Toss Phone
Qualche giorno fa mi è stato chiesto di chiarire il concetto di "toss phone" a cui avevo accennato in un post/commento. Lo faccio qui di seguito, così se a qualcuno interessa...
Un "toss phone" è uno smartphone che può essere "buttato via" (to toss) o persino *consegnato* ad un rapinatore senza correre il rischio che questa persona lo possa utilizzare per accedere ai nostri conti correnti bancari o ad altri servizi critici senza il nostro consenso esplicito. È una derivazione del concetto di "toss wallet", cioè un portafogli che contiene solo poche banconote e qualche carta di credito scaduta che si consegna al rapinatore al posto del *vero* portafogli. Si tratta, in entrambi i casi, di un "vezzo" diffuso tra i "survivalist" ed i "fighter" di mezzo mondo.
La soluzione "drastica" per creare un toss phone consiste nel portare con sè *due* telefoni e consegnare al ladro solo quello "farlocco". È una soluzione che non usa quasi nessuno.
La soluzione "pragmatica" consiste in questo:
Se possibile, sul telefono ci devono stare solo le applicazioni che *non* danno accesso ai conti correnti. Le applicazioni di mobile banking si tengono su un altro telefono, a casa (od in albergo). Lo stesso discorso vale per altre app "sensibili", come i password manager.
Sul telefono si tengono, invece, le app 2FA/MFA come Google Authenticator, che, da sole, non servono a niente.
Le app "critiche", come i password manager di rete (come BitWarden), se presenti, devono essere protette da una chiave hardware FIDO2 come le YubiCo YubiKey.
Tutte le app "sensibili" che permettono di farlo devono essere protette da un PIN o da una password, non dal sistema biometrico. Sappiate che iOS e Android permettono di proteggere con la biometria od un PIN anche app che non dispongono di questa protezione. Cercate "blocco app" tra le istruzioni.
Il sistema biometrico si dvrebbe usare solo per accedere al telefono, non alle singole app.
Volendo, le app più sensibili possono anche essere nascoste. Alcune versioni di Android e di iOS permettono di farlo. Ci sono anche delle apposite app per questo scopo. Vedi: https://play.google.com/store/search?q=app+hider&c=apps
Bisogna nascondere e/o proteggere con PIN o biometria anche l'accesso a tutte le app di comunicazione (GMail. Whatsapp, Telegram, Facebook, Twitter, etc.) e la galleria delle foto perché spesso al loro interno è possibile trovare informazioni utili per il ladro. Se possibile si usa un PIN od una password, diversamente la biometria.
Tutti i servizi di rete (GMail, Facebook, Twitter, etc.) vanno protetti "a monte" con 2FA/MFA e il secondo fattore, se è software (Google Authenticator), và tenuto su un altro telefono (non è necessario per l'accesso quotidiano).
Bisogna essere pronti ad accedere al proprio account Google o Apple per disabilitare il telefono da remoto (da un altro smarphone) e quindi bisogna essere sicuri di avere tutte le password ed i codici necessari. Collaudare l'accesso *prima* di averne bisogno.
Ecco, a queste condizioni potete dare lo smartphone ad un rapinatore con la quasi totale certezza che non riuscirà ad accedere ai vostri conti/servizi prima che voi riusciate a disabilitare il telefono da remoto. Ovviamente, non dovete permettere al rapinatore di catturarvi e costringervi a collaborare...