En febrero publicamos el artículo “No solo VPN. Una hoja de trucos sobre cómo protegerse a usted mismo y a sus datos”. nos impulsó a escribir una continuación del artículo. Esta parte es una fuente de información completamente independiente, pero aun así te recomendamos que leas ambas publicaciones.
Un nuevo post está dedicado al tema de la seguridad de los datos (correspondencia, fotos, vídeos, eso es todo) en la mensajería instantánea y en los propios dispositivos que se utilizan para trabajar con aplicaciones.
Mensajeros instantaneos
Telegram
En octubre de 2018, Nathaniel Sachi, estudiante de primer año de Wake Technical College, descubrió que el mensajero Telegram guarda mensajes y archivos multimedia en la unidad de la computadora local en texto sin cifrar.
El estudiante pudo acceder a su propia correspondencia, incluidos textos e imágenes. Para ello, estudió las bases de datos de aplicaciones almacenadas en el disco duro. Resultó que los datos eran difíciles de leer, pero no estaban cifrados. Y se puede acceder a ellos incluso si el usuario ha establecido una contraseña para la aplicación.
En los datos recibidos se encontraron los nombres y números de teléfono de los interlocutores, los cuales, si se desea, se pueden comparar. La información de los chats cerrados también se almacena en un formato claro.
Durov afirmó más tarde que esto no es un problema, porque si un atacante tiene acceso a la PC del usuario, podrá obtener claves de cifrado y descifrar toda la correspondencia sin ningún problema. Pero muchos expertos en seguridad de la información sostienen que esto sigue siendo grave.
Además, Telegram resultó ser vulnerable a un ataque de robo de claves, que Usuario Habr. Puede piratear contraseñas de código local de cualquier longitud y complejidad.
Hasta donde sabemos, este mensajero también almacena datos en el disco de la computadora sin cifrar. En consecuencia, si un atacante tiene acceso al dispositivo del usuario, todos los datos también estarán abiertos.
Pero hay un problema más global. Actualmente, todas las copias de seguridad de WhatsApp instaladas en dispositivos con sistema operativo Android se almacenan en Google Drive, como acordaron Google y Facebook el año pasado. Pero las copias de seguridad de correspondencia, archivos multimedia y similares . Hasta donde se puede juzgar, los agentes del orden de los mismos Estados Unidos , por lo que existe la posibilidad de que las fuerzas de seguridad puedan ver los datos almacenados.
Es posible cifrar datos, pero ambas empresas no lo hacen. Quizás simplemente porque los propios usuarios pueden transferir y utilizar fácilmente las copias de seguridad no cifradas. Lo más probable es que no exista cifrado no porque sea técnicamente difícil de implementar: al contrario, puedes proteger las copias de seguridad sin ninguna dificultad. El problema es que Google tiene sus propios motivos para trabajar con WhatsApp: presumiblemente la empresa y los utiliza para mostrar publicidad personalizada. Si Facebook introdujera repentinamente el cifrado para las copias de seguridad de WhatsApp, Google perdería instantáneamente interés en dicha asociación, perdiendo una valiosa fuente de datos sobre las preferencias de los usuarios de WhatsApp. Esto, por supuesto, es sólo una suposición, pero muy probable en el mundo del marketing de alta tecnología.
En cuanto a WhatsApp para iOS, las copias de seguridad se guardan en la nube de iCloud. Pero aquí también la información se almacena sin cifrar, lo que se indica incluso en la configuración de la aplicación. Si Apple analiza o no estos datos sólo lo sabe la propia corporación. Es cierto que Cupertino no tiene una red publicitaria como la de Google, por lo que podemos suponer que la probabilidad de que analicen los datos personales de los usuarios de WhatsApp es mucho menor.
Todo lo dicho se puede formular de la siguiente manera: sí, no solo usted tiene acceso a su correspondencia de WhatsApp.
TikTok y otros mensajeros
Este servicio para compartir vídeos cortos podría volverse popular muy rápidamente. Los desarrolladores prometieron garantizar la seguridad total de los datos de sus usuarios. Al final resultó que, el propio servicio utilizó estos datos sin notificar a los usuarios. Peor aún: el servicio recopiló datos personales de niños menores de 13 años sin el consentimiento de sus padres. La información personal de menores (nombres, correos electrónicos, números de teléfono, fotografías y vídeos) se puso a disposición del público.
Servicio Por varios millones de dólares, los reguladores también exigieron la eliminación de todos los vídeos realizados por niños menores de 13 años. TikTok cumplió. Sin embargo, otros mensajeros y servicios utilizan los datos personales de los usuarios para sus propios fines, por lo que no puedes estar seguro de su seguridad.
Esta lista puede continuar infinitamente: la mayoría de los programas de mensajería instantánea tienen una u otra vulnerabilidad que permite a los atacantes espiar a los usuarios ( — Viber, aunque ahí parece que ya se ha solucionado todo) o robar sus datos. Además, casi todas las aplicaciones del top 5 almacenan los datos del usuario de forma no protegida en el disco duro del ordenador o en la memoria del teléfono. Y esto sin olvidar a los servicios de inteligencia de varios países, que pueden tener acceso a los datos de los usuarios gracias a la legislación. Los mismos Skype, VKontakte, TamTam y otros brindan cualquier información sobre cualquier usuario a solicitud de las autoridades (por ejemplo, la Federación de Rusia).
¿Buena seguridad a nivel de protocolo? No hay problema, rompemos el dispositivo.
Algo volar de regreso entre Apple y el gobierno de EE.UU. La corporación se negó a desbloquear un teléfono inteligente encriptado que estuvo involucrado en los ataques terroristas en la ciudad de San Bernardino. En aquel momento esto parecía un verdadero problema: los datos estaban bien protegidos y hackear un smartphone era imposible o muy difícil.
Ahora las cosas son diferentes. Por ejemplo, la empresa israelí Cellebrite vende a personas jurídicas de Rusia y otros países un sistema de software y hardware que permite piratear todos los modelos de iPhone y Android. El año pasado hubo con información relativamente detallada sobre este tema.
El investigador forense de Magadan, Popov, piratea un teléfono inteligente utilizando la misma tecnología utilizada por la Oficina Federal de Investigaciones de Estados Unidos. Fuente: BBC
El dispositivo es económico según los estándares gubernamentales. Por UFED Touch2, el departamento de Volgogrado del Comité de Investigación pagó 800 mil rublos, el departamento de Khabarovsk, 1,2 millones de rublos. En 2017, Alexander Bastrykin, jefe del Comité de Investigación de la Federación de Rusia, confirmó que su departamento Compañía israelí.
Sberbank también compra estos dispositivos, aunque no para realizar investigaciones, sino para combatir virus en dispositivos con sistema operativo Android. “Si se sospecha que los dispositivos móviles están infectados con un código de software malicioso desconocido, y después de obtener el consentimiento obligatorio de los propietarios de los teléfonos infectados, se llevará a cabo un análisis para buscar nuevos virus que aparecen y cambian constantemente utilizando diversas herramientas, incluido el uso de UFED Touch2”, - en compañía.
Los estadounidenses también cuentan con tecnologías que les permiten hackear cualquier teléfono inteligente. Grayshift promete piratear 300 teléfonos inteligentes por 15 dólares (50 dólares por unidad frente a 1500 dólares de Cellbrite).
Es probable que los ciberdelincuentes también dispongan de dispositivos similares. Estos dispositivos se mejoran constantemente: su tamaño disminuye y su rendimiento aumenta.
Ahora hablamos de teléfonos más o menos conocidos de grandes fabricantes que se preocupan por proteger los datos de sus usuarios. Si hablamos de empresas más pequeñas u organizaciones sin nombre, en este caso los datos se eliminan sin problemas. El modo HS-USB funciona incluso cuando el gestor de arranque está bloqueado. Los modos de servicio suelen ser una "puerta trasera" a través de la cual se pueden recuperar datos. De lo contrario, puede conectarse al puerto JTAG o quitar el chip eMMC por completo y luego insertarlo en un adaptador económico. Si los datos no están cifrados, desde el teléfono todo en general, incluidos los tokens de autenticación que brindan acceso al almacenamiento en la nube y otros servicios.
Si alguien tiene acceso personal a un teléfono inteligente con información importante, puede piratearlo si quiere, sin importar lo que digan los fabricantes.
Está claro que todo lo dicho se aplica no sólo a los teléfonos inteligentes, sino también a las computadoras y portátiles con varios sistemas operativos. Si no recurre a medidas de protección avanzadas, sino que se contenta con métodos convencionales como una contraseña y un inicio de sesión, los datos seguirán en peligro. Un hacker experimentado con acceso físico al dispositivo podrá obtener casi cualquier información; es sólo cuestión de tiempo.
Entonces que hacer?
En Habré, la cuestión de la seguridad de los datos en los dispositivos personales se ha planteado más de una vez, por lo que no volveremos a reinventar la rueda. Únicamente te indicaremos los principales métodos que reducen la probabilidad de que terceros obtengan tus datos:
- Es obligatorio utilizar el cifrado de datos tanto en su teléfono inteligente como en su PC. Los diferentes sistemas operativos suelen ofrecer buenas funciones predeterminadas. Ejemplo - contenedor criptográfico en Mac OS usando herramientas estándar.
- Configure contraseñas en cualquier lugar y en todas partes, incluido el historial de correspondencia en Telegram y otros mensajeros instantáneos. Naturalmente, las contraseñas deben ser complejas.
- Autenticación de dos factores: sí, puede resultar un inconveniente, pero si la seguridad es lo primero, hay que aguantarlo.
- Supervise la seguridad física de sus dispositivos. ¿Llevar una PC corporativa a una cafetería y olvidarla allí? Clásico. Las normas de seguridad, incluidas las corporativas, se redactaron con lágrimas de víctimas de su propio descuido.
Veamos en los comentarios sus métodos para reducir la probabilidad de piratería de datos cuando un tercero obtiene acceso a un dispositivo físico. Luego agregaremos los métodos propuestos al artículo o los publicaremos en nuestro , donde escribimos regularmente sobre seguridad, trucos para usar y censura en Internet.
Fuente: habr.com