Kui krüpteerimine ei aita: räägime füüsilisest juurdepääsust seadmele

Februaris avaldasime artikli "Ükski VPN ei piisa. Juhend, kuidas end ja oma andmeid kaitsta." Üks kommentaar pani meid kirjutama artikli jätkust. See osa on täiesti iseseisev teabeallikas, kuid soovitame siiski tutvuda mõlema postitusega.

Uus postitus käsitleb andmete kaitset (vestlused, fotod, videod, kõik see) sõnumirakendustes ja seadmetes, mida kasutatakse rakendustega töötamiseks.

Sõnumirakendused

Telegram

Juba 2018. aasta oktoobris suutis Wake Technical College'i esmakursuslane Nathaniel Sachi avastada, et sõnumirakendus Telegram salvestab sõnumid ja meediafailid kohaliku arvuti kettale avatud kujul.

Üliõpilane suutis pääseda oma vestlustele, sealhulgas tekstidele ja piltidele. Selleks uuris ta rakenduse andmebaase, mis olid salvestatud HDD-le. Selgus, et andmed on raskesti loetavad, kuid mitte krüpteeritud. Ligipääs nendele andmetele on võimalik isegi siis, kui kasutaja on rakendusele parooli seadnud.

Saadud andmetest leiti vestluspartnerite nimesid ja telefoninumbreid, mida on soovi korral võimalik seostada. Suletud vestlustest saadud teavet hoitakse samuti avatud kujul.

Hiljem teatas Durov, et see ei ole probleem, sest kui kurjategijal on juurdepääs kasutaja arvutile, saab ta krüpteerimisvõtmed ja saab kogu vestluse probleemideta dekrüpteerida. Kuid paljud infotehnoloogia spetsialistid väidavad, et see on siiski tõsine probleem.

Lisaks on Telegram haavatav võtmepüügi rünnaku suhtes, mis avastas kasutaja Habrast. Parooliga kohaliku koodi saab murda mis tahes pikkuse ja keerukusega.

WhatsApp

Nii palju kui teada, salvestab ka see sõnumirakendus andmeid arvuti kettale krüpteerimata kujul. Seega, kui kurjategijal on juurdepääs kasutaja seadmele, on kõik andmed samuti avatud.

Kuid on veelgi globaalne probleem. Praegu salvestatakse kõik WhatsApp'i varukoopiad, mis on seadmetes Android OS-is, Google Drive'i, milles Google ja Facebook eelmisel aastal kokkuleppele jõudsid. Kuid vestluste, meediafailide ja sarnaste varukoopiad on salvestatud krüpteerimata kujul. Tundub, et sama Ameerika õiguskaitseasutustel on juurdepääs Google Drive'ile, seega on tõenäosus, et õiguskaitseorganid saavad vaatama kõik salvestatud andmed.

Andmeid on võimalik krüpteerida, kuid kumbki ettevõte seda ei tee. Võib-olla lihtsalt seetõttu, et ilma krüptimiseta varukoopiaid saab probleemideta edastada ja kasutada ka kasutajad ise. Tõenäoliselt ei ole krüptimist mitte selle tõttu, et see on tehniliselt keeruline: vastupidi, varukoopiate kaitsmine on vaevata võimalik. Probleem on selles, et Google'il on oma põhjused töötada WhatsAppiga — ettevõte eeldatavasti analüüsib Google Drive'i serverites salvestatud andmeid ja kasutab neid personaliseeritud reklaamide kuvamiseks. Kui Facebook äkitselt rakendaks WhatsAppi varukoopiate puhul krüptimist, kaotaks Google sellises partnerluses kohe huvi, jäädes ilma väärtuslikust andmeallikast WhatsAppi kasutajate eelistuste kohta. See on muidugi vaid oletus, kuid väga tõenäoline hi-tech turunduse maailmas.

Mis puudutab WhatsAppi iOS-ile, siis varukoopiad salvestatakse iCloudi. Kuid ka siin hoitakse teavet krüptimata kujul, nagu on märgitud rakenduse seadetes. Kas Apple analüüsib neid andmeid või mitte, teab ainult ettevõte ise. Tõsi, Cupertino ettevõttel ei ole reklaamivõrku nagu Google'il, nii et saame oletada, et tõenäosus, et nad analüüsivad WhatsAppi kasutajate isikuandmeid, on märgatavalt madalam.

Kõike eelnevat saab kokku võtta järgmiselt — jah, teie WhatsAppi vestlusele on ligipääs mitte ainult teil.

TikTok ja teised sõnumitoojad

See lühivideote vahetamise teenus suutis kiiresti populaarsust koguda. Arendajad lubasid tagada oma kasutajate andmete täieliku turvalisuse. Nagu selgus, kasutas teenus neid andmeid kasutajaid teavitamata. Halvem veel: teenus kogus isikuandmeid lastelt, kes on alla 13 aasta vanused, ilma vanemate nõusolekuta. Alaealiste isikuandmed — nimed, e-kirjad, telefoninumbrid, fotod ja videod — olid avalikult kättesaadavad.

Teenuseid öeldi trahvida mitmete miljonite dollarite ulatuses, regulaatorid nõudsid ka, et eemaldataks kõik videod, mis on salvestatud laste poolt, kes on alla 13 aasta vanused. TikTok allus nõudmisele. Siiski, teised sõnumitoojad ja teenused kasutavad samuti kasutajate isikuandmeid oma eesmärkidel, nii et nende turvalisuses ei saa olla kindel.

Seda nimekirja võiks jätkata lõputult — enamikul sõnumitoojatest on mingid haavatavused, mis võimaldavad kurjategijatel kasutajaid pealt kuulata (suurepärane näide — Viber, kuigi seal tundub, et kõik on parandatud) või varastavad nende andmeid. Lisaks, praktiliselt kõik top-5 rakendused salvestavad kasutajate andmeid kaitsmata kujul arvuti kõvakettale või telefoni mällu. Ja see, kui mitte arvestada eriüksuste eri riikides, kellel võib olla juurdepääs kasutajate andmetele seadusandluse tõttu. Sama Skype, VKontakte, TamTam ja teised pakuvad mis tahes teavet mis tahes kasutaja kohta ametivõimude taotlusel (näiteks Venemaa).

Hea kaitse protokolli tasandil? Pole probleemi, murame seadme ära

Mõni aasta tagasi puudus konflikt Apple’i ja USA valitsuse vahel. Korporatsioon keeldus avamast krüpteeritud nutitelefoni, mis oli seotud San Bernardinos toimunud terroriaktide juhtumiga. Siis näis see olevat tõeline probleem: andmed olid hästi kaitstud ja nutitelefoni häkkimine oli kas võimatu või väga keeruline.

Praegu on olukord teine. Näiteks müüb Iisraeli ettevõte Cellebrite Venemaa ja teiste riikide juriidilistele isikutele tarkvara- ja riistvarakompleksi, mis võimaldab häkkida kõiki iPhone'i ja Androidi mudeleid. Eelmisel aastal ilmus reklaamibrošüür suhteliselt üksikasjaliku teabega selle teema kohta.

Magadani kriminaaluurija Popov häkkib nutitelefoni sama tehnoloogia abil, mida kasutab USA Föderaalkuritegevuse Büroo. Allikas: BBC

Seade maksab riikliku mõõdu järgi vähe. UFED Touch2 eest maksis Volgogradi SKR juhtum 800 000 rubla, Habarovski oma — 1,2 miljonit rubla. 2017. aastal kinnitas Aleksandr Bastyrkin, Venemaa uurimiskomitee juht, et tema asutus kasutab lahendusi iisraeli ettevõttest.

Ostavad selliseid seadmeid ka «Sberbank» — tõsi, mitte uurimistöödeks, vaid viiruste tõrjeks Androidi operatsioonisüsteemiga seadmetes. „Kui kahtlustatakse, et mobiilseadmed on nakatunud tundmatu kahjuliku tarkvarakoodiga ja pärast omanike nõusoleku saamist nakatunud telefonide analüüsi teostatakse pidevalt ilmnevate ja muutuvate uute viiruste leidmiseks erinevate tööriistade, sealhulgas UFED Touch2 kasutamise abil, — teatasid selgitas ettevõte.

Ameeriklastel on samuti tehnoloogiaid, mis võimaldavad igasuguseid nutitelefone häkkida. Ettevõte Grayshift lubab häkkida 300 nutitelefoni 15 000 USA dollari eest (see on 50 dollarit tükk versus 1500 dollari eest Cellbrite'i puhul).

On täiesti võimalik, et sarnaseid seadmeid on ka küberkurjategijatel. Need seadmed arenevad pidevalt — suurus väheneb, jõudlus suureneb.

Käesoleval juhul räägime rohkem või vähem tuntud telefonidest suurtest tootjatest, kes hoolivad oma kasutajate andmete kaitsmisest. Kui aga rääkida vähem tuntud ettevõtetest või nimedeta organisatsioonidest, siis selles olukorras saadakse andmed probleemideta. HS-USB režiim töötab isegi siis, kui laadija on lukustatud. Teenindusrežiimid on tavaliselt „must tee“, mille kaudu saab andmeid välja võtta. Kui ei, siis saab ühendada JTAG-porti või üldse eemaldada eMMC kiibi ja sisestada see odavasse adapterisse. Kui andmed ei ole krüpteeritud, saab nutitelefonist välja võtta üldiselt kõike, sealhulgas autentimismärke, mis annavad juurdepääsu pilveteenustele ja teistele teenustele.

Kui kellelgi on isiklik juurdepääs nutitelefonile, kus on olulisi andmeid, siis soovi korral on võimalik seda häkkida, sõltumata sellest, mida tootjad ütlevad.

Selge on see, et kõik eelnevalt öeldu kehtib mitte ainult nutitelefonide, vaid ka erinevates operatsioonisüsteemides olevate arvutite ja sülearvutite kohta. Kui ei rakendata edasijõudnud kaitsemeetmeid, vaid rahuldutakse tavaliste meetoditega nagu parool ja login, jäävad andmed ohtu. Kogenud häkker, kellel on füüsiline juurdepääs seadmele, suudab hankida praktiliselt igasugust teavet — see on vaid aja küsimus.

Mida siis teha?

Habril on andmete kaitse küsimus isiklikes seadmetes mitmeid kordi tõstatatud, seega ei hakka me taas jalgratast leiutama. Mainime vaid peamisi meetodeid, mis vähendavad teiste isikute juurdepääsu teie andmetele:

• Kohustuslik on kasutada andmete krüpteerimist nii nutitelefonis kui ka arvutis. Erinevad operatsioonisüsteemid pakuvad sageli häid vahendeid vaikimisi. Näide — loomise Mac OS-i krüptokonteinerid tavaliste vahenditega.

• Seada paroolid igale poole, sealhulgas Telegrami ja teiste sõnumitoojate vestluste ajaloos. Loomulikult peaksid paroolid olema keerulised.

• Kahefaktori autentimine — jah, see võib olla ebamugav, kuid kui turvalisus on prioriteet, tuleb sellega leppida.

• Kontrollige oma seadmete füüsilist turvalisust. Ettevõtte sülearvuti võtmine kohvikusse ja selle sinna unustamine? K klassika. Turvanormid, sealhulgas ettevõtte oma, on kirjutatud ohvrite pisaratega, kes on ise ettevaatamatud.

Arutame kommentaarides teie viise, kuidas vähendada andmete lubamatut juurdepääsu tõenäosust, kui kolmandad isikud saavad füüsilisele seadmele ligipääsu. Pakutud meetodid lisame hiljem artiklisse või avaldame meie Telegrami kanal, kus kirjutame regulaarselt turvalisuse, näpunäidete ja kasutamise kohta. meie VPN-i ja internetis tsensuurist.

Allikas: habr.com