Im Februar haben wir den Artikel „Nicht nur VPN – ein Leitfaden, wie man sich selbst und seine Daten sichern kann“ veröffentlicht. hat uns dazu angeregt, eine Fortsetzung des Artikels zu schreiben. Dieser Teil ist eine durchaus autonome Informationsquelle, dennoch empfehlen wir, sich mit beiden Beiträgen vertraut zu machen.
Der neue Beitrag beschäftigt sich mit der Sicherheit von Daten (Nachrichten, Fotos, Videos, all das) in Messengern und den Geräten, die für die Nutzung der Anwendungen verwendet werden.
Messenger
Telegram
Bereits im Oktober 2018 gelang es dem ersten Jahrgangsstudenten Nathaniel Sachi am Wake Technical College, herauszufinden, dass der Messenger Telegram Nachrichten und Mediendateien unverschlüsselt auf der Festplatte des Computers speichert.
Der Student konnte auf seinen eigenen Nachrichtenverlauf zugreifen, einschließlich Texten und Bildern. Dazu untersuchte er die Datenbanken der Anwendung, die auf der HDD gespeichert sind. Es stellte sich heraus, dass die Daten schwer lesbar, jedoch nicht verschlüsselt sind. Und der Zugriff auf diese Daten ist auch dann möglich, wenn der Benutzer ein Passwort für die Anwendung festgelegt hat.
In den erhaltenen Daten wurden Namen und Telefonnummern der Gesprächspartner gefunden, die bei Bedarf zugeordnet werden können. Informationen aus geschlossenen Chats werden ebenfalls unverschlüsselt gespeichert.
Später erklärte Durov, dass dies kein Problem sei, denn wenn ein Angreifer Zugriff auf den Benutzer-PC hat, kann er die Verschlüsselungsschlüssel erhalten und die gesamte Kommunikation problemlos entschlüsseln. Aber viele Experten für Informationssicherheit behaupten, dass das dennoch ernst ist.
Außerdem ist Telegram anfällig für Schlüssel-Diebstahlangriffe, was der Nutzer von Habra. Lokale Passwortcodes jeglicher Länge und Komplexität können geknackt werden.
Soweit bekannt, speichert dieser Messenger ebenfalls Daten unverschlüsselt auf der Festplatte des Computers. Folglich sind alle Daten auch dann offen, wenn ein Angreifer Zugriff auf das Benutzergerät hat.
Aber es gibt ein noch größeres Problem. Alle Backups von WhatsApp, das auf Geräten mit Android OS installiert ist, werden derzeit in Google Drive gespeichert, worüber Google und Facebook sich im letzten Jahr geeinigt haben. Die Backups von Nachrichten, Mediendateien und ähnlichem . Soweit man urteilen kann, haben Mitarbeiter der Sicherheitsbehörden in den USA , daher besteht die Möglichkeit, dass Sicherheitskräfte auf alle gespeicherten Daten zugreifen können.
Daten können verschlüsselt werden, aber beide Unternehmen tun dies nicht. Möglicherweise einfach, weil unverschlüsselte Backups problemlos von den Nutzern selbst übertragen und verwendet werden können. Wahrscheinlich gibt es keine Verschlüsselung nicht, weil es technisch schwierig zu realisieren ist: Im Gegenteil, Backups können ohne großen Aufwand geschützt werden. Das Problem ist, dass Google seine eigenen Gründe hat, mit WhatsApp zusammenzuarbeiten — das Unternehmen vermutet, und nutzt sie zur Anzeige personalisierter Werbung. Wenn Facebook plötzlich die Verschlüsselung für WhatsApp-Backups einführen würde, würde Google sofort das Interesse an einer solchen Partnerschaft verlieren und damit eine wertvolle Datenquelle über die Vorlieben der WhatsApp-Nutzer. Das ist natürlich nur eine Annahme, aber im hi-tech Marketing sehr wahrscheinlich.
Was WhatsApp für iOS betrifft, so werden Backups in die iCloud gespeichert. Aber auch hier werden die Informationen unverschlüsselt gespeichert, was sogar in den Einstellungen der Anwendung angegeben wird. Ob Apple diese Daten analysiert oder nicht, weiß nur das Unternehmen selbst. Allerdings hat Cupertino kein Werbenetzwerk wie Google, sodass wir annehmen können, dass die Wahrscheinlichkeit, dass sie persönliche Daten von WhatsApp-Nutzern analysieren, erheblich geringer ist.
Alles Gesagte lässt sich folgendermaßen zusammenfassen — ja, auf Ihre WhatsApp-Nachrichten haben nicht nur Sie Zugriff.
TikTok und andere Messenger
Dieser Kurzvideo-Dienst konnte sehr schnell populär werden. Die Entwickler versprachen, die vollständige Sicherheit der Daten ihrer Nutzer zu gewährleisten. Wie sich herausstellte, verwendete der Dienst diese Daten jedoch ohne Benachrichtigung der Nutzer. Schlimmer noch: Der Dienst sammelte persönliche Daten von Kindern unter 13 Jahren ohne Zustimmung der Eltern. Persönliche Informationen von Minderjährigen — Namen, E-Mail, Telefonnummern, Fotos und Videos — wurden öffentlich zugänglich.
Dienst mehreren Millionen Dollar bestraft, die Regulierungsbehörden forderten zudem die Löschung aller Videos, die von Kindern unter 13 Jahren aufgenommen wurden. TikTok kam dieser Aufforderung nach. Dennoch nutzen auch andere Messenger und Dienste persönliche Daten der Nutzer für ihre eigenen Zwecke, sodass man sich nicht sicher sein kann, dass sie sicher sind.
Diese Liste könnte endlos fortgesetzt werden — die meisten Messenger haben eine Art von Schwachstelle, die es Angreifern ermöglicht, die Nutzer abzuhören ( — Viber, obwohl dort alles anscheinend in Ordnung gebracht wurde) oder um deren Daten zu stehlen. Außerdem speichern praktisch alle Anwendungen aus den Top 5 Benutzerdaten ungesichert auf der Festplatte des Computers oder im Speicher des Telefons. Und das, ganz zu schweigen von den Geheimdiensten verschiedener Länder, die möglicherweise aufgrund der Gesetzgebung Zugang zu Benutzerdaten haben. Dasselbe gilt für Skype, ВКонтакте, TamTam und andere, die alle Informationen über jeden Benutzer auf Anfrage der Behörden (z. B. der RF) bereitstellen.
Gute Sicherheit auf Protokollebene? Kein Problem, wir hacken das Gerät.
Vor einigen Jahren zwischen Apple und der US-Regierung. Das Unternehmen weigerte sich, ein verschlüsseltes Smartphone zu entschlüsseln, das im Zusammenhang mit einem Terroranschlag in San Bernardino stand. Damals schien das ein echtes Problem zu sein: Die Daten waren gut geschützt, und es war entweder unmöglich oder sehr schwierig, das Smartphone zu knacken.
Heute sieht die Lage anders aus. Beispielsweise verkauft das israelische Unternehmen Cellebrite rechtlichen Personen in Russland und anderen Ländern ein Software-Hardware-System, das es ermöglicht, alle Modelle von iPhone und Android zu hacken. Im letzten Jahr wurde mit relativ detaillierten Informationen zu diesem Thema.
Der Ermittler für Kriminaltechniken in Magadan, Popov, hackt ein Smartphone mit der gleichen Technologie, die auch das Bundesamt für Untersuchungen der USA verwendet. Quelle: BBC
Das Gerät kostet staatlich gesehen nicht viel. Für UFED Touch2 hat die Wolgograder Verwaltung des SKR 800.000 Rubel bezahlt, die Verwaltung in Chabarowsk 1,2 Millionen Rubel. 2017 bestätigte Alexander Bastrykin, der Chef des Ermittlungsamtes der RF, dass sein Amt des israelischen Unternehmens verwendet.
Ebenfalls „Sberbank“ kauft solche Geräte — allerdings nicht für Ermittlungen, sondern zur Bekämpfung von Viren auf Geräten mit Android-Betriebssystem. „Bei Verdacht auf eine Infektion von Mobilgeräten mit unbekanntem schädlichem Programmcode und nach Erhalt der erforderlichen Zustimmung der Eigentümer der betroffenen Telefone wird eine Analyse zur Auffindung ständig auftretender und sich verändernder neuer Viren mit verschiedenen Werkzeugen, einschließlich der Nutzung von UFED Touch2, durchgeführt, — so das Unternehmen.
Auch Amerikaner haben Technologien, die es ihnen ermöglichen, beliebige Smartphones zu hacken. Das Unternehmen Grayshift verspricht, 300 Smartphones für 15.000 US-Dollar zu hacken (das sind 50 Dollar pro Einheit im Vergleich zu 1500 bei Cellbrite).
Es ist durchaus wahrscheinlich, dass ähnliche Geräte auch bei Cyberkriminellen vorhanden sind. Diese Geräte werden ständig verbessert – die Größe wird verringert, die Leistung erhöht.
Aktuell sprechen wir von mehr oder weniger bekannten Telefonen großer Hersteller, die sich um den Datenschutz ihrer Nutzer sorgen. Bei weniger großen Unternehmen oder No-Name-Organisationen hingegen können Daten problemlos abgerufen werden. Der HS-USB-Modus funktioniert sogar in Fällen, in denen der Bootloader gesperrt ist. Servicemodi sind in der Regel ‚Hintertüren‘, über die Daten extrahiert werden können. Andernfalls kann man sich an den JTAG-Anschluss anschließen oder sogar den eMMC-Chip entnehmen und ihn dann in einen günstigen Adapter einsetzen. Wenn die Daten nicht verschlüsselt sind, können aus dem Telefon einschließlich Authentifizierungstoken, die Zugang zu Cloud-Speichern und anderen Diensten gewähren.
Wenn jemand persönlichen Zugang zu einem Smartphone mit wichtigen Informationen hat, kann es leicht gehackt werden, egal was die Hersteller sagen.
Es ist klar, dass all dies nicht nur Smartphones betrifft, sondern auch Computer und Laptops mit verschiedenen Betriebssystemen. Wenn man nicht auf fortschrittliche Sicherheitsmaßnahmen zurückgreift und sich mit herkömmlichen Methoden wie Benutzername und Passwort begnügt, bleiben die Daten in Gefahr. Ein erfahrener Hacker kann bei physischem Zugang zu einem Gerät nahezu jede Information abrufen – es ist nur eine Frage der Zeit.
Was ist also zu tun?
Auf Habr haben wir das Thema Datensicherheit auf persönlichen Geräten schon mehrfach angesprochen, deshalb wollen wir kein Rad neu erfinden. Wir nennen nur die grundlegenden Methoden, die die Wahrscheinlichkeit verringern, dass Dritte auf Ihre Daten zugreifen:
- Verwenden Sie unbedingt Datenverschlüsselung sowohl auf dem Smartphone als auch auf dem PC. Verschiedene Betriebssysteme bieten oft ganz gute Standardlösungen. Beispiel – eines Kryptovoltarius in Mac OS mit den eingebauten Mitteln.
- Setzen Sie überall Passwörter, auch in der Verlaufsansicht von Telegram und anderen Messengern. Natürlich sollten die Passwörter kompliziert sein.
- Zwei-Faktor-Authentifizierung – ja, das kann unbequem sein, aber wenn die Sicherheit an erster Stelle steht, muss man sich damit abfinden.
- Die physische Sicherheit seiner Geräte kontrollieren. Den Firmen-PC ins Café mitnehmen und dort vergessen? Klassisch. Die Sicherheitsrichtlinien, einschließlich der Unternehmensrichtlinien, sind mit den Tränen der Opfer eigener Unvorsichtigkeit geschrieben.
Lassen Sie uns in den Kommentaren Ihre Methoden besprechen, die die Wahrscheinlichkeit eines Datenlecks verringern, wenn unbefugte Personen Zugriff auf das physische Gerät erhalten. Die vorgeschlagenen Methoden werden wir dann in den Artikel einfügen oder auf unserem , wo wir regelmäßig über Sicherheit schreiben und Lifehacks zur Nutzung und der Zensur im Internet.
Quelle: habr.com
