igualmente el dispositivo puede ser desbloqueado por el pin únicamente. Hasta aquí todo bien. Todos sabemos que el PIN de 4 dígitos no es precisamente seguro, pues existen solo 10.000 combinaciones posibles, cosa que, para una maquina es nada.
Lo interesante es que Apple supuestamente nos defiende de esto con una opción que borra el dispositivo si es que introducimos un pin incorrecto 10 veces seguidas. Al parecer, el IP-Box, se salta esta defensa. ¿Cómo lo logra? Usando capacidades y poderes que solo el Hardware puede otorgar.
El IP-Box se conecta al USB, lo que le permite emular la entrada del PIN Code, pero, ademas de esto, se conecta a la batería del dispositivo. Esto es para cortar la corriente de manera abrupta cuando detecta un código erróneo. Usando un sensor de luz, puede detectar cuando el iPhone/iPad ha sido desbloqueado. Así, aunque te parezca increíble, al detectar un código erróneo, logra desconectar al dispositivo antes de que los datos en la memoria flash se sincronicen, por lo cual no cuenta el evento del código erróneo.
Obviamente, esto incrementa el tiempo que tarda el ataque en «Adivinar» la contraseña, pero sigue siendo relativamente loable esperar al rededor de 111 horas para averiguar un código. Sobre todo si lo que buscas, es información delicada.
Los investigadores han probado con un iPhone 5S con IOS 8.1 y se demostró que es vulnerable a este tipo de ataque. Aquí nos dejan un video en el que demuestran el funcionamiento del aparato:
Supuestamente este error fue parchado en la versión 8.2 de IOS, pero los investigadores esperan comprobar si esto en realidad está resuelto, por lo que recomiendan evitar el uso del código simple y proteger tu dispositivo con una clave compleja.
Fuente: MDSEC
