galaxy s8 ios
Tecnologia

Apple iBoot è online: di cosa si tratta

Un hacker ha pubblicato il codice sorgente di una parte fondamentale di iOS, mettendo a rischio milioni di utenti

Uno dei codici sorgenti più importanti per Apple, una parte fondamentale del funzionamento di iPhone e iPad, è stato pubblicato online, alla mercé di tutti.

Qualche ora fa un utente anonimo ha caricato su GitHub, sito nato per condividere progetti e software tra sviluppatori, il pacchetto iBot, che racchiude la componente di iOS che avvia il sistema operativo di smartphone e tablet della compagnia di Cupertino.

Al momento l’azienda non ha confermato né smentito la vicenda, quindi potrebbe trattarsi tranquillamente di un falso ma, in caso contrario, il furto del codice avrebbe il potenziale per creare un bel po’ di danni a milioni di utenti che ogni giorno smanettano con un cellulare marchiato con la Mela, tanto che l'esperto di sicurezza Jonathan Levin ha definito la diffusione di iBoot "il più grande leak della storia”, tecnologica ovviamente.

Di cosa si tratta

Cerchiamo di capire perché consegnare al mondo del web iBoot rappresenta un vero problema per la sicurezza di iPhone e iPad. Il pacchetto in questione è la parte che completa il cosiddetto bootloader di iOS, ovvero quella porzione di righe di codice che viene tirata in ballo appena si accende un dispositivo. Il bootloader esiste su ogni oggetto hi-tech in circolazione: cellulari e tablet Android (fastboot), computer Windows (bios), macOS, Linux, smartwatch, e persino Smart TV e sistemi di bordo delle automobili odierne, quelle con un sistema di gestione avanzato.

Cosa fa il bootloader

Compito principale dell’attività è avviare il sistema operativo. Se qualcosa nel bootloader non va, il gingillo che abbiamo dinanzi non parte. Nella fattispecie di iOS, iBoot controlla che una serie di procedure di iOS siano valide e genuine, cioè non modificate per errori intrinsechi o una manomissione ad opera di terzi. Una volta verificato l’ambiente, iBoot carica il software principale e poi, man mano, tutti gli altri.

Perché è critico

Vista la sua centralità nel perfetto funzionamento del terminale, iBoot è una componente che Apple si è sempre tenuta stretta, senza mai accennarne nulla a chi non lavora nei team dedicati della multinazionale. Non è un caso se nel programma periodico che la Mela porta avanti per premiare chi scova bug nei suoi sistemi, le eventuali falle di iBoot sono quelle che pagano di più, con premi che possono arrivare anche a 200 mila dollari per una vulnerabilità certificata e riconosciuta.

Enorme regalo per gli hacker

Avere tra le mani il codice di iBoot vuol dire poter studiare esattamente come si avviano iPhone e iPad, quali processi entrano in gioco e, ed è questo il lato preoccupante, dove risiedono le pecche, i buchi da sfruttare, le possibili porte di accesso da aprire con virus e malware costruiti ad hoc per agire indisturbati sui telefoni delle persone.

Certo è che per infiltrarsi in smartphone e tablet di Cupertino, passando per probabili passaggi scoperti con iBoot, bisognerà comunque iniettare le minacce in qualche modo al destinatario (via email, file di installazione non scaricati da App Store, documenti maligni) ma il solo fatto che ciò possa avvenire rende la situazione molto delicata, e l’ecosistema Apple meno sicuro.

Situazione sotto controllo

Eppure gli ingegneri americani potrebbero avere già la situazione sotto controllo. Il motivo? Il codice sorgente di iBoot si basa su iOS 9.3, una versione del software che risale oramai a diversi anni fa e che conterrebbe errori e falle teoricamente risolte su iOS 11 e declinazioni successive.

Resta però intatta la struttura di base, la scintilla che da il via al melafonino, un segreto che tornerebbe utile per sviluppare progetti interessanti, non solo ai fini di hacking e furto digitale, ma anche di puro lucro geek, ad esempio montare l’interfaccia di iPhone X su un Galaxy S8, in modalità dual boot.

La risposta di Apple

In giornata è arrivata la risposta di Apple al leak, che a questo punto viene confermato. Eccola:

Sembra che un vecchio codice sorgente di tre anni fa sia trapelato, ma, da progetto, la sicurezza dei nostri prodotti non dipende dalla segretezza del codice sorgente. Ci sono molti livelli di protezione hardware e software incorporati nei nostri prodotti e noi incoraggiamo sempre i clienti ad aggiornare alle ultime versioni del software per beneficiare delle ultime protezioni.

Per saperne di più:

I più letti

avatar-icon

Antonino Caffo

Nato un anno prima dell’urlo di Tardelli al Mondiale, dopo una vita passata tra Benevento e Roma torno a Milano nel cui hinterland avevo emesso il primo vagito. Scrivo sul web e per il web da una quindicina di anni, prima per passione poi per lavoro. Giornalista, mi sono formato su temi legati al mondo della tecnologia, social network e hacking. Mi trovate sempre online, se non rispondo starò dormendo, se rispondo e sto dormendo non sono io. "A volte credo che la mia vita sia un continuo susseguirsi di Enigmi" (Guybrush Threepwood, temibile pirata).

Read More