🥇Zugangsbereich: 30 Methoden, um jedes Smartphone zu entsperren. Teil 1

In ihrer Arbeit sehen sich Computerkriminalisten regelmäßig Fällen gegenüber, in denen sie Smartphones schnell entsperren müssen. Beispielsweise sind Daten vom Telefon für die Ermittlungen wichtig, um die Gründe für den Suizid eines Jugendlichen zu verstehen. In einem anderen Fall helfen sie, eine kriminelle Gruppe zu verfolgen, die Lkw-Fahrer angreift. Natürlich gibt es auch erfreuliche Geschichten – Eltern vergessen das Passwort des Geräts, auf dem ein Video von den ersten Schritten ihres Kindes gespeichert ist, aber solche Fälle sind leider rar. Dennoch erfordern auch solche Situationen einen professionellen Ansatz. In diesem Artikel Igor Mikhailov, Spezialist im Bereich Computerkriminalistik bei Group-IB, erläutert Methoden, die es Kriminalexperten ermöglichen, die Sperrung eines Smartphones zu umgehen.

Wichtig: Dieser Artikel dient der Bewertung der Sicherheit von Passwörtern und grafischen Mustern, die von Nutzern mobiler Geräte verwendet werden. Wenn Sie sich entscheiden, Ihr mobiles Gerät mit den beschriebenen Methoden zu entsperren, denken Sie daran, dass alle Handlungen zum Entsperren auf eigenes Risiko erfolgen. Bei der Manipulation an mobilen Geräten können Sie das Gerät sperren, Benutzerdaten löschen oder das Gerät unbrauchbar machen. Außerdem werden Empfehlungen gegeben, wie Nutzer den Schutz ihrer Geräte erhöhen können.

Eine der häufigsten Methoden, um den Zugriff auf die Benutzerdaten eines Geräts einzuschränken, ist die Bildschirmsperre des Mobilgeräts. Wenn ein solches Gerät in ein forensisches Labor gelangt, wird die Arbeit daran erschwert, da der USB-Debugging-Modus (für Android-Geräte) nicht aktiviert werden kann und die Berechtigung für die Interaktion des Expertensystems mit dem Gerät (für Apple-Mobilgeräte) nicht bestätigt werden kann. Folglich ist der Zugriff auf die im Gerätespeicher befindlichen Daten unmöglich.

Dass die Bildschirmsperre eines Mobilgeräts das Datenextrahieren durch Fachleute behindert, zeigt die Tatsache, dass das FBI der USA eine erhebliche Summe für die Entsperrung des iPhones des Terroristen Syed Farook, eines der Teilnehmer des Terroranschlags in der kalifornischen Stadt San Bernardino, bezahlt hat [1].

Methoden zur Entsperrung des Bildschirms von Mobilgeräten

In der Regel werden folgende Methoden zur Bildschirmsperre eines Mobilgeräts verwendet:

Symbol-PIN
Grafische PIN

Für das Entsperren des Bildschirms verschiedener Mobilgeräte können auch Methoden der SmartBlock-Technologie verwendet werden:

Fingerabdruckerkennung
Gesichtserkennung (FaceID-Technologie)
Iris-Erkennung für die Gerätesperre

Soziale Methoden zur Entsperrung von Mobilgeräten

Neben rein technischen Ansätzen gibt es auch andere Möglichkeiten, einen PIN-Code oder eine grafische Sperrmuster zu knacken. In bestimmten Fällen können soziale Methoden effektiver sein als technische Lösungen und helfen, Geräte zu entsperren, bei denen bestehende technische Entwicklungen versagen.

In diesem Abschnitt werden die Methoden zur Entsperrung des Bildschirms eines Mobilgeräts beschrieben, die keine oder nur begrenzt technische Mittel erfordern.
Um soziale Angriffe durchzuführen, ist es wichtig, die Psychologie des Besitzers des gesperrten Geräts so tief wie möglich zu verstehen und herauszufinden, nach welchen Prinzipien er Passwörter oder grafische Muster generiert und speichert. Der Forscher benötigt auch einen Hauch von Glück.

Bei der Nutzung von Passwort-Wiederherstellungsmethoden ist Folgendes zu beachten:

Beim Eingeben von zehn falschen Passwörtern auf Mobilgeräten von Apple können die Nutzerdaten gelöscht werden. Dies hängt von den Sicherheits-einstellungen ab, die der Nutzer festgelegt hat;
Auf Mobilgeräten mit dem Betriebssystem Android kann die Root of Trust-Technologie verwendet werden, die dazu führt, dass nach der Eingabe von 30 falschen Passwörtern die Nutzerdaten entweder unzugänglich oder gelöscht sind.

Methode 1: Frag nach dem Passwort

Es mag seltsam erscheinen, aber das Entsperr-Passwort kann einfach erfragt werden, indem man den Besitzer des Geräts direkt anspricht. Statistiken zeigen, dass etwa 70 % der Mobilgerätebesitzer bereitwillig ihr Passwort mitteilen. Besonders, wenn dies die Untersuchung verkürzt und der Besitzer sein Gerät schneller zurückbekommt. Sollte es nicht möglich sein, das Passwort vom Besitzer zu erfragen (zum Beispiel, wenn der Besitzer verstorben ist) oder dieser sich weigert, es preiszugeben – kann das Passwort auch von nahen Verwandten erfragt werden. Verwandte kennen in der Regel das Passwort oder können mögliche Alternativen vorschlagen.

Sicherheitshinweis: Das Passwort Ihres Telefons ist der universelle Schlüssel zu allen Daten, einschließlich Zahlungsinformationen. Es ist eine schlechte Idee, es zu sagen, weiterzugeben oder in Messengern zu schreiben.

Methode 2: Passwort ablesen

Das Passwort kann abgelesen werden, während der Besitzer das Gerät benutzt. Selbst wenn Sie sich nur einen Teil des Passworts (symbolisch oder grafisch) merken, verringert dies die Anzahl möglicher Kombinationen erheblich, was das Knacken erleichtert.

Eine Variante dieser Methode ist die Nutzung von Aufzeichnungen von Überwachungskameras, die den Eigentümer zeigen, der das Gerät mit einem grafischen Passwort entsperrt. Der in der Studie "Cracking Android Pattern Lock in Five Attempts" beschriebene Algorithmus ermöglicht es, durch die Analyse von Videoaufzeichnungen Annahmen über mögliche grafische Passwörter zu treffen und das Gerät in wenigen Versuchen zu entsperren (in der Regel sind dafür nicht mehr als fünf Versuche nötig). Laut den Autoren gilt: "Je komplizierter das grafische Passwort, desto einfacher ist es, es zu knacken."

Sicherheitshinweis: Die Verwendung eines grafischen Schlüssels ist keine gute Idee. Ein alphanumerisches Passwort ist sehr schwierig abzulesen.

Methode 3: Finde das Passwort

Das Passwort kann in den Aufzeichnungen des Gerätebesitzers gefunden werden (Dateien auf dem Computer, im Notizbuch, auf Zettelchen, die in Dokumenten liegen). Wenn jemand mehrere verschiedene mobile Geräte nutzt und dafür unterschiedliche Passwörter hat, findet man manchmal in den Batterie compartimenten dieser Geräte oder im Zwischenraum zwischen dem Gehäuse des Smartphones und der Hülle kleine Zettel mit aufgeschriebenen Passwörtern:

Sicherheitshinweis: Man sollte kein „Notizbuch“ mit Passwörtern führen. Das ist eine schlechte Idee, es sei denn, all diese Passwörter sind absichtlich falsch, um die Anzahl der Entsperrversuche zu reduzieren.

Methode 4: Fingerabdrücke (Smudge-Angriff)

Diese Methode ermöglicht es, die fettigen Fingerabdrücke auf dem Bildschirm des Geräts sichtbar zu machen. Man kann sie erkennen, indem man den Bildschirm mit einem hellen Fingerabdruckpulver bearbeitet (anstatt eines speziellen kriminaltechnischen Pulvers kann man auch Babypuder oder ein anderes chemisch inaktives, feinkörniges Pulver in Weiß oder Hellgrau verwenden) oder indem man den Bildschirm des Geräts in schräg einfallendem Licht betrachtet. Durch die Analyse der Anordnung der Fingerabdrücke und mit zusätzlichen Informationen über den Besitzer des Geräts (beispielsweise durch das Wissen um sein Geburtsjahr) kann versucht werden, ein textuelles oder grafisches Passwort zu erraten. So sieht die fettige Schicht auf dem Smartphone-Bildschirm in Form eines stilisierten Buchstabens Z aus:

Sicherheitshinweis: Wie bereits erwähnt, ist ein grafisches Passwort keine gute Idee, ebenso wie Bildschirme mit schlechten oleophoben Beschichtungen.

Methode 5: künstlicher Finger

Wenn das Gerät durch einen Fingerabdruck entsperrt werden kann und der Forscher Proben der Fingerabdrücke des Besitzers hat, kann mit einem 3D-Drucker eine dreidimensionale Kopie des Fingerabdrucks des Besitzers hergestellt und verwendet werden, um das Gerät zu entsperren [3]:

Um eine realistischere Nachbildung eines lebenden menschlichen Fingers zu erreichen – beispielsweise wenn der Fingerabdrucksensor des Smartphones noch die Körperwärme erkennt – wird das 3D-Modell an den Finger einer lebenden Person gehalten.

Der Gerätebesitzer kann, selbst wenn er das Entsperrpasswort vergessen hat, das Gerät mit seinem Fingerabdruck entsperren. Dies kann in bestimmten Fällen nützlich sein, wenn der Besitzer das Passwort nicht mitteilen kann, aber bereit ist, dem Forscher zu helfen, sein Gerät zu entsperren.

Der Forscher sollte die verschiedenen Generationen von Sensoren berücksichtigen, die in verschiedenen Modellen mobiler Geräte verwendet werden. Ältere Sensormodelle können bereits bei minimalem Kontakt mit jedem Finger reagieren, nicht nur dem des Gerätebesitzers. Moderne Ultraschallsensoren hingegen scannen sehr tief und präzise. Zudem sind einige der aktuellen unter dem Bildschirm befindlichen Sensoren einfach CMOS-Kameras, die keine Tiefeninformationen scannen können, wodurch sie erheblich leichter zu täuschen sind.

Sicherheitshinweis: Wenn Fingerabdrücke verwendet werden, dann nur mit einem Ultraschallsensor. Denken Sie jedoch daran, dass es viel einfacher ist, einen Finger ohne Ihre Zustimmung zu verwenden als Ihr Gesicht.

Methode 6: „Ruck“ (Mug attack)

Diese Methode wurde von britischen Polizisten [4] beschrieben. Sie besteht darin, einen Verdächtigen heimlich zu überwachen. In dem Moment, in dem der Verdächtige sein Telefon entsperrt, reißt ein Zivilbeamter es aus den Händen des Besitzers und verhindert, dass das Gerät erneut gesperrt wird, bis es von Experten untersucht wird.

Sicherheitshinweis: Ich denke, wenn solche Maßnahmen gegen Sie ergriffen werden, ist die Lage ernst. Aber man muss auch verstehen, dass eine zufällige Sperrung diese Methode entwertet. Zum Beispiel aktiviert mehrmaliges Drücken der Sperrtaste auf dem iPhone den SOS-Modus, der zusätzlich FaceID deaktiviert und eine Passwortabfrage verlangt.

Methode 7: Fehler in der Geräteverwaltungssoftware

In den Nachrichtenfeeds relevanter Ressourcen sieht man häufig Meldungen über die Entsperrung des Geräteschirms durch bestimmte Aktionen. Beispielsweise kann der Sperrbildschirm mehrerer Geräte bei einem eingehenden Anruf entsperrt werden. Der Nachteil dieser Methode besteht darin, dass die entdeckten Schwachstellen in der Regel schnell von den Herstellern behoben werden.

Ein Beispiel für den Ansatz zur Entsperrung von Mobilgeräten, die vor 2016 hergestellt wurden, ist das Entladen des Akkus. Bei niedrigem Ladezustand entsperrt sich das Gerät und bietet an, die Energieeinstellungen zu ändern. Dabei muss schnell zu den Sicherheitseinstellungen navigiert und die Bildschirmblockierung deaktiviert werden [5].

Sicherheitshinweis: Vergessen Sie nicht, das Betriebssystem Ihres Geräts rechtzeitig zu aktualisieren, und falls es nicht mehr unterstützt wird, sollten Sie das Smartphone wechseln.

Methode 8: Schwachstellen in Drittanbietersoftware

Schwachstellen, die in der auf dem Gerät installierten Drittanbietersoftware erkannt werden, können ebenfalls vollständigen oder teilweisen Zugriff auf die Daten des gesperrten Gerätes gewähren.

Ein Beispiel für eine solche Schwachstelle ist der Datenraub von Jeff Bezos, dem Hauptanteilseigner von Amazon. Eine Sicherheitslücke in der Messaging-App WhatsApp, ausgenutzt von Unbekannten, führte zum Diebstahl vertraulicher Daten, die sich im Speicher des Geräts befanden [6].

Solche Schwachstellen können von Forschern genutzt werden, um ihre Ziele zu erreichen – Daten von gesperrten Geräten zu extrahieren oder diese zu entsperren.

Sicherheitshinweis: Es ist notwendig, nicht nur das Betriebssystem, sondern auch die Anwendungen, die Sie verwenden, zu aktualisieren.

Methode 9: Unternehmenshandy

Unternehmensmobile können von den Systemadministratoren der Firmen entsperrt werden. Beispielsweise werden Unternehmensgeräte mit Windows Phone an das Microsoft Exchange-Konto des Unternehmens gebunden und können von dessen Administratoren entsperrt werden. Für Unternehmensgeräte von Apple gibt es den Mobile Device Management-Service, der dem Microsoft Exchange ähnelt. Auch dessen Administratoren können Unternehmens-iOS-Geräte entsperren. Darüber hinaus können Unternehmensmobile nur mit bestimmten Computern verbunden werden, die der Administrator in den Einstellungen des mobilen Geräts festgelegt hat. Daher ist es ohne die Zusammenarbeit mit den Systemadministratoren des Unternehmens nicht möglich, ein solches Gerät an den Computer eines Forschers (oder an eine Hardware-Software-Kombination für die forensische Datenextraktion) anzuschließen.

Sicherheitshinweis: MDM ist sowohl ein Fluch als auch ein Segen, wenn es um den Schutz geht. Ein MDM-Administrator kann das Gerät jederzeit aus der Ferne zurücksetzen. In jedem Fall sollten keine sensiblen persönlichen Daten auf einem Unternehmensgerät gespeichert werden.

Methode 10: Informationen von Sensoren

Durch die Analyse von Informationen, die von den Sensoren des Geräts gesammelt werden, lässt sich ein Passwort mithilfe eines speziellen Algorithmus ermitteln. Adam J. Aviv hat die Möglichkeit solcher Angriffe demonstriert, indem er Daten verwendet hat, die vom Beschleunigungssensor eines Smartphones gewonnen wurden. In seinen Forschungsarbeiten gelang es dem Wissenschaftler, das alphanumerische Passwort in 43 % der Fälle und das grafische Passwort in 73 % der Fälle korrekt zu identifizieren [7].

Sicherheitshinweis: Achten Sie genau darauf, welchen Anwendungen Sie die Berechtigung zur Nutzung verschiedener Sensoren erteilen.

Methode 11: Gesichtserkennung zur Entsperrung

Wie bei einem Fingerabdruck hängt der Erfolg des Entsperrens eines Geräts mit FaceID-Technologie davon ab, welche Sensoren und welche mathematischen Algorithmen in dem jeweiligen Mobilgerät verwendet werden. In der Arbeit „Gezichtsherkenning op smartphone niet altijd veilig“ [8] zeigten Forscher, dass einige der getesteten Smartphones sich lediglich durch das Vorzeigen eines Fotos des Eigentümers an der Smartphone-Kamera entsperren ließen. Dies ist möglich, wenn nur eine Frontkamera verwendet wird, die nicht über die Fähigkeit verfügt, Tiefendaten des Bildes zu scannen. Nach einer Reihe von aufsehenerregenden Veröffentlichungen und Videos auf YouTube sah sich Samsung gezwungen, eine Warnung in die Firmware seiner Smartphones einzufügen. Face Unlock Samsung:

Fortgeschrittene Smartphone-Modelle lassen sich mit einer Maske oder durch maschinelles Lernen entsperren. Zum Beispiel verwendet das iPhone X eine spezielle TrueDepth-Technologie [9]: Der Projektor des Geräts projiziert mit zwei Kameras und einem Infrarot-Strahler ein Netz von über 30.000 Punkten auf das Gesicht des Besitzers. Ein solches Gerät kann auch mit einer Maske entsperrt werden, deren Konturen die des Gesichts des Besitzers imitieren. Entsperrmaske für das iPhone [10]:

Da ein solches System sehr komplex ist und nicht unter idealen Bedingungen funktioniert (natürliche Alterung des Besitzers, Veränderungen der Gesichtsform durch emotionale Ausdrücke, Müdigkeit, Gesundheitszustände usw.), muss es sich ständig selbst anpassen. Wenn also eine andere Person das entsperrte Gerät vor sich hält, wird ihr Gesicht als das des Gerätesitzers gespeichert, und sie kann später das Smartphone mit der FaceID-Technologie entsperren.

Sicherheitshinweis: Verwenden Sie keine Entsperrung durch "Fotos" — nur Systeme mit vollständigen Gesichtsscannern (wie FaceID von Apple und ähnliche auf Android-Geräten).

Die wichtigste Empfehlung ist, nicht in die Kamera zu schauen, sondern den Blick abzuwenden. Selbst das Schließen eines Auges verringert die Chance auf eine Entsperrung erheblich, ebenso wie das Vorhandensein von Händen im Gesicht. Außerdem hat man beim Entsperren per Gesichtserkennung (FaceID) nur 5 Versuche, danach ist die Eingabe eines Codes erforderlich.

Methode 12: Nutzung von Datenlecks

Datenbanken mit geleakten Passwörtern sind eine hervorragende Möglichkeit, die Psychologie des Gerätebesitzers zu verstehen (vorausgesetzt, der Forscher hat Informationen über die E-Mail-Adressen des Geräteeigentümers). Im genannten Beispiel brachte die Suche nach einer E-Mail-Adresse zwei ähnliche Passwörter zu Tage, die der Besitzer verwendet hat. Man könnte vermuten, dass das Passwort 21454162 oder dessen Ableitungen (z. B. 2145 oder 4162) als Entsperrcode für das Mobilgerät verwendet werden könnten. (Die Suche nach der E-Mail-Adresse des Besitzers in Datenbanken zu Leaks zeigt, welche Passwörter der Besitzer möglicherweise verwendet hat, einschließlich der Entsperrung seines Mobilgeräts).

Sicherheitshinweis: Handeln Sie präventiv, überwachen Sie Informationen über Leaks und ändern Sie rechtzeitig Passwörter, die in Leaks aufgefallen sind!

Methode 13: Standard-Passwörter für Gerätesperren

In der Regel werden mehrere mobile Geräte von einem Besitzer sichergestellt, häufig kommen dabei bis zu zehn Geräte zusammen. Dabei kann das Passwort für ein anfälliges Gerät gefunden und auf andere Smartphones und Tablets, die demselben Besitzer entnommen wurden, angewendet werden.

Bei der Analyse von Daten, die aus mobilen Geräten extrahiert wurden, werden diese Daten in forensischen Programmen angezeigt (dies geschieht oft sogar mit Daten von gesperrten Geräten durch verschiedene Arten von Schwachstellen).

Wie auf dem Screenshot des Arbeitsfensters des Programms UFED Physical Analyzer zu sehen ist, wurde das Gerät mit einem eher ungewöhnlichen PIN-Code fgkl gesperrt.

Man sollte auch andere Geräte des Nutzers nicht ignorieren. Beispielsweise lässt sich durch die Analyse von Passwörtern, die im Cache des Webbrowsers des Besitzers des mobilen Geräts gespeichert sind, nachvollziehen, nach welchen Prinzipien die Passwörter generiert wurden. Die gespeicherten Passwörter auf dem Computer können mit Hilfe des NirSoft-Tools [11] eingesehen werden.

Auf dem Computer (Laptop) des Besitzers des mobilen Geräts könnten Lockdown-Dateien vorhanden sein, die helfen können, das gesperrte mobile Gerät von Apple zuzugreifen. Diese Methode wird später näher erläutert.

Sicherheitshinweis: Verwenden Sie überall verschiedene, einzigartige Passwörter.

Methode 14: Standard-PIN-Codes

Wie bereits erwähnt, verwenden Benutzer häufig Standard-Passwörter: Telefonnummern, Bankkarten, PIN-Codes. Solche Informationen können verwendet werden, um das bereitgestellte Gerät zu entsperren.

Wenn nichts hilft – kann folgende Information nützlich sein: Forscher haben eine Analyse durchgeführt und die beliebtesten PIN-Codes gefunden (die aufgeführten PIN-Codes decken 26,83 % aller Passwörter ab) [12]:

PIN
Häufigkeit, %

1234
10,713

1111
6,016

0000
1,881

1212
1,197

7777
0,745

1004
0,616

2000
0,613

4444
0,526

2222
0,516

6969
0,512

9999
0,451

3333
0,419

5555
0,395

6666
0,391

1122
0,366

1313
0,304

8888
0,303

4321
0,293

2001
0,290

1010
0,285

Die Anwendung dieser Liste von PIN-Codes auf einem gesperrten Gerät ermöglicht es, es mit einer Wahrscheinlichkeit von ~26 % zu entsperren.

Sicherheitshinweis: Überprüfen Sie Ihren PIN-Code anhand der obigen Tabelle, und selbst wenn er nicht übereinstimmt, ändern Sie ihn trotzdem, denn 4 Ziffern sind für das Jahr 2020 einfach zu wenig.

Methode 15: Standard-Grafik-Passwörter

Wie bereits erwähnt, können basierend auf den Daten von Überwachungskameras, auf denen der Eigentümer des Geräts versucht, es zu entsperren, Entsperrmuster aus fünf Versuchen abgeleitet werden. Darüber hinaus gibt es, genau wie bei typischen PIN-Codes, auch Standardmuster, die verwendet werden können, um gesperrte mobile Geräte zu entsperren [13, 14].

Einfache Muster [14]:

Muster mit mittlerem Schwierigkeitsgrad [14]:

Komplexe Muster [14]:

Liste der beliebtesten grafischen Muster laut dem Forscher Jeremy Kirby [15].
3>2>5>8>7
1>4>5>6>9
1>4>7>8>9
3>2>1>4>5>6>9>8>7
1>4>7>8>9>6>3
1>2>3>5>7>8>9
3>5>6>8
1>5>4>2
2>6>5>3
4>8>7>5
5>9>8>6
7>4>1>2>3>5>9
1>4>7>5>3>6>9
1>2>3>5>7
3>2>1>4>7>8>9
3>2>1>4>7>8>9>6>5
3>2>1>5>9>8>7
1>4>7>5>9>6>3
7>4>1>5>9>6>3
3>6>9>5>1>4>7
7>4>1>5>3>6>9
5>6>3>2>1>4>7>8>9
5>8>9>6>3>2>1>4>7
7>4>1>2>3>6>9
1>4>8>6>3
1>5>4>6
2>4>1>5
7>4>1>2>3>6>5

Auf einigen Mobilgeräten kann zusätzlich zum grafischen Code ein PIN-Code festgelegt werden. In diesem Fall kann der Benutzer auf die Schaltfläche klicken, wenn der grafische Code nicht erfolgreich eingegeben wurde. Zusätzlicher PIN-Code (zusätzlicher PIN-Code) nach der Eingabe eines falschen grafischen Codes und versuchen, den zusätzlichen PIN-Code zu ermitteln.

Sicherheitshinweis: Es ist besser, grafische Schlüssel ganz zu vermeiden.

Methode 16: alphanumerische Passwörter

Wenn auf dem Gerät ein alphanumerisches Passwort verwendet werden kann, hätte der Eigentümer folgende gängige Passwörter als Sperrcode verwenden können [16]:

123456
password
123456789
12345678
12345
111111
1234567
sonnenschein
qwerty
ichliebedich
prinzessin
admin
Willkommen
666666
abc123
fußball
123123
affe
654321
!@#$%^&*
charlie
aa123456
donald
passwort1
qwerty123

Sicherheitshinweis: verwenden Sie nur komplexe, einzigartige Passwörter mit Sonderzeichen und unterschiedlichen Groß- und Kleinschreibungen. Überprüfen Sie, ob Sie eines der oben aufgeführten Passwörter verwenden. Wenn ja, ändern Sie es in ein sichereres.

Methode 17: Cloud- oder lokale Speicher

Wenn es technische Schwierigkeiten gibt, um Daten von einem gesperrten Gerät zu extrahieren, können Ermittler nach Sicherungskopien auf den Computern des Gerätebesitzers oder in den entsprechenden Cloud-Speichern suchen.

Oft sind sich Besitzer von Apple-Smartphones nicht bewusst, dass beim Anschluss an ihre Computer möglicherweise eine lokale oder Cloud-Sicherung des Geräts erstellt wird.

In den Cloud-Speichern von Google und Apple können nicht nur Gerätdaten, sondern auch die vom Gerät gespeicherten Passwörter gesichert werden. Das Extrahieren dieser Passwörter kann bei der Aufdeckung des Entsperrcodes des Mobilgeräts helfen.

Aus dem in iCloud gespeicherten Keychain kann das vom Besitzer festgelegte Passwort für die Gerätesicherung extrahiert werden, das mit hoher Wahrscheinlichkeit mit der PIN des Bildschirmsperrcodes übereinstimmt.

Wenn die Strafverfolgungsbehörden sich an Google und Apple wenden, können die Unternehmen die vorhandenen Daten übermitteln, was wahrscheinlich die Notwendigkeit der Entsperrung des Geräts erheblich verringert, da die Daten bereits bei den Ermittlern vorliegen.

Beispielsweise wurden nach dem terroristischen Anschlag in Pensacola die in iCloud gespeicherten Datenkopien an das FBI übermittelt. Aus einer Erklärung von Apple:

„Innerhalb weniger Stunden nach der ersten Anfrage des FBI am 6. Dezember 2019 haben wir eine Vielzahl von Informationen im Zusammenhang mit der Untersuchung bereitgestellt. Vom 7. bis 14. Dezember erhielten wir sechs weitere rechtliche Anfragen und haben daraufhin Informationen bereitgestellt, darunter iCloud-Backups, Kontoinformationen und Transaktionsdaten für mehrere Konten.
Wir haben auf jede Anfrage umgehend reagiert, oft innerhalb weniger Stunden, und Informationen mit den Büros des FBI in Jacksonville, Pensacola und New York ausgetauscht. Für die Ermittlungen wurden viele Gigabyte an Informationen gesammelt, die wir den Ermittlern übermittelt haben“. [17, 18, 19]

Sicherheitshinweis: Alles, was Sie unverschlüsselt in die Cloud geben, kann und wird gegen Sie verwendet werden.

Methode 18: Google-Konto

Diese Methode eignet sich zur Entfernung eines grafischen Passworts, das den Bildschirm eines mobilen Geräts mit Android-Betriebssystem blockiert. Um diese Methode verwenden zu können, müssen Sie den Benutzernamen und das Passwort des Google-Kontos des Gerätebesitzers kennen. Eine weitere Voraussetzung ist, dass das Gerät mit dem Internet verbunden sein muss.

Wenn Sie mehrmals hintereinander das falsche grafische Passwort eingeben, bietet das Gerät an, das Passwort zurückzusetzen. Danach müssen Sie sich mit dem Benutzerkonto anmelden, was zur Entsperrung des Bildschirms des Geräts führt [5].

Aufgrund der Vielfalt an Hardwarelösungen, Android-Betriebssystemen und zusätzlichen Sicherheitsmaßnahmen ist diese Methode nur für eine Reihe von Geräten anwendbar.

Wenn der Forscher kein Passwort für das Google-Konto des Gerätebesitzers hat, kann er versuchen, das Passwort mit den Standard-Wiederherstellungsmethoden für solche Konten zurückzusetzen.

Wenn das Gerät zum Zeitpunkt der Untersuchung nicht mit dem Internet verbunden ist (zum Beispiel, wenn die SIM-Karte gesperrt ist oder nicht genügend Guthaben hat), kann dieses Gerät über Wi-Fi mit folgender Anleitung verbunden werden:

das Symbol "Notruf" antippen
*#*#7378423#*#* eingeben
Service Test — Wlan auswählen
Eine Verbindung mit einem verfügbaren Wi-Fi-Netzwerk [5] herstellen

Sicherheitshinweis: Vergessen Sie nicht, überall, wo es möglich ist, die Zwei-Faktor-Authentifizierung zu verwenden, und in diesem Fall ist es besser, sie an die App und nicht an einen Code per SMS zu koppeln.

Methode 19: Gästeaccount

Auf mobilen Geräten mit Android-Betriebssystem 5 und höher können mehrere Konten vorhanden sein. Für den Zugriff auf die Daten eines zusätzlichen Kontos kann die PIN-Code- oder Muster-Code-Sperre fehlen. Um zu wechseln, klicken Sie auf das Kontosymbol in der oberen rechten Ecke und wählen Sie ein anderes Konto:

Für das zusätzliche Konto kann der Zugriff auf bestimmte Daten oder Anwendungen eingeschränkt sein.

Sicherheitshinweis: Hier ist es wichtig, das Betriebssystem zu aktualisieren. In modernen Android-Versionen (9 und höher mit Sicherheits-Patches von Juli 2020) bietet das Gastkonto in der Regel keine Funktionen.

Methode 20: spezialisierte Dienste

Unternehmen, die spezialisierte forensische Software entwickeln, bieten unter anderem Dienstleistungen zur Entsperrung von Mobilgeräten und zur Datenextraktion an [20, 21]. Die Möglichkeiten dieser Dienste sind einfach fantastisch. Sie können Top-Modelle von Android- und iOS-Geräten entsperren sowie Geräte im Wiederherstellungsmodus (in den ein Gerät wechselt, nachdem die Anzahl der falschen Passworteingaben überschritten wurde). Ein Nachteil dieser Methode ist die hohe Kosten.

Ausschnitt der Webseite des Unternehmens Cellebrite, auf der beschrieben wird, von welchen Geräten sie Daten extrahieren können. Das Gerät kann im Labor des Entwicklers entsperrt werden (Cellebrite Advanced Service (CAS)) [20]:

Für einen solchen Dienst muss das Gerät im regionalen (oder Haupt-) Büro des Unternehmens abgegeben werden. Es ist auch möglich, dass ein Techniker zum Kunden kommt. In der Regel dauert das Knacken des Bildschirmcodes einen Tag.

Sicherheitshinweis: Es ist praktisch unmöglich, sich zu schützen, außer durch die Verwendung eines starken alphanumerischen Passworts und den jährlichen Austausch von Geräten.

P.S. In diesen Fallstudien, Werkzeugen und vielen weiteren nützlichen Tipps für die Arbeit eines Computerkriminalisten sprechen die Experten des Labors Group-IB im Rahmen eines Schulungskurses. Digital Forensics Analyst. Nach dem Abschluss des 5-tägigen oder erweiterten 7-tägigen Kurses werden die Absolventen in der Lage sein, kriminalistische Untersuchungen effektiver durchzuführen und Cybervorfälle in ihren Organisationen zu verhindern.

P.P.S. Spannend Telegram-Kanal von Group-IB über Informationssicherheit, Hacker, APT, Cyberangriffe, Betrüger und Piraten. Schritt-für-Schritt-Ermittlungen, praktische Fallstudien mit den Technologien von Group-IB und Empfehlungen, wie man kein Opfer wird. Schließen Sie sich an!

Quellen