Lebih Banyak Tindakan Enkripsi iOS ‘Tidak Digunakan’, Mari Bicara Tentang Kriptografer

Menurut kriptografer di Universitas Johns Hopkins (melalui Wired), iOS tidak menggunakan langkah-langkah enkripsi bawaan sebanyak mungkin, memungkinkan lubang keamanan yang tidak perlu dibuat.

Gunakan materi yang tersedia untuk umum dari Apple dan Google, lembaga penegak hukum yang melaporkan melewati fitur analitik dan keamanan selulernya sendiri, kriptografer menilai kekuatan enkripsi iOS dan Android. Studi ini menemukan bahwa sementara infrastruktur enkripsi di iOS “terdengar sangat bagus”, sebagian besar tidak digunakan. “Tapi saya tentu terkejut melihat berapa persen dari itu yang tidak digunakan.”

Saat iPhone melakukan booting, semua data disimpan dalam status “Dilindungi Sepenuhnya” dan pengguna harus membuka kunci perangkat sebelum apa pun dapat didekripsi. Meskipun ini sangat aman, para peneliti menekankan bahwa ketika perangkat dibuka untuk pertama kalinya setelah reboot, sejumlah besar data masuk ke status. Apple panggil “Dilindungi hingga otentikasi pengguna pertama”.

Karena perangkat jarang di-boot ulang, sebagian besar data berada dalam status “Dilindungi hingga otentikasi pengguna pertama”, bukan “Dilindungi sepenuhnya” sebagian besar waktu. Keuntungan dari keadaan yang kurang aman ini adalah bahwa kunci dekripsi disimpan dalam memori akses cepat, di mana mereka dapat diakses dengan cepat oleh aplikasi.

Secara teori, penyerang dapat menemukan dan mengeksploitasi jenis lubang keamanan tertentu di iOS untuk mendapatkan kunci enkripsi dalam memori akses cepat, yang memungkinkan mereka untuk mendekripsi sejumlah besar data dari perangkat. Ini diyakini sebagai cara kerja banyak alat akses ponsel cerdas, seperti alat akses forensik Grayshift.

Memang benar bahwa penyerang memerlukan kerentanan sistem operasi tertentu untuk mengakses kunci dan keduanya Apple dan Google menambal banyak kerentanan ini saat diketahui, yang sebenarnya bisa dihindari dengan menyembunyikan kunci enkripsi lebih dalam.

Kriptografer Johns Hopkins Matthew Green berkata: “Ini benar-benar mengejutkan saya karena saya datang ke proyek ini dengan berpikir bahwa ponsel ini benar-benar melindungi data pengguna dengan baik. “Sekarang saya telah keluar dari proyek dengan berpikir bahwa hampir tidak ada yang terlindungi sebaik mungkin. Jadi mengapa kita membutuhkan pintu belakang untuk penegakan hukum ketika perlindungan yang diberikan ponsel ini sangat buruk?”

Para peneliti juga membagikan temuan mereka dan beberapa rekomendasi teknis dengan Apple langsung. Juru bicara untuk Apple mengeluarkan pernyataan publik sebagai tanggapan: “Apple Perangkat dirancang dengan keamanan berlapis untuk melindungi dari berbagai potensi ancaman, dan kami terus berupaya untuk menambahkan perlindungan baru ke data pengguna kami. Karena pelanggan terus meningkatkan jumlah informasi sensitif yang mereka simpan di perangkat mereka, kami akan terus mengembangkan perlindungan tambahan baik di perangkat keras maupun perangkat lunak untuk melindungi data mereka. “

Juru bicara itu juga mengatakan kepada Wired bahwa pekerjaan keamanan Apple terutama difokuskan untuk melindungi pengguna dari peretas, pencuri, dan penjahat yang ingin mencuri informasi pribadi. Mereka juga mencatat bahwa pola serangan yang disoroti oleh para peneliti mahal untuk dikembangkan, memerlukan akses fisik ke perangkat target, dan hanya berfungsi sampai Apple merilis patch. Apple juga menekankan bahwa tujuannya dengan iOS adalah untuk mencapai keseimbangan antara keamanan dan kenyamanan.

Sumber: Macromors