Kui krüpteerimine ei aita: me räägime füüsilisest juurdepääsust seadmele

Veebruaris avaldasime artikli „Mitte VPN üksi. Petuleht selle kohta, kuidas ennast ja oma andmeid kaitsta. Üks kommentaaridest ajendas meid kirjutama artiklile jätku. See osa on täiesti sõltumatu teabeallikas, kuid soovitame siiski mõlemat postitust lugeda.

Uus postitus on pühendatud andmeturbe teemale (kirjavahetus, fotod, videod, see on kõik) kiirsõnumite ja rakendustega töötamiseks kasutatavate seadmete endi kohta.

Sõnumitoojad

Telegramm

Veel 2018. aasta oktoobris avastas Wake'i tehnikakolledži esimese kursuse üliõpilane Nathaniel Sachi, et Telegrami messenger salvestab sõnumid ja meediumifailid kohalikule arvutikettale selge tekstina.

Õpilane pääses ligi oma kirjavahetusele, sealhulgas tekstile ja piltidele. Selleks uuris ta kõvakettale salvestatud rakenduste andmebaase. Selgus, et andmed olid raskesti loetavad, kuid mitte krüpteeritud. Ja neile pääseb ligi ka siis, kui kasutaja on rakendusele parooli määranud.

Saadud andmetest leiti vestluskaaslaste nimed ja telefoninumbrid, mida saab soovi korral võrrelda. Suletud vestluste teave salvestatakse ka selges vormingus.

Durov väitis hiljem, et see pole probleem, sest kui ründajal on juurdepääs kasutaja arvutile, saab ta hankida krüpteerimisvõtmed ja dekrüpteerida kogu kirjavahetuse probleemideta. Kuid paljud infoturbeeksperdid väidavad, et see on endiselt tõsine.

Lisaks osutus Telegram haavatavaks võtmevarguse rünnaku suhtes, mis leitud Habr kasutaja. Saate häkkida mis tahes pikkuse ja keerukusega kohaliku koodi paroole.

WhatsApp

Teadaolevalt salvestab see messenger andmeid ka arvuti kettale krüptimata kujul. Seega, kui ründajal on juurdepääs kasutaja seadmele, on ka kõik andmed avatud.

Kuid on olemas globaalsem probleem. Praegu on kõik WhatsAppi varukoopiad installitud seadmetesse, millel on Android Operatsioonisüsteemid salvestatakse Google Drive'i, nagu Google ja Facebook eelmisel aastal kokku leppisid. Kuid kirjavahetuse, meediafailide ja muu sellise varukoopiad salvestatakse krüptimata. Niipalju kui hinnata saab, siis sama USA korrakaitsjad on juurdepääs Google Drive'ile, seega on võimalus, et julgeolekujõud saavad vaadata kõiki salvestatud andmeid.

Andmeid on võimalik krüpteerida, kuid mõlemad ettevõtted seda ei tee. Võib-olla lihtsalt sellepärast, et krüptimata varukoopiaid saavad kasutajad ise hõlpsasti üle kanda ja kasutada. Tõenäoliselt pole krüptimist mitte sellepärast, et seda on tehniliselt keeruline rakendada: vastupidi, saate varukoopiaid ilma raskusteta kaitsta. Probleem on selles, et Google'il on WhatsAppiga töötamiseks oma põhjused - arvatavasti ettevõte analüüsib Google Drive'i serveritesse salvestatud andmeid ja kasutab neid isikupärastatud reklaamide kuvamiseks. Kui Facebook võtaks ootamatult kasutusele WhatsAppi varukoopiate krüptimise, kaotaks Google koheselt huvi sellise partnerluse vastu, kaotades väärtusliku andmeallika WhatsAppi kasutajate eelistuste kohta. See on muidugi vaid oletus, kuid kõrgtehnoloogilise turunduse maailmas väga tõenäoline.

Mis puudutab iOS-i WhatsAppi, siis varukoopiad salvestatakse iCloudi pilve. Kuid ka siin salvestatakse teave krüpteerimata kujul, mis on märgitud isegi rakenduse seadetes. Seda, kas Apple neid andmeid analüüsib või mitte, teab ainult ettevõte ise. Tõsi, Cupertinol pole Google’i sarnast reklaamivõrgustikku, mistõttu võib eeldada, et tõenäosus, et nad analüüsivad WhatsAppi kasutajate isikuandmeid, on palju väiksem.

Kõike öeldut saab sõnastada järgmiselt – jah, mitte ainult teil pole juurdepääsu oma WhatsAppi kirjavahetusele.

TikTok ja muud sõnumitoojad

See lühike videojagamisteenus võib väga kiiresti populaarseks saada. Arendajad lubasid tagada oma kasutajate andmete täieliku turvalisuse. Nagu selgus, kasutas teenus ise neid andmeid kasutajaid teavitamata. Veelgi hullem: teenus kogus alla 13-aastastelt laste isikuandmeid ilma vanema nõusolekuta. Alaealiste isikuandmed – nimed, e-posti aadressid, telefoninumbrid, fotod ja videod – tehti avalikult kättesaadavaks.

Teenus sai trahvi mitme miljoni dollari eest nõudsid regulaatorid ka kõigi alla 13-aastaste laste tehtud videote eemaldamist. TikTok järgis seda. Teised sõnumitoojad ja teenused kasutavad aga kasutajate isikuandmeid oma eesmärkidel, mistõttu ei saa te nende turvalisuses kindel olla.

Seda nimekirja saab lõputult jätkata – enamikul kiirsõnumitoojatel on üks või teine ​​haavatavus, mis võimaldab ründajatel kasutajaid pealt kuulata (suurepärane näide — Viber, kuigi tundub, et kõik on seal parandatud) või varastada nende andmeid. Lisaks salvestavad peaaegu kõik top 5 rakendused kasutajaandmeid kaitsmata kujul arvuti kõvakettale või telefoni mällu. Ja seda meeles pidamata erinevate riikide luureteenistused, millel võib tänu seadusandlusele olla ligipääs kasutajaandmetele. Sama Skype, VKontakte, TamTam ja teised annavad võimude (näiteks Vene Föderatsiooni) palvel mis tahes kasutaja kohta teavet.

Hea turvalisus protokolli tasemel? Pole probleemi, me purustame seadme

Mõni aasta tagasi puhkes konflikt Apple'i ja USA valitsuse vahel. Ettevõte keeldus avamast krüpteeritud nutitelefoni, mis osales San Bernardino linna terrorirünnakutes. Tol ajal tundus see tõelise probleemina: andmed olid hästi kaitstud ja nutitelefoni häkkimine oli kas võimatu või väga keeruline.

Nüüd on asjad teisiti. Näiteks Iisraeli ettevõte Cellebrite müüb Venemaa ja teiste riikide juriidilistele isikutele riist- ja tarkvarasüsteemi, mis võimaldab neil häkkida kõiki mudeleid. iPhone и AndroidEelmisel aastal oli seal ilmunud reklaamvoldik selle teema kohta suhteliselt üksikasjaliku teabega.

Magadani kohtuekspertiisi uurija Popov häkkib nutitelefoni, kasutades sama tehnoloogiat, mida kasutab USA föderaalne juurdlusbüroo. Allikas: BBC

Seade on valitsuse standardite järgi odav. UFED Touch2 eest maksis uurimiskomitee Volgogradi osakond 800 tuhat rubla, Habarovski osakond - 1,2 miljonit rubla. 2017. aastal kinnitas Vene Föderatsiooni juurdluskomitee juht Aleksandr Bastrõkin, et tema osakond kasutab lahendusi Iisraeli ettevõte.

Sberbank ostab samuti selliseid seadmeid, ehkki mitte uurimiste läbiviimiseks, vaid viiruste vastu võitlemiseks operatsioonisüsteemi käitavates seadmetes. Android„Kui kahtlustatakse mobiilseadmete nakatumist tundmatu pahavaraga ja pärast nakatunud telefonide omanike kohustusliku nõusoleku saamist viiakse läbi analüüs, et otsida pidevalt tekkivaid ja arenevaid uusi viirusi, kasutades erinevaid tööriistu, sealhulgas UFED Touch2.“ nentis seltskonnas.

Ameeriklastel on ka tehnoloogiaid, mis võimaldavad häkkida mis tahes nutitelefoni. Grayshift lubab häkkida 300 nutitelefoni 15 50 dollari eest (1500 dollarit ühiku kohta versus XNUMX dollarit Cellbrite'i puhul).

Tõenäoliselt on sarnaseid seadmeid ka küberkurjategijatel. Neid seadmeid täiustatakse pidevalt – nende suurus väheneb ja jõudlus suureneb.

Nüüd räägime enam-vähem tuntud telefonidest suurtootjatelt, kes muretsevad oma kasutajate andmete kaitsmise pärast. Kui me räägime väiksematest ettevõtetest või no-name organisatsioonidest, siis sel juhul eemaldatakse andmed probleemideta. HS-USB režiim töötab isegi siis, kui alglaadur on lukus. Teenindusrežiimid on tavaliselt "tagauks", mille kaudu saab andmeid hankida. Kui ei, siis saate ühendada JTAG-porti või eemaldada eMMC-kiibi täielikult ja seejärel sisestada selle odavasse adapterisse. Kui andmed pole krüptitud, siis telefonist saab välja tõmmata kõike üldiselt, sealhulgas autentimismärke, mis pakuvad juurdepääsu pilvesalvestusele ja muudele teenustele.

Kui kellelgi on isiklik ligipääs olulise teabega nutitelefonile, saab ta soovi korral seda häkkida, olenemata sellest, mida tootjad räägivad.

On selge, et kõik öeldu kehtib mitte ainult nutitelefonide, vaid ka erinevate OS-idega arvutite ja sülearvutite kohta. Kui te ei kasuta täiustatud kaitsemeetmeid, vaid olete rahul tavapäraste meetoditega, nagu parool ja sisselogimine, jäävad andmed ohtu. Kogenud häkker, kellel on seadmele füüsiline juurdepääs, suudab hankida peaaegu igasuguse teabe - see on ainult aja küsimus.

Mida siis teha?

Habré puhul on isiklike seadmete andmeturbe küsimus tõstatatud rohkem kui korra, nii et me ei leiuta jalgratast uuesti. Toome välja ainult peamised meetodid, mis vähendavad tõenäosust, et kolmandad isikud saavad teie andmeid:

• Andmete krüptimise kasutamine nii nutitelefonis kui ka arvutis on kohustuslik. Erinevad operatsioonisüsteemid pakuvad sageli häid vaikefunktsioone. Näide - loomine krüptokonteiner Mac OS-is standardsete tööriistade abil.

• Määrake paroolid kõikjal ja kõikjal, sealhulgas kirjavahetuse ajalugu Telegramis ja muudes kiirsuhtlejates. Loomulikult peavad paroolid olema keerulised.

• Kahefaktoriline autentimine – jah, see võib olla ebamugav, aga kui turvalisus on esikohal, tuleb sellega leppida.

• Jälgige oma seadmete füüsilist turvalisust. Viige ettevõtte arvuti kohvikusse ja unustage see sinna? Klassikaline. Ohutusstandardid, sealhulgas ettevõtete omad, olid kirjutatud nende endi hoolimatuse ohvrite pisaratega.

Vaatame kommentaarides teie meetodeid andmete häkkimise tõenäosuse vähendamiseks, kui kolmas osapool saab juurdepääsu füüsilisele seadmele. Seejärel lisame pakutud meetodid artiklile või avaldame need meie lehel telegrammi kanal, kus me regulaarselt kirjutame ohutusest, kasutamisega seotud probleemidest meie VPN ja Interneti tsensuur.

Allikas: www.habr.com