Le 6 minacce più gravi alla sicurezza di iOS

Le 6 minacce più gravi alla sicurezza di iOS
Come tappare le sei principali falle di sicurezza dei dispositivi iOS come iPhone e iPad

Restate vigili

00_top6iosthreats-100522327-orig

Image courtesy Shutterstock

Che dobbiate difendere documenti aziendali o semplicemente vogliate evitare che le vostre foto private diventino pubbliche (ricordate il #fappening?), l’azienda di ricerca Lacoon Mobile Security ha compilato una lista di potenziali rischi a cui i dispositivi iOS sono esposti.

Sorvegilanza di iOS e Mobile Remote Access Troyan (mRATs)

01_trojans-100522329-orig

Image courtesy Shutterstock

Questi attacchi effettuano il jailbreak di un dispositivo, cosa che comporta la rimozione dei meccanismi di sicurezza insiti in iOS, e installa software di sorveglianza e troyan che forniscono all’attaccante la possibilità di prendere il controllo su tutto ciò che è immagazzinato o trasmesso attraverso il dispositivo. Gli attaccanti possono effettuare in vari modi: entrando brevemente in possesso del dispositivo, compromettendo il PC normalmente utilizzato per la sincronizzazione via USB, ma (in base alla versione di iOS usata) anche con un exploit via web. Ovviamente, se l’utente ha già provveduto autonomamente a effettuare volontariamente un jailbreak, le cose per i cattivi sono ancora più facili.

Falsi certificati Sviluppatore o Enterprise per iOS

Image courtesy Shutterstock

Image courtesy Shutterstock

Questi attacchi utilizzano certificati di distribuzione per caricare un’applicazione contenente malware, evitando così di passare attraverso il sistema di validazione dell’App Store di Apple. Per mantenere l’integrità dell’Apple Store ma permettere comunque il caricamento di software di prova o a uso interno, Apple offre due tipi diversi di certificati di terze parti: per sviluppatori e per aziende. I certificati per sviluppatori permettono ai programmatori di testare le proprie app prima che diventino pubbliche nell’App Store, mentre i certificati Enterprise permettono alle aziende di creare una sorta di marketplace interno per le app autorizzate o sviluppate ad hoc. Dietro le scene, iOS si assicura che ciascuna app sia firmata con un certificato affidabile prima di consentirne l’installazione. I problemi sorgono quando un attaccante è in grado di ottenere un certificato valido per il proprio malware, per esempio sottraendolo da un pc o acquistandolo al mercato nero. Potrebbero così spingere la vittima a scaricare un’app apparentemente insospettabile, perché accompagnata da un certificato, e infettare il proprio dispositivo.

Profili iOS maliziosi

Image couretsy: Shutterstock

Image couretsy: Shutterstock

Questi attacchi sfruttano i permessi di un profilo per aggirare i meccanismi di sicurezza tipici e riuscire a fare in pratica un po’ di tutto. Un profilo è un file di configurazione opzionale particolarmente sensibile, che può ridefinire differenti parametri della funzionalità del sistema, come il gestore telefonico, supporto per la gestione di dispositivi mobili remota (MDM) e le impostazioni di rete. Un utente potrebbe essere spinto a scaricare un profilo forgiato ad hoc per dirottare tutto il traffico del dispositivo verso un server controllato dall’attaccante, che può quindi installare ulteriori software di controllo e anche decifrare le comunicazioni.

Attacchi Man in the Middle (MitM) con Wi-Fi

Image courtesy Shutterstock

Image courtesy Shutterstock

Un attacco MitM avviene quando il dispositivo si college a un hotspot Wi-Fi fasullo o compromesso. Visto che tutto il trafficoa questo punto passano da una rete controllata dall’attaccante, è possibile intercettare o alterare le comunicazioni. Gli attacchi MitM non sono certo una novità, ma la presenza di smartphone nella vita personale e professionale delle persone ha reso questi questo tipo di bersagli particolarmente attraenti. Sfortunatamente, i tipici segnali di avviso che avvertono gli utenti di PC della scarsa affidabilità di una rete Wi-Fi sono molto meno efficaci, o addirittura non presenti, sui dispositivi mobili.

Vulnerabilità di WebKit

Img couresy: Shutterstock

Img couresy: Shutterstock

Il browser safari è basato su Webkit. Come tutti i motori di rendering html e javascript, Webkit ha delle vulnerabilità che possono essere sfruttate per fare eseguire script e codice non autorizzato, infettando il dispositivo. Una celebre tecnica di jailbreak di iOS 4, chiamata JailbreakMe, utilizzava proprio una vulnerabilità di Safari per sbloccare il telefono semplicemente visitando una pagina web.

Condividi:
 

Sua maestà l’ERP

Sua maestà l’ERP

La definizione di ERP (Enterprise Resource Planning) è stata coniata da Gartner nel 1990 per estendere il concetto di MRP (Manufacturing Resource Planning) a tutte quelle funzionalità aggiuntive a cui qualsiasi media e grande azienda di produzione non poteva più rinunciare.
In origine il sistema comprendeva il supporto ai principali aspetti di management interni all’azienda, dalla pianificazione dei prodotti alla gestione di acquisti e vendite, dai costi alla produzione, dall’inventario ai flussi di cassa.

Il software centralizzava e accorpava funzioni in precedenza separate, ma per i primi dieci anni della sua storia è rimasto confinato entro il perimetro dell’azienda, concentrandosi sul back office, incidendo solo marginalmente sui fornitori e senza minimamente influenzare il rapporto con i clienti, di cui si occupava una suite dedicata, il CRM (Customer Relationship Management).

Le cose sono cambiate all’inizio del 2000, quando l’eccessiva rigidità degli ERP di prima generazione si è scontrata con la necessità di inglobare nei processi decisionali il rapporto con altre aziende e quello con i clienti e fornitori.
Inoltre l’avvento dell’e-commerce in quegli anni ha intensificato il rapporto diretto delle aziende di produzione con gli utenti finali, costringendo il gestionale a uscire dal suo guscio per evitare l’obsolescenza.

Investimenti in Italia

Nel nostro Paese, come nel resto del mondo, gli investimenti relativi agli ERP restano tra i più importanti nell’IT per gran parte delle imprese, malgrado la crisi e l’introduzione sul mercato di diverse innovazioni, capaci di distrarre parte del budget solitamente destinato al gestionale principale. Secondo il campione della ricerca Nextvalue, inclusa nel rapporto Assintel 2014, il 34% delle imprese top e medio-grandi italiane ha già inserito gli ERP nel portfolio dei progetti di innovazione del 2014-2015. Il 71% di queste aziende si affiderà a fornitori già presenti in azienda, il che testimonia la fiducia nelle soluzioni attuali. A far registrare maggiore interesse ci sono solo Big Data e processi di digitalizzazione.
Percentuali analoghe interessano anche le imprese medie e piccole, che quest’anno si occuperanno di implementare i loro ERP nel 38% dei casi affidandosi per il 90% a fornitori storici.

Nel nostro Paese, come nel resto del mondo, gli investimenti relativi agli ERP restano tra i più importanti nell’IT per gran parte delle imprese

Cosa sanno fare

Negli ultimi tre lustri i sistemi ERP hanno saputo evolversi egregiamente, e oggi coprono una moltitudine di aree funzionali, che possono essere o meno implementate attraverso una struttura modulare che li rende spesso adattabili anche a imprese non molto grandi, garantendo un’interfaccia, un database e logiche di gestione comuni tra i vari reparti. Inoltre alcuni moduli sono cross-industry, ovvero compatibili con le soluzioni di altre aziende con cui è necessario che l’ERP possa dialogare.

Tra i moduli disponibili ci sono quelli che si occupano della gestione finanziaria e della contabilità, della gestione del personale, del magazzino, di acquisti e vendite, della distribuzione e degli asset. All’ERP è affidata l’intera supply chain delle aziende di produzione, e anche il CRM è ormai quasi sempre un modulo integrato, piuttosto che un’applicazione indipendente. Inoltre l’ERP è il riferimento per il Project Management, consentendo la pianificazione, la valutazione delle risorse e dei costi, la gestione dei tempi e delle attività necessarie a dare vita a ogni nuovo progetto di business.

I vantaggi dell’integrazione

Adottare o sostituire un ERP rappresenta un grosso impegno per qualsiasi azienda, malgrado le soluzioni moderne si siano per molti versi ‘alleggerite’ rispetto al passato. Ciò nondimeno anche nell’era del Cloud computing e dei servizi IT on-demand, i vantaggi di una struttura omogenea e centralizzata restano fondamentali quantomeno per le grandi aziende.

La possibilità che uffici remoti e diversi usino i medesimi campi e unità di misura per i dati e sistemi di reporting altrettanto coerenti è fondamentale per una gestione centralizzata efficace, e diventa l’unico mezzo possibile per affrontare con successo operazioni di integrazione di acquisizioni, oltre all’apertura di filiali distanti.

Il secondo vantaggio dell’ERP è la semplificazione delle attività IT, i cui servizi possono essere replicati riducendo le applicazioni necessarie e concentrando sforzi e costi nella customizzazione di un solo sistema.

La possibilità che uffici remoti e diversi usino i medesimi campi e unità di misura per i dati e sistemi di reporting altrettanto coerenti è fondamentale per una gestione centralizzata efficace

La proliferazione di soluzioni diverse in azienda rappresenta anche un rischio per la sicurezza dei dati, che un buon ERP riesce a contenere più efficacemente, poiché le politiche di gestione sicura delle informazioni sono più facilmente applicabili all’intera organizzazione in un contesto omogeneo.

Il pericolo di un’implementazione sbagliata

I sistemi ERP hanno però anche i loro detrattori, che più volte in passato ne hanno decretato la fine, senza peraltro trovarne conferma. Alcune delle critiche sono effettivamente condivisibili e riguardano la rigidità strutturale che un sistema molto standardizzato impone alle aziende, rendendole meno pronte ai repentini cambiamenti del mercato di quanto non siano quelle dotate di infrastrutture tecnologiche meno monolitiche.

In effetti la scelta di un ERP e la sua implementazione coinvolge talmente tanti aspetti del business che una volta adottata una suite è traumatico sostituirla.
Esistono anche casi in cui un’implementazione sbagliata ha causato all’impresa più danni che vantaggi, poiché il pericolo di impantanarsi in tempi lunghissimi e interminabili contenziosi tra i diversi reparti è dietro l’angolo. Per questo ogni implementazione di un ERP richiede il coinvolgimento di tutto il management per fronteggiare quello che viene definito Business Process Reengineering (BPR).

Anche la suite più flessibile ha infatti una propria logica di funzionamento e impone grandi cambiamenti ai processi di business, che non possono essere superati con un semplice percorso di customizzazione. Per questo i CIO non dovrebbero mai commettere l’errore di considerare solo gli aspetti di sfida tecnologica nell’implementazione di un nuovo sistema, ma anche, e soprattutto, la preparazione dell’azienda ad affrontare un percorso di BPR, che implica di trovare un punto d’incontro tra le modalità di lavoro tradizionali dell’azienda e le logiche nuove introdotte dal software, spesso frutto dell’analisi delle migliori pratiche di business.

ERP VS Cloud computing

In ragione di questi pericoli e complessità, le nuove aziende non sono più così disponibili ad affrontare l’adozione di un nuovo ERP onnicomprensivo, specie adesso che esistono soluzioni SaaS poco impegnative e decisamente user friendly, in grado di svolgere molte delle funzioni di un complesso sistema on premises a una frazione del costo di un gestionale tradizionale e con un modello a consumo meno vincolante.

Per contro la gestione dei dati aziendali più importanti in un contesto Cloud based presenta altri rischi e criticità. Quello che ne viene fuori è uno scenario ibrido, in cui una soluzione tradizionale basata su ERP on premises convive con la gestione on demand di molti dei suoi servizi aggiuntivi. Sono gli stessi fornitori del gestionale a poter spesso offrire soluzioni di questo tipo, venendo incontro alle esigenze di flessibilità e decentramento delle aziende moderne, e garantendo agli ERP, così trasformati e alleggeriti, una vita ancora lunghissima.

Condividi: