В работата си експертите по компютърна криминалистика редовно се сблъскват със случаи, когато е необходимо бързо да се отключи смартфон. Например данните от телефона са необходими на следствието, за да разбере причините за самоубийството на тийнейджър. В друг случай те ще помогнат да се стигне до следите на престъпна група, нападаща шофьори на камиони. Има, разбира се, сладки истории - родителите забравиха паролата за притурката и имаше видеоклип с първите стъпки на бебето им, но за съжаление има само няколко от тях. Но те изискват и професионален подход към проблема. В тази статия Игор Михайлов, специалист от Лабораторията по компютърна криминалистика Group-IB, говори за начини, които позволяват на криминалистите да заобиколят заключването на смартфона.
Важно: Тази статия е написана, за да оцени сигурността на паролите и графичните модели, използвани от собствениците на мобилни устройства. Ако решите да отключите мобилно устройство с помощта на описаните методи, не забравяйте, че извършвате всички действия за отключване на устройства на свой собствен риск. Когато манипулирате мобилни устройства, можете да заключите устройството, да изтриете потребителски данни или да причините неизправност на устройството. Дадени са и препоръки към потребителите как да повишат нивото на защита на своите устройства.
И така, най-често срещаният метод за ограничаване на достъпа до информацията за потребителя, съдържаща се в устройството, е да заключите екрана на мобилното устройство. Когато такова устройство влезе в криминалистичната лаборатория, работата с него може да бъде трудна, тъй като за такова устройство е невъзможно да се активира USB режимът за отстраняване на грешки (за устройства с Android), невъзможно е да се потвърди разрешение за компютъра на проверяващия да взаимодейства с това устройство (за мобилни устройства на Apple) и в резултат на това е невъзможен достъп до данните, съхранени в паметта на устройството.
Фактът, че американското ФБР плати сериозна сума за отключване на iPhone на терориста Сайед Фарук, един от участниците в терористичната атака в калифорнийския град Сан Бернардино, показва колко обичайното заключване на екрана на мобилно устройство пречи на специалистите да извличане на данни от него [1].
Методи за отключване на екрана на мобилно устройство
По правило за заключване на екрана на мобилно устройство се използва:
- Символна парола
- Графична парола
Също така методите на технологията SmartBlock могат да се използват за отключване на екрана на редица мобилни устройства:
- Отключване с пръстов отпечатък
- Отключване с лице (FaceID технология)
- Отключете устройството чрез разпознаване на ириса
Социални методи за отключване на мобилно устройство
В допълнение към чисто техническите, има и други начини за откриване или преодоляване на ПИН кода или графичния код (модел) на заключването на екрана. В някои случаи социалните методи могат да бъдат по-ефективни от техническите решения и да помогнат за отключване на устройства, които са се поддали на съществуващите технически разработки.
В този раздел ще бъдат описани методи за отключване на екрана на мобилно устройство, които не изискват (или изискват само ограничено, частично) използване на технически средства.
За извършване на социални атаки е необходимо да се проучи психологията на собственика на заключено устройство възможно най-дълбоко, за да се разберат принципите, по които той генерира и запазва пароли или графични модели. Също така, изследователят ще се нуждае от капка късмет.
Когато използвате методи, свързани с отгатване на парола, трябва да се има предвид, че:
- Въвеждането на десет неправилни пароли на мобилни устройства на Apple може да доведе до изтриване на данните на потребителя. Това зависи от настройките за сигурност, които потребителят е задал;
- на мобилни устройства, работещи с операционна система Android, може да се използва технологията Root of Trust, което ще доведе до факта, че след въвеждане на 30 неправилни пароли потребителските данни ще бъдат или недостъпни, или изтрити.
Метод 1: поискайте парола
Може да изглежда странно, но можете да разберете паролата за отключване, като просто попитате собственика на устройството. Статистиката показва, че приблизително 70% от собствениците на мобилни устройства са готови да споделят паролата си. Особено ако това ще съкрати времето за изследване и съответно собственикът ще си върне устройството по-бързо. Ако не е възможно да поискате паролата от собственика (например собственикът на устройството е починал) или той откаже да я разкрие, паролата може да бъде получена от неговите близки роднини. По правило роднините знаят паролата или могат да предложат възможни опции.
Препоръка за защита: Паролата за вашия телефон е универсален ключ за всички данни, включително данните за плащане. Говоренето, предаването, писането в мигновени съобщения е лоша идея.
Метод 2: надникнете паролата
Паролата може да бъде надникната в момента, в който собственикът използва устройството. Дори ако помните паролата (символна или графична) само частично, това значително ще намали броя на възможните опции, което ще ви позволи да я познаете по-бързо.
Вариант на този метод е използването на записи от камери за видеонаблюдение, показващи как собственикът отключва устройството с помощта на шаблонна парола [2]. Алгоритъмът, описан в работата „Разбиване на Android Pattern Lock в пет опита“ [2], чрез анализиране на видеозаписи, ви позволява да отгатнете опциите за графична парола и да отключите устройството в няколко опита (като правило, това не изисква повече от пет опита). Според авторите, "колкото по-сложна е графичната парола, толкова по-лесно е да я вземете."
Препоръка за защита: Използването на графичен ключ не е най-добрата идея. Буквено-цифровата парола е много трудна за надникване.
Метод 3: Намерете паролата
Паролата може да бъде намерена в записите на собственика на устройството (файлове на компютъра, в дневника, върху фрагменти хартия, лежащи в документи). Ако човек използва няколко различни мобилни устройства и имат различни пароли, тогава понякога в отделението за батерии на тези устройства или в пространството между кутията на смартфона и кутията можете да намерите парчета хартия с написани пароли:
Препоръка за защита: няма нужда да поддържате "бележник" с пароли. Това е лоша идея, освен ако не е известно, че всички тези пароли са фалшиви, за да се намали броят на опитите за отключване.
Метод 4: пръстови отпечатъци (Smudge attack)
Този метод ви позволява да идентифицирате следи от пот-мазнина на ръцете върху дисплея на устройството. Можете да ги видите, като третирате екрана на устройството с лек прах за пръстови отпечатъци (вместо специален съдов прах, можете да използвате бебешка пудра или друг химически неактивен фин прах с бял или светло сив цвят) или като погледнете екрана на устройство в наклонени лъчи светлина. Анализирайки относителните позиции на отпечатъците от ръце и разполагайки с допълнителна информация за собственика на устройството (например, знаейки годината му на раждане), можете да опитате да отгатнете текстова или графична парола. Ето как изглежда напластяването пот-мазнина върху дисплея на смартфон под формата на стилизирана буква Z:
Препоръка за защита: Както казахме, графичната парола не е добра идея, както и очилата с лошо олеофобно покритие.
Метод 5: изкуствен пръст
Ако устройството може да се отключи с пръстов отпечатък и изследователят разполага с образци от отпечатъци на ръцете на собственика на устройството, тогава 3D копие на пръстовия отпечатък на собственика може да се направи на 3D принтер и да се използва за отключване на устройството [XNUMX]:
За по-пълна имитация на пръста на жив човек - например, когато сензорът за пръстови отпечатъци на смартфона все още засича топлина - 3D моделът се поставя (опира) върху пръста на жив човек.
Собственикът на устройството, дори ако забрави паролата за заключване на екрана, може сам да отключи устройството с пръстовия си отпечатък. Това може да се използва в определени случаи, когато собственикът не може да предостави паролата, но въпреки това желае да помогне на изследователя да отключи устройството си.
Изследователят трябва да има предвид поколенията сензори, използвани в различни модели мобилни устройства. По-старите модели сензори могат да се задействат от почти всеки пръст, не непременно от собственика на устройството. Съвременните ултразвукови сензори, напротив, сканират много дълбоко и ясно. В допълнение, редица модерни сензори под екрана са просто CMOS камери, които не могат да сканират дълбочината на изображението, което ги прави много по-лесни за заблуда.
Препоръка за защита: Ако пръст, тогава само ултразвуков сензор. Но не забравяйте, че поставянето на пръст против волята ви е много по-лесно от лицето.
Метод 6: "изтръпване" (атака на чаша)
Този метод е описан от британската полиция [4]. Състои се в тайно наблюдение на заподозрения. В момента, в който заподозреният отключи телефона си, цивилният агент го изтръгва от ръцете на собственика и не позволява устройството да се заключи отново, докато не бъде предадено на експерти.
Препоръка за защита: Мисля, че ако такива мерки ще бъдат използвани срещу вас, тогава нещата са зле. Но тук трябва да разберете, че произволното блокиране обезценява този метод. И например многократното натискане на бутона за заключване на iPhone стартира SOS режим, който освен всичко изключва FaceID и изисква парола.
Метод 7: грешки в алгоритмите за управление на устройството
В емисиите с новини на специализирани ресурси често можете да намерите съобщения, че определени действия с устройството отключват екрана му. Например заключеният екран на някои устройства може да се отключи при входящо повикване. Недостатъкът на този метод е, че идентифицираните уязвимости, като правило, се елиминират своевременно от производителите.
Пример за подход за отключване на мобилни устройства, пуснати преди 2016 г., е изтощаването на батерията. Когато батерията е изтощена, устройството ще се отключи и ще ви подкани да промените настройките на захранването. В този случай трябва бързо да отидете на страницата с настройки за сигурност и да деактивирате заключването на екрана [5].
Препоръка за защита: не забравяйте да актуализирате своевременно операционната система на вашето устройство и ако вече не се поддържа, сменете вашия смартфон.
Метод 8: Уязвимости в програми на трети страни
Уязвимости, открити в приложения на трети страни, инсталирани на дадено устройство, могат също така напълно или частично да предоставят достъп до данните на заключено устройство.
Пример за такава уязвимост е кражбата на данни от iPhone на Джеф Безос, основният собственик на Amazon. Уязвимостта в месинджъра WhatsApp, използвана от неизвестни хора, доведе до кражба на поверителни данни, съхранявани в паметта на устройството [6].
Такива уязвимости могат да бъдат използвани от изследователите за постигане на целите им – за извличане на данни от заключени устройства или за тяхното отключване.
Препоръка за защита: Трябва да актуализирате не само операционната система, но и приложенията, които използвате.
Метод 9: корпоративен телефон
Корпоративните мобилни устройства могат да бъдат отключени от системните администратори на компанията. Например, корпоративните Windows Phone устройства са свързани с Microsoft Exchange акаунта на компанията и могат да бъдат отключени от фирмените администратори. За корпоративни устройства на Apple има услуга за управление на мобилни устройства, подобна на Microsoft Exchange. Неговите администратори могат също така да отключат корпоративно iOS устройство. Освен това корпоративните мобилни устройства могат да се сдвояват само с определени компютри, посочени от администратора в настройките на мобилното устройство. Следователно, без взаимодействие със системните администратори на компанията, такова устройство не може да бъде свързано към компютъра на изследователя (или софтуерно-хардуерна система за извличане на криминалистични данни).
Препоръка за защита: MDM е едновременно зло и добро по отношение на защитата. Администратор на MDM винаги може дистанционно да нулира устройство. Във всеки случай не трябва да съхранявате чувствителни лични данни на корпоративно устройство.
Метод 10: информация от сензори
Анализирайки информацията, получена от сензорите на устройството, можете да познаете паролата към устройството, като използвате специален алгоритъм. Adam J. Aviv демонстрира осъществимостта на такива атаки, използвайки данни, получени от акселерометър на смартфон. В хода на изследването ученият успя да определи правилно символната парола в 43% от случаите, а графичната парола - в 73% [7].
Препоръка за защита: Внимавайте на какви приложения давате разрешение за проследяване на различни сензори.
Метод 11: отключване с лице
Както в случая с пръстовия отпечатък, успехът на отключването на устройство с помощта на технологията FaceID зависи от това кои сензори и кой математически апарат се използват в конкретно мобилно устройство. Така в работата „Gezichtsherkenning op smartphone niet altijd veilig“ [8] изследователите показаха, че някои от изследваните смартфони се отключват просто чрез показване на снимката на собственика на камерата на смартфона. Това е възможно, когато за отключване се използва само една предна камера, която няма възможност за сканиране на данни за дълбочината на изображението. Samsung, след поредица от високопоставени публикации и видеоклипове в YouTube, беше принуден да добави предупреждение към фърмуера на своите смартфони. Отключване с лице Samsung:
По-усъвършенстваните смартфони могат да се отключват с помощта на маска или самообучение на устройството. Например, iPhone X използва специална технология TrueDepth [9]: проекторът на устройството, използвайки две камери и инфрачервен излъчвател, проектира решетка, състояща се от повече от 30 000 точки върху лицето на собственика. Такова устройство може да се отключи с помощта на маска, чиито контури имитират контурите на лицето на потребителя. Маска за отключване на iPhone [10]:
Тъй като такава система е много сложна и не работи при идеални условия (настъпва естествено стареене на собственика, промени в конфигурацията на лицето поради изразяване на емоции, умора, здравословно състояние и т.н.), тя е принудена постоянно да се самообучава. Следователно, ако друг човек държи отключеното устройство пред себе си, неговото лице ще бъде запомнено като лице на собственика на устройството и в бъдеще той ще може да отключи смартфона чрез технологията FaceID.
Препоръка за защита: не използвайте отключване чрез „снимка“ - само системи с пълноценни скенери за лице (FaceID от Apple и аналози на устройства с Android).
Основната препоръка е да не гледате в камерата, а просто да погледнете настрани. Дори и да затворите едното око, шансът да отключите силно пада, както при присъствието на ръце на лицето. Освен това се дават само 5 опита за отключване с лице (FaceID), след което ще трябва да въведете парола.
Метод 12: Използване на течове
Базите данни с изтекли пароли са чудесен начин да разберете психологията на собственика на устройството (ако приемем, че изследователят има информация за имейл адресите на собственика на устройството). В примера по-горе търсенето на имейл адрес върна две подобни пароли, използвани от собственика. Може да се предположи, че паролата 21454162 или нейните производни (например 2145 или 4162) могат да се използват като код за заключване на мобилно устройство. (Търсенето на имейл адреса на собственика в бази данни за изтичане на информация разкрива какви пароли може да е използвал собственикът, включително за заключване на мобилното си устройство.)
Препоръка за защита: действайте проактивно, проследявайте данни за течове и променяйте паролите, забелязани при течове, своевременно!
Метод 13: Общи пароли за заключване на устройство
По правило от собственика се отнема не едно мобилно устройство, а няколко. Често има десетки такива устройства. В този случай можете да познаете паролата за уязвимо устройство и да се опитате да я приложите към други смартфони и таблети, иззети от същия собственик.
При анализиране на данни, извлечени от мобилни устройства, такива данни се показват в криминалистични програми (често дори при извличане на данни от заключени устройства, използващи различни видове уязвимости).
Както можете да видите на екранната снимка на част от работния прозорец на програмата UFED Physical Analyzer, устройството е заключено с доста необичаен fgkl PIN код.
Не пренебрегвайте други потребителски устройства. Например, чрез анализиране на паролите, съхранени в кеша на уеб браузъра на компютъра на собственика на мобилното устройство, може да се разберат принципите за генериране на парола, към които собственикът се е придържал. Можете да видите запазените пароли на вашия компютър с помощта на помощната програма NirSoft [11].
Освен това на компютъра (лаптопа) на собственика на мобилното устройство може да има Lockdown файлове, които могат да помогнат за получаване на достъп до заключено мобилно устройство на Apple. Този метод ще бъде обсъден по-нататък.
Препоръка за защита: използвайте различни, уникални пароли навсякъде.
Метод 14: Общи PIN кодове
Както беше отбелязано по-рано, потребителите често използват типични пароли: телефонни номера, банкови карти, ПИН кодове. Такава информация може да се използва за отключване на предоставеното устройство.
Ако нищо друго не помогне, можете да използвате следната информация: изследователите са направили анализ и са открили най-популярните ПИН кодове (посочените ПИН кодове покриват 26,83% от всички пароли) [12]:
PIN
Честота, %
1234
10,713
1111
6,016
0000
1,881
1212
1,197
7777
0,745
1004
0,616
2000
0,613
4444
0,526
2222
0,516
6969
0,512
9999
0,451
3333
0,419
5555
0,395
6666
0,391
1122
0,366
1313
0,304
8888
0,303
4321
0,293
2001
0,290
1010
0,285
Прилагането на този списък с ПИН кодове към заключено устройство ще го отключи с ~26% вероятност.
Препоръка за защита: проверете вашия ПИН според горната таблица и дори да не съвпада, сменете го все пак, защото 4 цифри са твърде малко по стандартите от 2020 г.
Метод 15: Типични пароли за изображения
Както е описано по-горе, разполагайки с данни от камери за наблюдение, на които собственикът на устройството се опитва да го отключи, можете да вземете шаблон за отключване от пет опита. В допълнение, точно както има общи ПИН кодове, има общи модели, които могат да се използват за отключване на заключени мобилни устройства [13, 14].
Прости модели [14]:
Модели със средна сложност [14]:
Сложни модели [14]:
Списък на най-популярните диаграмни модели според изследователя Джеръми Кърби [15].
3>2>5>8>7
1>4>5>6>9
1>4>7>8>9
3>2>1>4>5>6>9>8>7
1>4>7>8>9>6>3
1>2>3>5>7>8>9
3>5>6>8
1>5>4>2
2>6>5>3
4>8>7>5
5>9>8>6
7>4>1>2>3>5>9
1>4>7>5>3>6>9
1>2>3>5>7
3>2>1>4>7>8>9
3>2>1>4>7>8>9>6>5
3>2>1>5>9>8>7
1>4>7>5>9>6>3
7>4>1>5>9>6>3
3>6>9>5>1>4>7
7>4>1>5>3>6>9
5>6>3>2>1>4>7>8>9
5>8>9>6>3>2>1>4>7
7>4>1>2>3>6>9
1>4>8>6>3
1>5>4>6
2>4>1>5
7>4>1>2>3>6>5
На някои мобилни устройства, в допълнение към графичния код, може да бъде зададен допълнителен ПИН код. В този случай, ако не е възможно да се намери графичен код, изследователят може да щракне върху бутона Допълнителен ПИН код (вторичен ПИН) след въвеждане на неправилен код на картината и опитайте да намерите допълнителен ПИН.
Препоръка за защита: По-добре е изобщо да не използвате графични ключове.
Метод 16: Буквено-цифрови пароли
Ако на устройството може да се използва буквено-цифрова парола, собственикът може да използва следните популярни пароли като код за заключване [16]:
- 123456
- парола
- 123456789
- 12345678
- 12345
- 111111
- 1234567
- слънчева светлина
- QWERTY
- ILOVEYOU
- принцеса
- администратор
- добре дошъл
- 666666
- abc123
- футбол
- 123123
- маймуна
- 654321
- ! @ # $% ^ & *
- Чарли
- aa123456
- Доналд
- password1
- qwerty123
Препоръка за защита: използвайте само сложни, уникални пароли със специални символи и различни регистри. Проверете дали използвате някоя от горните пароли. Ако използвате - сменете го на по-надежден.
Метод 17: облак или локално хранилище
Ако не е технически възможно да се премахнат данни от заключено устройство, криминалистите могат да потърсят резервните му копия в компютрите на собственика на устройството или в съответните облачни хранилища.
Често собствениците на смартфони на Apple, когато ги свързват към компютрите си, не осъзнават, че в този момент може да се създаде локално или облачно резервно копие на устройството.
Облачното хранилище на Google и Apple може да съхранява не само данни от устройства, но и пароли, запазени от устройството. Извличането на тези пароли може да помогне при отгатването на кода за заключване на мобилното устройство.
От Keychain, съхранен в iCloud, можете да извлечете резервната парола на устройството, зададена от собственика, която най-вероятно ще съответства на ПИН кода за заключване на екрана.
Ако правоприлагащите органи се обърнат към Google и Apple, компаниите могат да прехвърлят съществуващи данни, което вероятно значително ще намали необходимостта от отключване на устройството, тъй като правоприлагащите органи вече разполагат с данните.
Например, след терористичната атака в Pensocon, копия от данните, съхранявани в iCloud, бяха предадени на ФБР. От изявлението на Apple:
„В рамките на часове след първото искане на ФБР, на 6 декември 2019 г., предоставихме широк набор от информация, свързана с разследването. От 7 декември до 14 декември получихме шест допълнителни правни искания и предоставихме информация в отговор, включително резервни копия в iCloud, информация за акаунти и транзакции за множество акаунти.
Отговаряхме на всяко искане незабавно, често в рамките на часове, като обменяхме информация с офисите на ФБР в Джаксънвил, Пенсакола и Ню Йорк. По искане на следствието бяха получени много гигабайти информация, която предадохме на разследващите.” [17, 18, 19]
Препоръка за защита: всичко, което изпратите некриптирано в облака, може и ще бъде използвано срещу вас.
Метод 18: Google акаунт
Този метод е подходящ за премахване на графична парола, която заключва екрана на мобилно устройство с операционна система Android. За да използвате този метод, трябва да знаете потребителското име и паролата на акаунта в Google на собственика на устройството. Второ условие: устройството трябва да е свързано към интернет.
Ако последователно въведете грешна парола за картина няколко пъти подред, устройството ще предложи да нулирате паролата. След това трябва да влезете в потребителския акаунт, който ще отключи екрана на устройството [5].
Поради разнообразието от хардуерни решения, операционни системи Android и допълнителни настройки за сигурност, този метод е приложим само за определен брой устройства.
Ако изследователят няма парола за акаунта в Google на собственика на устройството, той може да опита да я възстанови, като използва стандартните методи за възстановяване на парола за такива акаунти.
Ако устройството не е свързано с интернет по време на изследването (например SIM картата е блокирана или няма достатъчно пари на нея), тогава такова устройство може да бъде свързано към Wi-Fi, като използвате следните инструкции:
- щракнете върху иконата "Спешно повикване".
- наберете *#*#7378423#*#*
- изберете Тест на услугата - Wlan
- свържете се с налична Wi-Fi мрежа [5]
Препоръка за защита: не забравяйте да използвате двуфакторна автентификация, когато е възможно и в този случай е по-добре с връзка към приложението, а не с код чрез SMS.
Метод 19: гост акаунт
Мобилните устройства с Android 5 и по-нова версия могат да имат множество акаунти. Допълнителната информация за акаунта не може да бъде заключена с ПИН или шаблон. За да превключите, трябва да кликнете върху иконата на акаунта в горния десен ъгъл и да изберете друг акаунт:
За допълнителен акаунт достъпът до някои данни или приложения може да бъде ограничен.
Препоръка за защита: важно е да актуализирате ОС. В съвременните версии на Android (9 и по-нови с корекции за сигурност от юли 2020 г.) акаунтът за гости обикновено не предоставя никакви опции.
Метод 20: специализирани услуги
Компаниите, разработващи специализирани криминалистични програми, освен всичко друго, предлагат услуги за отключване на мобилни устройства и извличане на данни от тях [20, 21]. Възможностите на подобни услуги са просто фантастични. Могат да се използват за отключване на топ модели устройства с Android и iOS, както и устройства, които са в режим на възстановяване (в който устройството влиза след превишаване на броя опити за въвеждане на грешна парола). Недостатъкът на този метод е високата цена.
Извадка от уеб страница на уебсайта на Cellebrite, която описва от кои устройства могат да извличат данни. Устройството може да бъде отключено в лабораторията на разработчика (Cellebrite Advanced Service (CAS)) [20]:
За такава услуга устройството трябва да бъде предоставено на регионалния (или централен) офис на компанията. Възможно е отпътуване на експерта до клиента. По правило разбиването на кода за заключване на екрана отнема един ден.
Препоръка за защита: почти невъзможно е да се защитите, освен използването на силна буквено-цифрова парола и годишната смяна на устройствата.
Експертите на PS Group-IB Laboratory разказват за тези случаи, инструменти и много други полезни функции в работата на специалист по компютърна криминалистика като част от обучителен курс . След завършване на 5-дневен или разширен 7-дневен курс, завършилите ще могат по-ефективно да провеждат криминалистични изследвания и да предотвратяват кибер инциденти в своите организации.
PPS действие за информационна сигурност, хакери, APT, кибератаки, измамници и пирати. Разследвания стъпка по стъпка, практически казуси с помощта на технологиите на Group-IB и препоръки как да не станете жертва. Свържете се!
източници
- Guixin Yey, Zhanyong Tang, Dingyi Fangy, Xiaojiang Cheny, Kwang Kimz, Ben Taylorx, Zheng Wang.
- Доминик Кашиани, Портал Гаетан.
- Анатолий Ализар.
- Мария Нефедова.
- Антон Макаров. Парола за заобикаляне на шаблон на устройства с Android
- Джереми Кирби.
- Андрей Смирнов.
- Мария Нефедова.
Източник: www.habr.com