Apple continua a integrare in iOS nuove funzionalità di sicurezza (ad esempio impedendo il collegamento di dispositivi USB alla porta Lightning quando l’iPhone è bloccato) e forze dell’ordine e altri investigatori studiano a loro volta nuovi modi per aggirare in qualche modo le protezioni e recuperare prove.
Lo scorso mese l’FBI ha obbligato una persona a sbloccare iPhone X con il volto. Tutto regolare, considerando che le forze dell’ordine americane agiscono autorizzate da un mandato, ma se ci fosse stata la richiesta di codice PIN le cose sarebbero andate diversamente.
La possibilità di usare il Face ID per accedere al dispositivo non funziona se si prova a sbloccare troppe volte l’iPhone con un volto non riconosciuto e l’iPhone chiede a quel punto il codice di sblocco. Le forze dell’ordine sono riuscite in vari casi a sbloccare i dispositivi usando il volto o l’impronta dell’utente. Dal sito Motherboard si apprende che in alcune slide le aziende specializzate in informatica forense stanno istruendo gli investigatori spiegando loro di non guardare lo schermo degli iPhone perché questo potrebbe far scattare la protezione integrata in iOS che obbliga l’utente a digitare il codice di sblocco.
Il Face ID, lo ricordiamo, fornisce un’autenticazione sicura resa possibile dal sistema fotografico TrueDepth che utilizza tecnologie avanzate per eseguire una mappatura accurata della geometria del volto dell’utente. Face ID conferma la presenza di attenzione rilevando la direzione dello sguardo, quindi utilizza reti neurali per verificare la corrispondenza e impedire i tentativi di spoofing. In questo modo, l’utente può sbloccare il telefono con un’occhiata. Apple spiega che Face ID si adatta automaticamente ai cambiamenti di aspetto proteggendo accuratamente la privacy e la sicurezza dei dati biometrici dell’utente.
Per poter utilizzare Touch ID o Face ID, l’utente deve configurare il dispositivo in maniera tale che sia richiesto un codice per sbloccarlo. Quando Touch ID o Face ID rilevano una corrispondenza corretta, il dispositivo si sblocca senza chiedere l’inserimento del codice. In questo modo l’utilizzo di un codice più lungo e complesso diventa più pratico perché gli utenti non dovranno inserirlo spesso. Touch ID e Face ID non sostituiscono il codice, ma forniscono un accesso semplice al dispositivo entro limiti e soglie temporali appositamente pensate. Si tratta di un aspetto importante, perché un codice complesso costituisce le fondamenta della protezione crittografica del dispositivo iOS.
Il codice può sempre essere utilizzato al posto di Touch ID o Face ID ed è comunque ancora richiesto nei seguenti casi:
- Il dispositivo è stato appena acceso o riavviato.
- Il dispositivo non è stato sbloccato per più di 48 ore.
- Quando non è stato usato per sbloccare il dispositivo nelle ultime 156 ore (sei giorni e mezzo) e Face ID non ha sbloccato il dispositivonelle ultime 4 ore.
- Il dispositivo ha ricevuto un comando di blocco remoto.
- Dopo cinque tentativi non riusciti di riconoscimento.
- Dopo uno spegnimento o dopo l’utilizzo di “SOS emergenze”.
Quando Touch ID o Face ID sono abilitati, il dispositivo si blocca immediatamente quando viene premuto il tasto laterale e ogni volta che entra in standby. Touch ID e Face ID richiedono una corrispondenza corretta (o facoltativamente il codice) a ogni riattivazione.
Apple afferma che la probabilità che un’altra persona possa guardare l’iPhone con di un utente e riuscire a sbloccarlo utilizzando Face ID è di circa 1 su 1.000.000 (contro la probabilità di 1 su 50.000 di Touch ID). Come forma di protezione ulteriore, sia Touch ID che Face ID consentono solo cinque tentativi di riconoscimento non riusciti prima di richiedere un codice per consentire l’accesso al dispositivo. La probabilità di un falso riconoscimento è diversa per i gemelli e per i fratelli o sorelle che si somigliano nonché per i bambini di età inferiore ai 13 anni, dal momento che le loro caratteristiche facciali distintive potrebbero non essersi ancora del tutto sviluppate. Se questo punto è fonte di preoccupazione, Apple consiglia di utilizzare sempre e comunque un codice per l’autenticazione.
