🥇Zugangszone: 30 Methoden, um jedes Smartphone zu entsperren. Teil 1

In ihrer Arbeit stehen Computerkriminalisten regelmäßig vor Herausforderungen, wenn es darum geht, ein Smartphone schnell zu entsperren. Beispielsweise werden Daten aus einem Telefon benötigt, um die Gründe für den Suizid eines Jugendlichen zu verstehen. In einem anderen Fall helfen sie, eine kriminelle Gruppe zu identifizieren, die Lkw-Fahrer angreift. Es gibt natürlich auch nette Geschichten – Eltern haben das Passwort für ihr Gerät vergessen, und darauf sind Videos von den ersten Schritten ihres Babys, aber solche Fälle sind leider selten. Dennoch erfordern auch sie einen professionellen Ansatz. In diesem Artikel Igor Michailow, Spezialist im Labor für Computerkriminalistik von Group-IB, berichtet über Methoden, die es Kriminalisten ermöglichen, die Blockierung eines Smartphones zu umgehen.

Wichtig: Dieser Artikel ist zur Bewertung der Sicherheit von Passwörtern und grafischen Mustern, die von Besitzern mobiler Geräte verwendet werden, geschrieben. Wenn Sie entscheiden, ein mobiles Gerät mit den beschriebenen Methoden zu entsperren, denken Sie daran, dass Sie alle Aktionen zum Entsperren auf eigene Gefahr vornehmen. Bei der Manipulation mit mobilen Geräten können Sie das Gerät sperren, Benutzerdaten löschen oder das Gerät in einen defekten Zustand versetzen. Zudem werden Empfehlungen für Benutzer gegeben, wie sie die Sicherheit ihrer Geräte erhöhen können.

Der am häufigsten verwendete Methoden zur Einschränkung des Zugriffs auf persönliche Informationen, die auf dem Gerät gespeichert sind, ist die Bildschirmsperre des mobilen Geräts. Wenn ein solches Gerät in ein kriminaltechnisches Labor gelangt, gestaltet sich die Arbeit damit oft schwierig, da bei solchen Geräten der Debugging-Modus über USB (für Android-Geräte) nicht aktiviert werden kann, die Genehmigung zur Interaktion des Computers des Experten mit diesem Gerät (für Apple-Mobilgeräte) nicht bestätigt werden kann, und folglich kein Zugriff auf die Daten im Gerätespeicher möglich ist.

Wie sehr die einfache Bildschirmsperre eines mobilen Geräts die Extraktion von Daten durch Fachleute behindert, zeigt die Tatsache, dass das FBI in den USA eine hohe Summe für die Entsperrung des iPhones des Terroristen Syed Farook, eines der Teilnehmer des Anschlags in Kalifornien, bezahlte [1].

Methoden zur Entsperrung des Bildschirms eines mobilen Geräts

In der Regel wird zur Sperrung des Bildschirms eines mobilen Geräts verwendet:

Alphanumerisches Passwort
Grafisches Passwort

Auch zur Entsperrung des Bildschirms einer Reihe von mobilen Geräten können die Methoden der SmartBlock-Technologie verwendet werden:

Entsperrung durch Fingerabdruckerkennung
Entsperrung durch Gesichtserkennung (FaceID-Technologie)
Entsperrung des Geräts durch Iriserkennung

Soziale Entsperrungsmethoden für mobile Geräte

Neben rein technischen Möglichkeiten gibt es auch andere Wege, um den PIN-Code oder das grafische Entsperrmuster zu erfahren oder zu umgehen. In bestimmten Fällen können soziale Methoden effektiver sein als technische Lösungen und helfen, Geräte zu entsperren, bei denen bestehende technische Entwicklungen versagen.

In diesem Abschnitt werden Methoden zur Entsperrung des Bildschirms eines mobilen Geräts beschrieben, die keine (oder nur begrenzt, teilweise) technischen Mittel erfordern.
Um soziale Angriffe durchzuführen, muss man die Psychologie des Besitzers des gesperrten Geräts möglichst tiefgehend verstehen und wissen, nach welchen Prinzipien er Passwörter oder grafische Muster generiert und speichert. Auch ein wenig Glück wird dem Forscher helfen.

Bei der Anwendung von Methoden zur Passwortermittlung sollte berücksichtigt werden, dass:

bei der Eingabe von zehn falschen Passwörtern auf mobilen Geräten von Apple die Benutzerdaten gelöscht werden können. Dies hängt von den Sicherheitseinstellungen ab, die der Benutzer festgelegt hat;
auf mobilen Geräten mit dem Betriebssystem Android kann die Root of Trust-Technologie verwendet werden, die dazu führt, dass nach der Eingabe von 30 falschen Passwörtern die Benutzerdaten entweder unzugänglich oder gelöscht werden.

Methode 1: frage nach dem Passwort

Es mag seltsam erscheinen, aber das Entsperrpasswort kann man erfahren, indem man einfach den Besitzer des Geräts fragt. Statistiken zeigen, dass etwa 70 % der Besitzer von Mobilgeräten bereitwillig das Passwort mitteilen. Besonders wenn es die Untersuchungszeit verkürzt und der Besitzer sein Gerät schneller zurückbekommt. Wenn es keine Möglichkeit gibt, den Besitzer nach dem Passwort zu fragen (zum Beispiel, wenn der Besitzer verstorben ist) oder er sich weigert, es preiszugeben – kann das Passwort auch von nahen Verwandten erfahren werden. In der Regel wissen Verwandte das Passwort oder können mögliche Varianten nennen.

Empfehlung zum Schutz: Das Passwort für Ihr Telefon ist der universelle Schlüssel zu allen Daten, einschließlich Zahlungsdaten. Es ist eine schlechte Idee, es zu sagen, zu übermitteln oder in Messengern zu schreiben.

Methode 2: Spionieren Sie das Passwort aus

Das Passwort kann abgelesen werden, während der Besitzer das Gerät benutzt. Selbst wenn Sie sich das Passwort (symbolisch oder grafisch) nur teilweise merken – reduziert das erheblich die Anzahl der möglichen Varianten, was es erleichtert, es schneller zu erraten.

Eine Variante dieser Methode ist die Verwendung von Überwachungskameraaufnahmen, auf denen der Besitzer zu sehen ist, wie er das Gerät mit einem grafischen Passwort entsperrt [2]. Der in der Arbeit "Cracking Android Pattern Lock in Five Attempts" [2] beschriebene Algorithmus erlaubt es, durch die Analyse von Videoaufnahmen mögliche Varianten des grafischen Passworts zu erraten und das Gerät in wenigen Versuchen zu entsperren (in der Regel sind dafür nicht mehr als fünf Versuche nötig). Die Autoren behaupten: "Je komplexer das grafische Passwort, desto einfacher ist es zu knacken."

Empfehlung zum Schutz: Die Verwendung eines grafischen Schlüssels ist keine gute Idee. Ein alphanumerisches Passwort ist viel schwerer abzulesen.

Methode 3: Finden Sie das Passwort

Das Passwort kann in den Aufzeichnungen des Geräteste Besitzers gefunden werden (Dateien auf dem Computer, im Notizbuch, auf Papierfetzen, die in Dokumenten liegen). Wenn eine Person mehrere verschiedene Mobilgeräte verwendet und dafür unterschiedliche Passwörter hat, kann man manchmal im Batteriefach dieser Geräte oder im Spalt zwischen dem Gehäuse des Smartphones und der Schutzhülle Papierstücke mit aufgeschriebenen Passwörtern finden:

Empfehlung zum Schutz: Man sollte kein „Notizbuch“ mit Passwörtern führen. Das ist eine schlechte Idee, es sei denn, all diese Passwörter sind absichtlich falsch, um die Anzahl der Entsperrversuche zu reduzieren.

Methode 4: Fingerabdrücke (Smudge-Angriff)

Diese Methode ermöglicht es, die Haut- und Fettabdrücke der Hände auf dem Bildschirm des Geräts zu erkennen. Sie können sichtbar gemacht werden, indem man den Bildschirm mit einem hellen Fingerabdruckpulver behandelt (anstatt spezieller kriminaltechnischer Pulvers kann Babypuder oder ein anderer chemisch inaktiver, feinkörniger Puder in Weiß oder Hellgrau verwendet werden) oder den Bildschirm des Geräts unter schrägem Licht betrachtet. Durch die Analyse der Position der Handabdrücke und mit zusätzlichen Informationen über den Besitzer des Geräts (zum Beispiel das Geburtsjahr zu kennen), kann man versuchen, ein textuelles oder grafisches Passwort zu ermitteln. So sieht eine Hautfettablagerung auf dem Smartphone-Bildschirm in Form eines stilisierten Buchstabens Z aus:

Empfehlung zum Schutz: Wie bereits erwähnt, ist ein grafisches Passwort keine gute Idee, ebenso wie Displays mit einer schlechten oleophoben Beschichtung.

Methode 5: künstlicher Finger

Wenn das Gerät mit einem Fingerabdruck entsperrt werden kann und der Forscher Proben der Fingerabdrücke des Gerätebesitzers hat, kann mit einem 3D-Drucker eine dreidimensionale Kopie des Fingerabdrucks des Besitzers erstellt und zur Entsperrung des Geräts verwendet werden [3]:

Um einen Finger eines lebenden Menschen besser nachzuahmen — beispielsweise wenn der Fingerabdrucksensor des Smartphones noch Wärme erkennt — wird das 3D-Modell auf den Finger des lebenden Menschen aufgesetzt (angeschlossen).

Der Besitzer des Geräts kann selbst das Gerät entsperren, auch wenn er das Passwort für den Sperrbildschirm vergessen hat, indem er seinen Fingerabdruck verwendet. Dies kann in bestimmten Fällen nützlich sein, in denen der Besitzer das Passwort nicht mitteilen kann, aber dennoch bereit ist, dem Forscher beim Entsperren seines Geräts zu helfen.

Der Forscher sollte sich der Generationen von Sensoren bewusst sein, die in verschiedenen Modellen mobiler Geräte eingesetzt werden. Ältere Sensormodelle können praktisch bei Berührung eines beliebigen Fingers, nicht unbedingt des Besitzers, reagieren. Moderne Ultraschallsensoren scannen hingegen sehr tief und präzise. Zudem sind einige moderne unter dem Display befindliche Sensoren einfach CMOS-Kameras, die die Bildtiefe nicht scannen können, was es viel einfacher macht, sie zu überlisten.

Empfehlung zum Schutz: Wenn Finger, dann nur Ultraschallsensor. Aber vergessen Sie nicht, dass es viel einfacher ist, einen Finger gegen Ihren Willen anzulegen als das Gesicht.

Methode 6: „Ruck“ (Mug-Angriff)

Diese Methode wurde von britischen Polizisten beschrieben [4]. Sie besteht aus einer heimlichen Überwachung des Verdächtigen. In dem Moment, in dem der Verdächtige sein Telefon entsperrt, reißt der Zivilagent es ihm aus der Hand und lässt das Gerät nicht wieder sperren, bis es den Experten übergeben wird.

Empfehlung zum Schutz: Ich denke, wenn gegen Sie solche Maßnahmen ergriffen werden sollen, sieht es schlecht aus. Man muss jedoch verstehen, dass eine zufällige Sperrung diese Methode entwertet. Mehrfaches Drücken der Sperrtaste auf dem iPhone aktiviert beispielsweise den SOS-Modus, der zusätzlich FaceID deaktiviert und die Eingabe des Passworts verlangt.

Methode 7: Fehler in den Algorithmen zur Steuerung des Geräts

In den Nachrichten der Fachressourcen findet man oft Berichte darüber, dass bei bestimmten Aktionen mit dem Gerät der Bildschirm entsperrt wird. Zum Beispiel kann der Sperrbildschirm einiger Geräte bei einem eingehenden Anruf entsperrt werden. Der Nachteil dieser Methode ist, dass entdeckte Sicherheitslücken in der Regel schnell von den Herstellern behoben werden.

Ein Beispiel für einen Ansatz zur Entsperrung mobiler Geräte, die vor 2016 hergestellt wurden, ist das Entladen des Akkus. Bei niedrigem Ladezustand wird das Gerät entsperrt und schlägt vor, die Energieeinstellungen zu ändern. Dabei muss man schnell zur Seite mit den Sicherheitseinstellungen wechseln und die Bildschirmsperre deaktivieren [5].

Empfehlung zum Schutz: Vergessen Sie nicht, das Betriebssystem Ihres Geräts rechtzeitig zu aktualisieren, und wenn es nicht mehr unterstützt wird, wechseln Sie das Smartphone.

Methode 8: Sicherheitsanfälligkeiten in Drittanbieter-Programmen

Sicherheitsanfälligkeiten in den auf dem Gerät installierten Drittanbieter-Programmen können ebenfalls vollständigen oder teilweisen Zugriff auf die Daten des gesperrten Geräts gewähren.

Ein Beispiel für eine solche Sicherheitsanfälligkeit ist der Datenraub von Jeff Bezos‘ iPhone, dem Hauptinhaber von Amazon. Eine Sicherheitsanfälligkeit im Messenger WhatsApp, die von Unbekannten ausgenutzt wurde, führte zum Diebstahl vertraulicher Daten, die im Speicher des Geräts waren [6].

Ähnliche Sicherheitsanfälligkeiten können von Forschern genutzt werden, um ihre Ziele zu erreichen – Daten aus gesperrten Geräten zu extrahieren oder sie zu entsperren.

Empfehlung zum Schutz: Es ist notwendig, nicht nur das Betriebssystem, sondern auch die Anwendungen, die Sie verwenden, zu aktualisieren.

Methode 9: Unternehmenstelefon

Unternehmensmobile Geräte können von den Systemadministratoren der Unternehmen entsperrt werden. So werden beispielsweise Unternehmensgeräte mit Windows Phone an das Microsoft Exchange-Konto des Unternehmens gebunden und können von seinen Administratoren entsperrt werden. Für die Unternehmensgeräte von Apple gibt es einen Mobile Device Management-Dienst, der mit Microsoft Exchange vergleichbar ist. Auch deren Administratoren können das Unternehmens-iOS-Gerät entsperren. Darüber hinaus können Unternehmensmobile Geräte nur mit bestimmten Computern verbunden werden, die der Administrator in den Einstellungen des mobilen Gerätes angegeben hat. Daher ist es ohne Interaktion mit den Systemadministratoren des Unternehmens unmöglich, ein solches Gerät mit dem Computer des Ermittlers (oder dem Software-Hardware-Komplex zur forensischen Datenextraktion) zu verbinden.

Empfehlung zum Schutz: MDM ist sowohl gut als auch schlecht in Bezug auf den Schutz. Der MDM-Administrator kann das Gerät jederzeit aus der Ferne zurücksetzen. In jedem Fall sollte man keine sensiblen persönlichen Daten auf einem Unternehmensgerät speichern.

Methode 10: Informationen von Sensoren

Durch die Analyse der Informationen, die von den Sensoren des Gerätes empfangen werden, kann ein Passwort für das Gerät mit einem speziellen Algorithmus ermittelt werden. Adam J. Aviv demonstrierte die Möglichkeit solcher Angriffe, indem er Daten verwendete, die vom Beschleunigungsmesser des Smartphones gewonnen wurden. In seinen Forschungen gelang es dem Wissenschaftler, das Zeichenpasswort in 43% der Fälle korrekt zu bestimmen, und das grafische Passwort in 73% [7].

Empfehlung zum Schutz: Achten Sie genau darauf, welchen Anwendungen Sie die Erlaubnis zur Verfolgung verschiedener Sensoren erteilen.

Methode 11: Gesichtserkennung zum Entsperren

Wie bei einem Fingerabdruck hängt der Erfolg der Entsperrung eines Geräts mit der FaceID-Technologie davon ab, welche Sensoren und welche mathematischen Algorithmen in einem bestimmten mobilen Gerät verwendet werden. In der Studie „Gezichtsidentifikation auf Smartphones nicht immer sicher“ [8] zeigten die Forscher, dass einige der getesteten Smartphones entsperrt werden konnten, indem einfach ein Foto des Besitzers vor die Smartphone-Kamera gehalten wurde. Dies ist möglich, wenn nur eine Frontkamera zur Entsperrung verwendet wird, die nicht in der Lage ist, Tiefendaten des Bildes zu scannen. Nach einer Reihe von Berichten und Videos auf YouTube sah sich Samsung gezwungen, eine Warnung in die Firmware seiner Smartphones einzufügen. Face Unlock Samsung:

Fortschrittlichere Smartphone-Modelle können durch die Verwendung einer Maske oder durch Selbstlernen des Geräts entsperrt werden. Zum Beispiel verwendet das iPhone X eine spezielle TrueDepth-Technologie [9]: Ein Projektor des Geräts projiziert mit zwei Kameras und einem Infrarotstrahler ein Netz von mehr als 30.000 Punkten auf das Gesicht des Besitzers. Solch ein Gerät kann mit einer Maske entsperrt werden, deren Konturen die Konturen des Gesichts des Besitzers imitieren. Maske zur Entsperrung des iPhones [10]:

Da ein solches System sehr komplex ist und nicht unter idealen Bedingungen funktioniert (es treten natürliche Alterungsprozesse des Besitzers auf, Veränderungen der Gesichtsconfig aufgrund von Emotionen, Müdigkeit, Gesundheitszustand usw.), muss es ständig selbstlernen. Wenn das entsperrte Gerät also von einer anderen Person gehalten wird, wird deren Gesicht als Gesicht des Besitzers des Geräts gespeichert, und in Zukunft kann diese Person das Smartphone mit der FaceID-Technologie entsperren.

Empfehlung zum Schutz: Verwenden Sie keine Entsperrung per „Foto“ — nur Systeme mit vollständigen Gesichtsscannern (FaceID bei Apple und entsprechende Varianten auf Android-Geräten).

Die Hauptempfehlung lautet: Schauen Sie nicht in die Kamera, es reicht aus, den Blick abzuwenden. Sogar wenn Sie ein Auge zusammenkneifen, sinkt die Wahrscheinlichkeit der Entsperrung stark, ebenso wie bei der Anwesenheit von Händen im Gesicht. Darüber hinaus stehen beim Entsperren per Gesicht (FaceID) nur 5 Versuche zur Verfügung, nach denen die Eingabe eines Passworts erforderlich ist.

Methode 12: Verwendung von Leaks

Datenbanken mit geleakten Passwörtern sind eine hervorragende Möglichkeit, die Psychologie des Gerätebesitzers zu verstehen (vorausgesetzt, der Forscher hat Informationen über die E-Mail-Adressen des Gerätebesitzers). Im obigen Beispiel hat die Suche nach der E-Mail-Adresse zwei ähnliche Passwörter hervorgebracht, die der Besitzer verwendet hat. Man kann annehmen, dass das Passwort 21454162 oder seine Ableitungen (zum Beispiel 2145 oder 4162) als Entsperrcode für das mobile Gerät genutzt worden sein könnten. (Die Suche nach der E-Mail-Adresse des Besitzers in Leak-Datenbanken zeigt, welche Passwörter der Besitzer möglicherweise verwendet hat, auch um sein mobiles Gerät zu sperren).

Empfehlung zum Schutz: Handeln Sie präventiv, überwachen Sie Daten zu Leaks und ändern Sie rechtzeitig die betroffenen Passwörter!

Methode 13: Standardpasswörter für die Gerätesperre

In der Regel werden dem Besitzer nicht nur ein, sondern mehrere mobile Geräte abgenommen. Oft kommen dabei etwa ein Dutzend solcher Geräte zusammen. In diesem Fall kann ein Passwort für ein verletzliches Gerät gefunden und versucht werden, es bei anderen Smartphones und Tablets des gleichen Besitzers anzuwenden.

Bei der Analyse von Daten, die aus mobilen Geräten extrahiert wurden, werden diese Daten in forensischen Programmen angezeigt (häufig sogar bei der Datenextraktion aus gesperrten Geräten unter Verwendung verschiedener Schwachstellen).

Wie auf dem Screenshot eines Teils des Arbeitsfensters des Programms UFED Physical Analyzer zu sehen ist, ist das Gerät mit einem recht ungewöhnlichen PIN-Code fgkl gesperrt.

Man sollte auch andere Geräte des Nutzers nicht vernachlässigen. Beispielsweise kann man die im Cache des Webbrowsers des Besitzers gespeicherten Passwörter analysieren, um die Prinzipien der Passwortgenerierung zu verstehen, an denen sich der Besitzer orientiert hat. Gespeicherte Passwörter auf dem Computer können mit einem Tool von NirSoft [11] eingesehen werden.

Außerdem könnten auf dem Computer (Laptop) des Besitzers des mobilen Geräts Lockdown-Dateien vorhanden sein, die dabei helfen können, Zugriff auf ein gesperrtes mobiles Gerät von Apple zu erhalten. Über diese Methode wird im Folgenden berichtet.

Empfehlung zum Schutz: Verwenden Sie überall unterschiedliche, einzigartige Passwörter.

Methode 14: Standard-PIN-Codes

Wie bereits erwähnt, verwenden Benutzer häufig Standardpasswörter: Telefonnummern, Bankkarten, PIN-Codes. Solche Informationen können verwendet werden, um das bereitgestellte Gerät zu entsperren.

Wenn nichts hilft, können Sie die folgenden Informationen nutzen: Forscher haben eine Analyse durchgeführt und die beliebtesten PIN-Codes gefunden (die angegebenen PIN-Codes decken 26,83 % aller Passwörter ab) [12]:

PIN
Häufigkeit, %

1234
10,713

1111
6,016

0000
1,881

1212
1,197

7777
0,745

1004
0,616

2000
0,613

4444
0,526

2222
0,516

6969
0,512

9999
0,451

3333
0,419

5555
0,395

6666
0,391

1122
0,366

1313
0,304

8888
0,303

4321
0,293

2001
0,290

1010
0,285

Die Anwendung dieser Liste von PIN-Codes auf ein gesperrtes Gerät ermöglicht es, es mit einer Wahrscheinlichkeit von ~26 % zu entsperren.

Empfehlung zum Schutz: Überprüfen Sie Ihren PIN-Code anhand der obigen Tabelle, und selbst wenn er nicht übereinstimmt, ändern Sie ihn trotzdem, da 4 Ziffern für das Jahr 2020 viel zu wenig sind.

Methode 15: Standardgrafik-Passwörter

Wie oben beschrieben, ist es mit Hilfe von Daten von Überwachungskameras, auf denen der Gerätebesitzer versucht, es zu entsperren, möglich, das Entsperrmuster aus fünf Versuchen abzuleiten. Darüber hinaus gibt es, genau wie Standard-PIN-Codes, auch Standardmuster, die verwendet werden können, um gesperrte Mobilgeräte zu entsperren [13, 14].

Einfache Muster [14]:

Muster mittlerer Komplexität [14]:

Komplexe Muster [14]:

Liste der beliebtesten grafischen Muster laut dem Forscher Jeremy Kirby [15].
3>2>5>8>7
1>4>5>6>9
1>4>7>8>9
3>2>1>4>5>6>9>8>7
1>4>7>8>9>6>3
1>2>3>5>7>8>9
3>5>6>8
1>5>4>2
2>6>5>3
4>8>7>5
5>9>8>6
7>4>1>2>3>5>9
1>4>7>5>3>6>9
1>2>3>5>7
3>2>1>4>7>8>9
3>2>1>4>7>8>9>6>5
3>2>1>5>9>8>7
1>4>7>5>9>6>3
7>4>1>5>9>6>3
3>6>9>5>1>4>7
7>4>1>5>3>6>9
5>6>3>2>1>4>7>8>9
5>8>9>6>3>2>1>4>7
7>4>1>2>3>6>9
1>4>8>6>3
1>5>4>6
2>4>1>5
7>4>1>2>3>6>5

Bei einigen Mobilgeräten kann neben dem grafischen Code auch ein zusätzlicher PIN-Code festgelegt sein. In diesem Fall, wenn der grafische Code nicht richtig erraten werden kann, kann der Forscher auf die Schaltfläche Zus.PIN-Code (zusätzlicher PIN-Code) klicken, nachdem ein falscher grafischer Code eingegeben wurde, und versuchen, den zusätzlichen PIN-Code zu erraten.

Empfehlung zum Schutz: Es ist besser, grafische Schlösser überhaupt nicht zu verwenden.

Methode 16: alphanumerische Passwörter

Wenn auf dem Gerät ein alphanumerisches Passwort verwendet werden kann, konnte der Besitzer als Entsperrcode die folgenden beliebten Passwörter [16] nutzen:

123456
passwort
123456789
12345678
12345
111111
1234567
sonnenschein
qwerty
ichliebedich
prinzessin
admin
Willkommen
666666
abc123
fußball
123123
affe
654321
!@#$%^&*
charlie
aa123456
donald
passwort1
qwerty123

Empfehlung zum Schutz: verwenden Sie nur komplexe, einzigartige Passwörter mit Sonderzeichen und unterschiedlichen Groß- und Kleinbuchstaben. Überprüfen Sie, ob Sie eines der oben genannten Passwörter verwenden. Wenn ja, ändern Sie es in ein sichereres Passwort.

Methode 17: Cloud- oder lokale Speicher

Wenn keine technische Möglichkeit besteht, Daten von einem gesperrten Gerät zu extrahieren, können Ermittler nach dessen Backups auf den Computern des Gerätebesitzers oder in entsprechenden Cloud-Speichern suchen.

Häufig sind sich Besitzer von Apple-Smartphones nicht bewusst, dass beim Anschließen an ihre Computer möglicherweise gerade ein lokales oder Cloud-Backup des Geräts erstellt wird.

In den Cloud-Speichern von Google und Apple können nicht nur Daten von Geräten gespeichert werden, sondern auch die vom Gerät gespeicherten Passwörter. Das Extrahieren dieser Passwörter kann bei der Entschlüsselung des Entsperrcodes des Mobilgeräts helfen.

Aus dem im iCloud gespeicherten Keychain kann das Passwort für das Backup des Geräts extrahiert werden, das vom Besitzer festgelegt wurde und mit hoher Wahrscheinlichkeit mit dem PIN-Code zum Entsperren des Bildschirms übereinstimmt.

Wenn die Strafverfolgungsbehörden sich an Google und Apple wenden, können die Unternehmen die vorhandenen Daten übermitteln, was wahrscheinlich die Notwendigkeit einer Entsperrung des Geräts stark verringert, da die Daten bereits bei den Strafverfolgern vorliegen.

Zum Beispiel wurden nach dem Terroranschlag in Pensacola die Datenkopien, die in iCloud gespeichert waren, dem FBI übermittelt. Aus einer Aussage von Apple:

„Innerhalb weniger Stunden nach der ersten Anfrage des FBI am 6. Dezember 2019 haben wir eine Vielzahl von Informationen im Zusammenhang mit der Untersuchung bereitgestellt. Vom 7. bis 14. Dezember erhielten wir sechs weitere rechtliche Anfragen und haben als Antwort Informationen bereitgestellt, darunter iCloud-Backups, Kontoinformationen und Transaktionen für mehrere Konten.
Wir haben auf jede Anfrage umgehend reagiert, oft innerhalb von wenigen Stunden, indem wir Informationen mit den Büros des FBI in Jacksonville, Pensacola und New York ausgetauscht haben. Auf Anfragen der Ermittler wurden viele Gigabyte an Informationen erhalten, die wir an die Ermittler weitergeleitet haben." [17, 18, 19]

Empfehlung zum Schutz: Alles, was Sie unverschlüsselt in die Cloud hochladen, kann gegen Sie verwendet werden.

Methode 18: Google-Konto

Diese Methode eignet sich zum Entfernen des grafischen Passworts, das den Bildschirm eines mobilen Geräts mit dem Android-Betriebssystem sperrt. Um diese Methode zu verwenden, müssen Sie den Benutzernamen und das Passwort des Google-Kontos des Gerätebesitzers kennen. Zweite Bedingung: Das Gerät muss mit dem Internet verbunden sein.

Bei mehrmaliger falscher Eingabe des grafischen Passworts wird das Gerät vorschlagen, das Passwort wiederherzustellen. Danach muss man sich im Benutzerkonto anmelden, was zur Entsperrung des Bildschirmes des Geräts führt [5].

Aufgrund der Vielfalt von Hardwarelösungen, Android-Betriebssystemen und zusätzlichen Sicherheitseinstellungen ist diese Methode nur für eine bestimmte Anzahl von Geräten anwendbar.

Wenn der Ermittler kein Passwort für das Google-Konto des Gerätebesitzers hat, kann man versuchen, es mit den Standardmethoden zur Passwortwiederherstellung für solche Konten wiederherzustellen.

Wenn das Gerät zum Zeitpunkt der Untersuchung nicht mit dem Internet verbunden ist (zum Beispiel, wenn die SIM-Karte gesperrt ist oder nicht genügend Guthaben hat), kann das Gerät über folgende Anleitung mit WLAN verbunden werden:

das Symbol "Notruf" drücken
die Nummer *#*#7378423#*#* eingeben
Service Test – Wlan auswählen
eine Verbindung mit einem verfügbaren WLAN-Netzwerk herstellen [5]

Empfehlung zum Schutz: Vergessen Sie nicht, überall dort, wo es möglich ist, die Zwei-Faktor-Authentifizierung zu verwenden, und in diesem Fall ist es besser, sich an eine App zu binden und nicht an einen SMS-Code.

Methode 19: Gastkonto

Auf mobilen Geräten mit Android-Betriebssystem 5 und höher kann es mehrere Konten geben. Der Zugriff auf die Daten eines zusätzlichen Kontos kann ohne PIN-Code oder grafischen Code möglich sein. Um zu wechseln, klicken Sie auf das Kontosymbol in der oberen rechten Ecke und wählen Sie ein anderes Konto aus:

Für das zusätzliche Konto kann der Zugriff auf einige Daten oder Anwendungen eingeschränkt sein.

Empfehlung zum Schutz: Es ist wichtig, das Betriebssystem zu aktualisieren. In den modernen Versionen von Android (9 und höher mit Sicherheitspatches vom Juli 2020) bietet das Gastkonto in der Regel keine Funktionen.

Methode 20: spezialisierte Dienste

Unternehmen, die spezialisierte forensische Software entwickeln, bieten unter anderem Dienstleistungen zum Entsperren von Mobilgeräten und zur Datenextraktion aus diesen an [20, 21]. Die Möglichkeiten solcher Dienste sind einfach fantastisch. Mit ihrer Hilfe können hochklassige Android- und iOS-Geräte sowie Geräte im Wiederherstellungsmodus entsperrt werden (in den Modus wechselt das Gerät, nachdem die Anzahl der falschen Passwortversuche überschritten wurde). Ein Nachteil dieser Methode ist die hohe Kosten.

Ausschnitt einer Webseite des Unternehmens Cellebrite, auf der beschrieben wird, aus welchen Geräten sie Daten extrahieren können. Das Gerät kann im Labor des Entwicklers (Cellebrite Advanced Service (CAS)) [20] entsperrt werden:

Für solche Dienstleistungen muss das Gerät an das regionale (oder Haupt-) Büro des Unternehmens geliefert werden. Ein Spezialist kann auch zum Kunden reisen. In der Regel dauert das Entsperren des Bildschirmcodes einen Tag.

Empfehlung zum Schutz: Es ist praktisch unmöglich, sich zu schützen, außer durch die Verwendung eines starken alphanumerischen Passworts und den jährlichen Austausch von Geräten.

P.S. Über diese Fälle, Werkzeuge und viele andere nützliche Tricks in der Arbeit eines Computer-Forensikers berichten die Experten des Labors Group-IB im Rahmen eines Schulungskurses Digital Forensics Analyst. Nach Abschluss eines 5-tägigen oder erweiterten 7-tägigen Kurses werden die Absolventen in der Lage sein, forensische Untersuchungen effektiver durchzuführen und Cybervorfälle in ihren Organisationen zu verhindern.

P.P.S. Spannende Neuigkeiten Telegram-Kanal Group-IB über Informationssicherheit, Hacker, APT, Cyberangriffe, Betrüger und Piraten. Schritt-für-Schritt-Untersuchungen, praktische Fälle mit Technologien von Group-IB und Empfehlungen, wie man kein Opfer wird. Schließen Sie sich an!

Quellen