🥇Зона на достъп: 30 начина, които ще позволят да отключите всеки смартфон. Част 1

В своей работе компьютерные криминалисты регулярно сталкиваются с кейсами, когда надо оперативно разблокировать смартфон. Например, данные из телефона нужны следствию, чтобы понять причины суицида подростка. В другом случае — помогут выйти на след преступной группы, нападающей на водителей-дальнобойщиков. Бывают, конечно, и милые истории — родители забыли пароль от гаджета, а на нем осталось видео с первыми шагами их малыша, но таких, к сожалению, единицы. Но и они требуют профессионального подхода к вопросу. В этой статье Игорь Михайлов, специалист Лаборатории компьютерной криминалистики Group-IB, рассказывает о способах, которые позволяют экспертам-криминалистам обойти блокировку смартфона.

Важно: эта статья написана для оценки безопасности паролей и графических паттернов, используемых владельцами мобильных устройств. Если вы решите разблокировать мобильное устройство с помощью описанных методов — помните, что все действия по разблокировке устройств вы совершаете на свой страх и риск. При манипуляции с мобильными устройствами вы можете заблокировать устройство, стереть пользовательские данные или привести устройство в неисправное состояние. Также даны рекомендации пользователям, как повысить уровень защиты своих устройств.

Итак, самым распространенным методом ограничения доступа к пользовательской информации, содержащейся в устройстве, является блокировка экрана мобильного устройства. Когда подобное устройство попадает в криминалистическую лабораторию, работа с ним бывает затруднена, так как для такого устройства невозможно активировать режим отладки по USB (для Android-устройств), невозможно подтвердить разрешение на взаимодействие компьютера эксперта с этим устройством (для мобильных устройств фирмы Apple) и, как следствие, невозможно получить доступ к данным, находящимся в памяти устройства.

Насколько обычная блокировка экрана мобильного устройства препятствует извлечению специалистами данных из него, говорит тот факт, что ФБР США заплатило крупную сумму за разблокировку iPhone террориста Сайеда Фарука, одного из участников теракта в калифорнийском городе Сан-Бернардино [1].

Методы разблокировки экрана мобильного устройства

Как правило, для блокировки экрана мобильного устройства используется:

Символьный пароль
Графический пароль

Также для разблокировки экрана ряда мобильных устройств могут использоваться методы технологии SmartBlock:

Разблокировка по распознаванию отпечатка пальца
Разблокировка по распознаванию лица (технология FaceID)
Разблокировка устройства по распознаванию радужной оболочки глаза

Социальные методы разблокировки мобильного устройства

Кроме чисто технических, существуют и иные способы узнать или преодолеть PIN-код, или графический код (паттерн) блокировки экрана. В отдельных случаях социальные методы могут быть более эффективными, чем технические решения, и помочь в разблокировке устройств, перед которыми пасуют существующие технические разработки.

В данном разделе будут описаны методы разблокировки экрана мобильного устройства, которые не требуют (или требуют лишь ограниченного, частичного) применения технических средств.
Для совершения социальных атак нужно как можно глубже изучить психологию владельца заблокированного устройства, понять, по каким принципам он генерирует и сохраняет пароли или графические паттерны. Также исследователю понадобится капля везения.

При использовании методов, связанных с подбором пароля, следует учитывать, что:

при введении десяти неправильных паролей на мобильных устройствах компании Apple данные пользователя могут быть стерты. Это зависит от настроек безопасности, которые установил пользователь;
на мобильных устройствах под управлением операционной системы Android может быть использована технология Root of Trust, которая приведет к тому, что после введения 30 неправильных паролей данные пользователя буду либо недоступны, либо стерты.

Способ 1: cпроси пароль

Може да звучи странно, но паролата за отключване може да се научи, просто попитвайки притежателя на устройството. Според статистиката, около 70% от притежателите на мобилни устройства охотно споделят паролата. Особено, ако това съкрати времето за разследване и, съответно, притежателят по-бързо ще получи устройството си обратно. Ако няма възможност да се попита паролата от притежателя (например, ако собственикът на устройството е починал) или той отказва да я разкрие — паролата може да се научи от близките му роднини. Обикновено, роднините знаят паролата или могат да предложат възможни варианти.

Препоръка за защита: Паролата на телефона ви е универсален ключ за всички данни, включително и платежни. Да я казвате, предавате или пишете в мессенджъри е лоша идея.

Метод 2: подслушайте паролата

Паролата може да се подслуша в момента, когато притежателят ползва устройството. Дори и да запомните паролата (символна или графична) само частично — това значително ще съкрати броя на възможните варианти, което ще позволи по-бързо да я подберете.

Вариант на този метод е използването на записи от видеонаблюдение, на които е заснет притежателят, отключващ устройството с помощта на графична парола [2]. Описаният в работата „Cracking Android Pattern Lock in Five Attempts“ [2] алгоритъм, чрез анализ на видеозаписи, позволява да се предположат варианти на графичната парола и да се отключи устройството в няколко опита (обикновено, за това са нужни не повече от пет опита). Както твърдят авторите, „колкото по-сложна е графичната парола, толкова по-лесно е да я подберете.“

Препоръка за защита: Използването на графичен ключ — не е най-добрата идея. Цифрово-буквената парола е много трудна за подслушване.

Метод 3: намерете паролата

Паролата може да бъде намерена в записите на притежателя на устройството (файлове на компютъра, в тетрадката, на парчета хартия, лежащи в документите). Ако човек използва няколко различни мобилни устройства и на тях различни пароли, понякога в батерийната секция на тези устройства или в пространството между корпуса на смартфона и калъфа може да се намерят парчета хартия с написани пароли:

Препоръка за защита: не трябва да водите „блокнотик“ с пароли. Това е лоша идея, освен ако всичките тези пароли преднамерено не са неверни, за да се намали броя на опитите за отключване.

Метод 4: отпечатъци от пръсти (Smudge attack)

Този метод позволява да се открият следи от пот и мазнина на дисплея на устройството. Те могат да се видят, като се поръси екранът с прозрачен дактилоскопичен прах (вместо специален криминалистичен прах може да се използва детска пудра или друг химически инертен фин прах в бяло или светлосиво) или като се погледне на екрана в косопадащи лъчи светлина. Анализирайки взаимното разположение на следите от пръсти и имайки допълнителна информация за собственика на устройството (например, знаейки годината на раждане), може да се опита да се подбере текстова или графична парола. Така изглежда наслагането от мазнина на дисплея на смартфона под формата на стилизирана буква Z:

Препоръка за защита: Както споменахме, графичната парола не е най-добрата идея, както и стъклата с лошо олеофобно покритие.

Метод 5: изкуствен пръст

Ако устройството може да бъде отключено с пръстов отпечатък, а изследователят притежава образци от отпечатъците на собственика на устройството, той може да направи триизмерно копие на пръстовия отпечатък с 3D принтер и да го използва за отключване на устройството [3]:

За по-пълна имитация на пръст на жив човек — например, когато сензорът за пръстов отпечатък на смартфона все още разпознава топлина — 3D моделът се поставя (докосва) до пръста на живия човек.

Собственикът на устройството, дори забравяйки паролата за екрана, може сам да отключи устройството, използвайки пръстовия си отпечатък. Това може да се използва в определени случаи, когато собственикът не може да съобщи паролата, но все пак е готов да помогне на изследователя да отключи устройството си.

Изследователят трябва да помни за поколенията сензори, приложени в различни модели мобилни устройства. Стари модели сензори могат да реагират почти на допира на всеки пръст, не непременно принадлежащ на собственика на устройството. Съвременните ултразвукови сензори, от друга страна, сканират много дълбоко и ясно. Освен това, редица съвременни сензори под екрана са просто CMOS камери, които не могат да сканират дълбочината на изображението, което прави измамата им много по-лесна.

Препоръка за защита: Ако ще използвате пръстов отпечатък, изберете само ултразвуков сензор. Но не забравяйте, че е по-лесно да приложите пръст без ваше съгласие, отколкото лице.

Метод 6: „Шок“ (Mug attack)

Този метод е описан от британските полицаи [4]. Той се състои в тайно наблюдение на заподозрения. В момента, когато заподозреният отключи телефона си, агент в цивилно взима устройството от ръцете на собственника и не позволява то да се заключи отново, докато не бъде предадено на експертите.

Препоръка за защита: Мисля, че ако срещу вас се планират такива мерки, положението е сериозно. Но трябва да се разбере, че случайното заключване обезценява този метод. Например, многократното натискане на бутона за заключване на iPhone активира режим SOS, който освен всичко друго изключва FaceID и изисква парола.

Метод 7: грешки в алгоритмите за управление на устройството

В новинарските емисии на специализирани ресурси често се срещат съобщения за това, че при определени действия с устройството екранът му се отключва. Например, екранът за заключване на редица устройства може да се отключи при входящо обаждане. Недостатък на този метод е, че откритите уязвимости обикновено се отстраняват бързо от производителите.

Пример за подхода за отключване на мобилни устройства, произведени преди 2016 г., е изтощаването на батерията. При ниско ниво на заряда устройството се отключва и предлага да промени настройките на енергията. В този случай е необходимо бързо да се премине на страницата с настройките за сигурност и да се деактивира заключването на екрана [5].

Препоръка за защита: Не забравяйте навреме да актуализирате операционната система на устройството си, а ако то вече не се поддържа – да смените смартфона.

Метод 8: уязвимости в трети приложения

Уязвимостите, открити в инсталирани на устройството трети приложения, също могат да предоставят пълен или частичен достъп до данните на заключеното устройство.

Пример за такава уязвимост е кражбата на данни от iPhone на Джеф Безос, основния собственик на Amazon. Уязвимост в приложението WhatsApp, експлоатирана от неизвестни лица, доведе до кражба на конфиденциални данни, намиращи се в паметта на устройството [6].

Тези уязвимости могат да бъдат използвани от изследователи за постигане на собствените им цели — извличане на данни от заключени устройства или за тяхното отключване.

Препоръка за защита: Трябва да актуализирате не само операционната система, но и приложенията, които използвате.

Метод 9: корпоративен телефон

Корпоративните мобилни устройства могат да бъдат отключени от системните администратори на компаниите. Например, корпоративните устройства с Windows Phone са свързани с профила на Microsoft Exchange на компанията и могат да бъдат отключени от администраторите. За корпоративни устройства на Apple съществува услуга за управление на мобилни устройства (MDM), аналогична на Microsoft Exchange. Нейните администратори също могат да отключват корпоративни iOS устройства. Освен това, корпоративните мобилни устройства могат да бъдат свързани само с определени компютри, посочени от администратора в настройките на мобилното устройство. Затова, без взаимодействие с системните администратори на компанията, такова устройство не може да се свърже с компютъра на изследователя (или с хардуерно-програмния комплекс за криминалистичен анализ).

Препоръка за защита: MDM е както зло, така и добро в контекста на сигурността. MDM администраторът винаги може да извърши дистанционно нулиране на устройството. Във всеки случай, не е добре да съхранявате чувствителни лични данни на корпоративно устройство.

Метод 10: информация от сензори

Чрез анализ на информацията, получавана от сензорите на устройството, може да се подбере парола с помощта на специален алгоритъм. Адам Дж. Авив демонстрира възможността за подобни атаки, използвайки данни от акселерометъра на смартфона. По време на изследванията ученът успя да определи правилно символна парола в 43% от случаите, а графична парола — в 73% [7].

Препоръка за защита: Внимателно следете кои приложения предоставяте разрешение да следят различни сензори.

Метод 11: отключване по лице

Както при отпечатке на пръст, успехът при отключването на устройството с FaceID зависи от сензорите и математическите алгоритми, използвани в конкретното мобилно устройство. В изследването „Gezichtsherkenning op smartphone niet altijd veilig“ [8] изследователите установиха, че част от тестваните смартфони могат да бъдат отключени просто чрез показване на снимка на собственика пред камерата. Това е възможно, когато отключването се извършва само с предната камера, която не може да сканира дълбочинни данни на изображението. След обществено внимание и видеа в YouTube, компанията Samsung е принудена да добави предупреждение в софтуера на своите смартфони. Face Unlock Samsung:

По-напредналите модели смартфони могат да се отключват с маски или чрез самообучение на устройството. Например, в iPhone X се използва специална технология TrueDepth [9]: проекторът на устройството, с помощта на две камери и инфрачервен излъчвател, проектира мрежа от над 30 000 точки върху лицето на собственика. Такова устройство може да бъде отключено с маска, която имитира контурите на лицето на собственика. Маска за отключване на iPhone [10]:

Тъй като подобна система е много сложна и не работи в идеални условия (естествено стареене на собственика, изменение на конфигурацията на лицето поради емоции, умора, здравословно състояние и др.), тя постоянно трябва да се самообучава. Затова, ако отключеното устройство се постави пред друго лице, неговото лице ще бъде запомнено като лицето на собственика и в бъдеще той ще може да отключва смартфона, използвайки технологията FaceID.

Препоръка за защита: Не използвайте отключване с „фото“ — само системи с пълноценни сензори за лице (FaceID на Apple и аналози на Android устройства).

Основната препоръка е да не гледате в камерата, достатъчно е да отклоните погледа. Дори ако затворите едното око — шансът за отключване значително намалява, както и при наличието на ръце на лицето. Освен това, за отключване по лице (FaceID) се дават само 5 опита, след което е необходимо въвеждане на парола.

Метод 12: използване на течове

Изтичането на пароли е отличен начин да се разбере психологията на собственика на устройството (при условие, че изследователят разполага с информация за електронните адреси на собственика). В посочения пример, търсене по електронния адрес е дало два подобни пароли, които собственикът е използвал. Може да се предположи, че паролата 21454162 или нейните производни (например 2145 или 4162) са могли да бъдат използвани като код за отключване на мобилното устройство. (Търсенето по електронния адрес в базите данни за изтичане на информация показва кои пароли е могъл да използва собственикът, включително и за заключване на мобилното устройство.)

Препоръка за защита: Действайте предварително, следете данните за изтичане и навреме сменяйте паролите, които сте забелязали в изтичанията!

Метод 13: типични пароли за отключване на устройства

Обикновено, собственикът не е ограничен до едно мобилно устройство, а притежава няколко. Често такива устройства наброяват десетки. В такъв случай, може да се намери парола за уязвимо устройство и да се опита да се приложи спрямо други смартфони и таблети, иззети от същия собственик.

При анализа на данни, извлечени от мобилни устройства, тези данни се показват в криминалистични програми (често — дори при извличане на данни от заключени устройства, използвайки различни видове уязвимости).

Както се вижда на екранната снимка от работната среда на програмата UFED Physical Analyzer, устройството е заключено с необичаен PIN-код fgkl.

Не пренебрегвайте и другите устройства на потребителя. Например, анализирайки паролите, запазени в кеша на уеб браузъра на компютъра на собственика на мобилното устройство, може да се разберат принципите за генериране на пароли, на които се е придържал собственикът. Можете да прегледате запазените пароли на компютъра с помощта на утилита на компанията NirSoft [11].

Също така на компютъра (лаптопа) на собственика на мобилното устройство може да има Lockdown файлове, които могат да помогнат за достъп до заключено мобилно устройство на Apple. За този метод ще бъде разказано по-късно.

Препоръка за защита: Използвайте навсякъде различни, уникални пароли.

Метод 14: типични PIN-кодове

Както беше посочено по-рано, потребителите често използват стандартни пароли: телефонни номера, номера на банкови карти, PIN кодове. Подобна информация може да се използва за отключване на предоставеното устройство.

Ако нищо не помага — можете да се възползвате от следната информация: изследователи проведоха анализ и откриха най-популярните PIN кодове (посочените PIN кодове обхващат 26,83% от всички пароли) [12]:

PIN
Честота, %

1234
10,713

1111
6,016

0000
1,881

1212
1,197

7777
0,745

1004
0,616

2000
0,613

4444
0,526

2222
0,516

6969
0,512

9999
0,451

3333
0,419

5555
0,395

6666
0,391

1122
0,366

1313
0,304

8888
0,303

4321
0,293

2001
0,290

1010
0,285

Прилагането на този списък с PIN кодове към заключеното устройство ще позволи отключването му с вероятност ~26%.

Препоръка за защита: проверете своя PIN код по таблицата по-горе и, дори ако не е съвпаднал, все пак го сменете, тъй като 4 цифри е твърде малко по нормите на 2020 година.

Метод 15: стандартни графични пароли

Както беше описано по-горе, разполагайки с данни от видеонаблюдение, на които собственикът на устройството опитва да го отключи, може да се подбере шаблон за отключване от пет опита. Освен това, точно както съществуват стандартни PIN кодове, съществуват и стандартни шаблони, които могат да се използват за отключване на заключени мобилни устройства [13, 14].

Прости шаблони [14]:

Шаблони със средна сложност [14]:

Сложни шаблони [14]:

Списък на най-популярните графични шаблони според изследователя Jeremy Kirby [15].
3>2>5>8>7
1>4>5>6>9
1>4>7>8>9
3>2>1>4>5>6>9>8>7
1>4>7>8>9>6>3
1>2>3>5>7>8>9
3>5>6>8
1>5>4>2
2>6>5>3
4>8>7>5
5>9>8>6
7>4>1>2>3>5>9
1>4>7>5>3>6>9
1>2>3>5>7
3>2>1>4>7>8>9
3>2>1>4>7>8>9>6>5
3>2>1>5>9>8>7
1>4>7>5>9>6>3
7>4>1>5>9>6>3
3>6>9>5>1>4>7
7>4>1>5>3>6>9
5>6>3>2>1>4>7>8>9
5>8>9>6>3>2>1>4>7
7>4>1>2>3>6>9
1>4>8>6>3
1>5>4>6
2>4>1>5
7>4>1>2>3>6>5

На някои мобилни устройства, освен графичен код, може да бъде зададен допълнителен PIN код. В този случай, ако не успеете да подберете графичния код, изследователят може да кликне на бутона Доп.PIN код (допълнителен PIN код) след въвеждане на неправилен графичен код и да се опита да подбере допълнителния PIN код.

Препоръка за защита: по-добре е въобще да не се използват графични ключове.

Метод 16: буквено-цифрови пароли

Ако на устройството може да се използва буквено-цифрова парола, собственикът може да е използвал следните популярни пароли [16]:

123456
парола
123456789
12345678
12345
111111
1234567
слънце
qwerty
обичам те
принцеса
админ
добре дошли
666666
abc123
футбол
123123
маймунка
654321
!@#$%^&*
чарли
aa123456
доналд
парола1
qwerty123

Препоръка за защита: използвайте само сложни, уникални пароли със специални символи и различен регистър. Проверете дали не използвате една от посочените по-горе пароли. Ако е така, сменете я с по-надеждна.

Метод 17: облачни или локални хранилища

Ако няма техническа възможност да се извлекат данните от заключено устройство, криминалистите могат да потърсят резервни копия на компютрите на собственика или в съответните облачни хранилища.

Често собствениците на смартфони Apple, свързвайки ги с компютрите си, не осъзнават, че по това време може да се създава локално или облачно резервно копие на устройството.

В облачните хранилища на Google и Apple могат да се съхраняват не само данни от устройствата, но и запазените пароли на устройството. Извличането на тези пароли може да помогне за намирането на кода за заключване на мобилното устройство.

От Keychain, съхранен в iCloud, може да се извлече паролата за резервно копие на устройството, зададена от собственика, която с голяма вероятност ще съвпадне с PIN кода за заключване на екрана.

Ако правоохранителните органи се свържат с Google и Apple, компаниите могат да предоставят наличните данни, което вероятно ще намали необходимостта от разблокиране на устройството, тъй като данните вече ще бъдат у правоохранителите.

Например, след терористичния акт в Пенсакола копията на данните, съхранили в iCloud, бяха предадени на ФБР. От изявлението на Apple:

„В рамките на няколко часа след първото искане на ФБР на 6 декември 2019 година, предоставихме широк спектър от информация, свързана с разследването. От 7 до 14 декември получихме шест допълнителни юридически искания и в отговор предоставихме информация, включително резервни копия на iCloud, информация за акаунти и транзакции за няколко акаунта.
Ние отговаряхме на всяка заявка незабавно, често в рамките на няколко часа, обменяйки информация с офисите на ФБР в Джаксънвил, Пенсакола и Ню Йорк. По искания на разследването бяха получени много гигабайти информация, която предадохме на разследващите." [17, 18, 19]

Препоръка за защита: всичко, което предавате в облака в незашифрован вид, може и ще бъде използвано срещу вас.

Метод 18: Google-акаунт

Този метод е подходящ за премахване на графичната парола, блокираща екран на мобилно устройство с операционна система Android. За използването на този метод трябва да знаете потребителското име и паролата на Google-акаунта на собственика на устройството. Второто условие: устройството трябва да е свързано с интернет.

При последователно въвеждане на неправилна графична парола няколко пъти, устройството ще предложи да възстановите паролата. След това трябва да влезете в акаунта на потребителя, което ще доведе до отключване на екрана на устройството [5].

Поради разнообразието от хардуерни решения, операционни системи Android и допълнителни настройки за сигурност, този метод е приложим само за определени устройства.

Ако изследователят няма паролата на Google-акаунта на собственика на устройството, може да опита да я възстанови, използвайки стандартните методи за възстановяване на пароли за подобни акаунти.

Ако устройството не е свързано с интернет по време на разследването (например, SIM-картата е блокирана или по нея нямате достатъчно средства), то такова устройство може да се свърже с Wi-Fi по следната инструкция:

кликнете върху иконката "Спешно обаждане"
наберете *#*#7378423#*#*
изберете Service Test — Wlan
осъществете връзка с наличната Wi-Fi мрежа [5]

Препоръка за защита: не забравяйте да използвате двуфакторна автентикация навсякъде, където е възможно, и в този случай — по-добре с приложение, отколкото с код по SMS.

Метод 19: гост акаунт

На мобилни устройства с операционна система Android 5 и по-нова може да има няколко акаунта. За достъп до данни от допълнителен акаунт може да няма блокиране с PIN-код или графичен код. За превключване трябва да кликнете върху иконката на акаунта в горния десен ъгъл и да изберете друг акаунт:

За допълнителния акаунт достъпът до някои данни или приложения може да бъде ограничен.

Препоръка за защита: Тук е важно да се обновява ОС. В съвременните версии на Android (9 и по-високи с корекции за сигурност от юли 2020 г.) акаунтът за гости обикновено не предоставя никакви възможности.

Метод 20: специализирани услуги

Компании, които разработват специализирани криминалистически програми, предлагат услуги за отключване на мобилни устройства и извличане на данни от тях [20, 21]. Възможностите на подобни услуги са просто фантастични. С тях може да се отключат топ модели на Android и iOS устройства, както и устройства, които са в режим на възстановяване (в който устройството преминава след превишаване на броя опити за неправилен въвеждане на паролата). Недостатък на този метод е високата цена.

Фрагмент от уеб страница на компанията Cellebrite, където е описано от какви устройства могат да извлекат данни. Устройството може да бъде отключено в лабораторията на разработчика (Cellebrite Advanced Service (CAS)) [20]:

За подобна услуга устройството трябва да бъде предоставено в регионалния (или главния) офис на компанията. Възможно е специалист да излезе до клиента. Обикновено хакването на кода за заключване на екрана отнема един ден.

Препоръка за защита: практически е невъзможно да се защити, освен ако не се използва устойчив алфавитно-цифров парола и ежегодна смяна на устройствата.

P.S. За тези случаи, инструменти и много други полезни трикове в работата на компютърния криминалист експертите от Лабораторията Group-IB разказват в рамките на обучителния курс Digital Forensics Analyst. След завършване на 5-дневен или разширен 7-дневен курс, завършилите ще могат по-ефективно да провеждат криминалистични изследвания и да предотвратяват киберинциденти в своите организации.

P.P.S. Вълнуващ Telegram канал на Group-IB за информационна сигурност, хакери, APT, кибератаки, мошеници и пирати. Разследвания стъпка по стъпка, практически случаи с приложение на технологии на Group-IB и съвети как да не станете жертва. Присъединете се!

Източници