وقتی رمزگذاری کمکی نمی کند: ما در مورد دسترسی فیزیکی به دستگاه صحبت می کنیم

در ماه فوریه مقاله «نه VPN به تنهایی. یک برگه تقلب در مورد نحوه محافظت از خود و داده های خود. یکی از نظرات ما را بر آن داشت تا ادامه مقاله را بنویسیم. این قسمت منبع اطلاعاتی کاملا مستقل است، اما همچنان توصیه می کنیم هر دو پست را مطالعه کنید.

یک پست جدید به موضوع امنیت داده ها (مطابقات، عکس ها، فیلم ها، این همه) در پیام رسان های فوری و خود دستگاه هایی که برای کار با برنامه ها استفاده می شوند اختصاص داده شده است.

پیام رسان ها

تلگرام

در اکتبر 2018، ناتانیل ساچی، دانشجوی سال اول کالج فنی Wake متوجه شد که پیام‌رسان تلگرام پیام‌ها و فایل‌های رسانه‌ای را در درایو رایانه محلی با متن واضح ذخیره می‌کند.

دانش آموز توانست به مکاتبات خود از جمله متن و عکس دسترسی داشته باشد. برای انجام این کار، او پایگاه های داده برنامه های ذخیره شده در HDD را مطالعه کرد. معلوم شد که خواندن داده ها دشوار است، اما رمزگذاری نشده است. و حتی اگر کاربر برای برنامه رمز عبور تعیین کرده باشد می توان به آنها دسترسی داشت.

در داده های دریافتی اسامی و شماره تلفن های طرفین پیدا شد که در صورت تمایل می توان آنها را با هم مقایسه کرد. اطلاعات چت های بسته نیز در قالب شفاف ذخیره می شود.

دوروف بعداً اظهار داشت که این مشکلی نیست، زیرا اگر مهاجم به رایانه شخصی کاربر دسترسی داشته باشد، می‌تواند کلیدهای رمزگذاری را به دست آورد و تمام مکاتبات را بدون هیچ مشکلی رمزگشایی کند. اما بسیاری از کارشناسان امنیت اطلاعات استدلال می کنند که این هنوز جدی است.

علاوه بر این، تلگرام در برابر یک حمله سرقت کلید آسیب پذیر بود، که کشف شد کاربر هابر. شما می توانید رمزهای عبور کد محلی را با هر طول و پیچیدگی هک کنید.

واتساپ

تا آنجا که می دانیم، این پیام رسان داده ها را نیز به صورت رمزگذاری نشده روی دیسک کامپیوتر ذخیره می کند. بر این اساس، اگر یک مهاجم به دستگاه کاربر دسترسی داشته باشد، تمام داده ها نیز باز هستند.

اما مشکل جهانی تری وجود دارد. در حال حاضر، همانطور که گوگل و فیس بوک در سال گذشته توافق کردند، تمام نسخه های پشتیبان از WhatsApp نصب شده در دستگاه های دارای سیستم عامل اندروید در Google Drive ذخیره می شوند. اما پشتیبان گیری از مکاتبات، فایل های رسانه ای و مانند آن بدون رمز ذخیره می شود. تا آنجا که می توان قضاوت کرد، افسران مجری قانون همان ایالات متحده است به Google Drive دسترسی داشته باشید، بنابراین این احتمال وجود دارد که نیروهای امنیتی بتوانند هر داده ذخیره شده را مشاهده کنند.

امکان رمزگذاری داده ها وجود دارد، اما هر دو شرکت این کار را انجام نمی دهند. شاید به این دلیل که بک آپ های رمزگذاری نشده می توانند به راحتی توسط خود کاربران منتقل و استفاده شوند. به احتمال زیاد، هیچ رمزگذاری وجود ندارد زیرا اجرای آن از نظر فنی دشوار است: برعکس، می توانید بدون هیچ مشکلی از پشتیبان گیری محافظت کنید. مشکل این است که گوگل دلایل خاص خود را برای کار با WhatsApp دارد - احتمالاً این شرکت داده های ذخیره شده در سرورهای Google Drive را تجزیه و تحلیل می کند و از آنها برای نمایش تبلیغات شخصی استفاده می کند. اگر فیس‌بوک به طور ناگهانی رمزگذاری را برای پشتیبان‌گیری واتس‌اپ معرفی کند، گوگل فوراً علاقه خود را به چنین مشارکتی از دست می‌دهد و منبع ارزشمندی از داده‌های مربوط به اولویت‌های کاربران واتس‌اپ را از دست می‌دهد. این، البته، فقط یک فرض است، اما در دنیای بازاریابی با فناوری پیشرفته بسیار محتمل است.

در مورد WhatsApp برای iOS، پشتیبان‌گیری‌ها در ابر iCloud ذخیره می‌شوند. اما در اینجا نیز اطلاعات به صورت رمزگذاری نشده ذخیره می شود که حتی در تنظیمات برنامه نیز بیان شده است. این که آیا اپل این داده ها را تجزیه و تحلیل می کند یا نه، فقط خود شرکت می داند. درست است، کوپرتینو شبکه تبلیغاتی مانند گوگل ندارد، بنابراین می‌توان فرض کرد که احتمال تحلیل داده‌های شخصی کاربران واتس‌اپ از سوی آنها بسیار کمتر است.

تمام آنچه گفته شد را می توان به صورت زیر فرموله کرد - بله، نه تنها شما به مکاتبات WhatsApp خود دسترسی دارید.

TikTok و سایر پیام رسان ها

این سرویس اشتراک گذاری ویدیوی کوتاه می تواند خیلی سریع محبوب شود. توسعه دهندگان قول داده اند از امنیت کامل داده های کاربران خود اطمینان حاصل کنند. همانطور که مشخص شد، خود سرویس بدون اطلاع کاربران از این داده ها استفاده کرد. حتی بدتر: این سرویس اطلاعات شخصی کودکان زیر 13 سال را بدون رضایت والدین جمع آوری کرد. اطلاعات شخصی افراد زیر سن قانونی - نام، ایمیل، شماره تلفن، عکس و فیلم - در دسترس عموم قرار گرفت.

سرویس جریمه شد برای چندین میلیون دلار، تنظیم کنندگان همچنین خواستار حذف تمام ویدیوهای ساخته شده توسط کودکان زیر 13 سال شدند. TikTok رعایت کرد. با این حال، سایر پیام رسان ها و سرویس ها از داده های شخصی کاربران برای اهداف خود استفاده می کنند، بنابراین نمی توانید از امنیت آنها مطمئن باشید.

این لیست را می توان بی انتها ادامه داد - اکثر پیام رسان های فوری دارای آسیب پذیری دیگری هستند که به مهاجمان اجازه می دهد تا کاربران را استراق سمع کنند (مثال عالی - وایبر، اگرچه به نظر می رسد همه چیز در آنجا درست شده است) یا داده های آنها را سرقت کند. علاوه بر این، تقریباً تمام برنامه های کاربردی از 5 برنامه برتر، داده های کاربر را به صورت محافظت نشده در هارد دیسک رایانه یا حافظه تلفن ذخیره می کنند. و این بدون یادآوری سرویس های اطلاعاتی کشورهای مختلف است که ممکن است به لطف قوانین به داده های کاربران دسترسی داشته باشند. همان Skype، VKontakte، TamTam و دیگران هر گونه اطلاعاتی را در مورد هر کاربر به درخواست مقامات (به عنوان مثال، فدراسیون روسیه) ارائه می دهند.

امنیت خوب در سطح پروتکل؟ مشکلی نیست، ما دستگاه را می شکنیم

چند سال پیش درگیری شروع شد بین اپل و دولت آمریکا این شرکت از باز کردن قفل گوشی هوشمند رمزگذاری شده که در حملات تروریستی در شهر سن برناردینو دست داشت، خودداری کرد. در آن زمان، این یک مشکل واقعی به نظر می‌رسید: داده‌ها به خوبی محافظت می‌شدند و هک کردن تلفن هوشمند یا غیرممکن یا بسیار دشوار بود.

حالا اوضاع فرق کرده است. به عنوان مثال، شرکت اسرائیلی Cellebrite به اشخاص حقوقی در روسیه و سایر کشورها یک سیستم نرم افزاری و سخت افزاری می فروشد که به شما امکان می دهد تمام مدل های آیفون و اندروید را هک کنید. سال گذشته وجود داشت جزوه تبلیغاتی منتشر شد با اطلاعات نسبتاً دقیق در مورد این موضوع.

پوپوف، بازپرس پزشکی قانونی ماگادان، یک گوشی هوشمند را با استفاده از همان فناوری مورد استفاده توسط اداره تحقیقات فدرال ایالات متحده هک می کند. منبع: بی بی سی

این دستگاه طبق استانداردهای دولتی ارزان است. برای UFED Touch2، بخش ولگوگراد کمیته تحقیقات 800 هزار روبل، بخش خاباروفسک - 1,2 میلیون روبل پرداخت کرد. در سال 2017، الکساندر باستریکین، رئیس کمیته تحقیقات فدراسیون روسیه، تأیید کرد که بخش او از راه حل ها استفاده می کند شرکت اسرائیلی

Sberbank همچنین چنین دستگاه هایی را خریداری می کند - با این حال، نه برای انجام تحقیقات، بلکه برای مبارزه با ویروس ها در دستگاه های دارای سیستم عامل Android. در صورتی که دستگاه های تلفن همراه مشکوک به آلوده شدن به کد نرم افزارهای مخرب ناشناخته باشند و پس از کسب رضایت اجباری صاحبان گوشی های آلوده، تجزیه و تحلیلی برای جستجوی ویروس های جدید دائما در حال ظهور و تغییر با استفاده از ابزارهای مختلف از جمله استفاده انجام می شود. UFED Touch2" - اظهار داشت در شرکت.

آمریکایی ها همچنین فناوری هایی دارند که به آنها اجازه می دهد هر گوشی هوشمندی را هک کنند. Grayshift وعده هک 300 گوشی هوشمند را با قیمت 15 دلار (50 دلار در هر واحد در مقابل 1500 دلار برای Celbrite) داده است.

این احتمال وجود دارد که مجرمان سایبری نیز دستگاه های مشابهی داشته باشند. این دستگاه ها دائما در حال بهبود هستند - اندازه آنها کاهش می یابد و عملکرد آنها افزایش می یابد.

اکنون در مورد گوشی های کم و بیش شناخته شده ای از سازندگان بزرگ صحبت می کنیم که نگران محافظت از داده های کاربران خود هستند. اگر در مورد شرکت های کوچکتر یا سازمان های بدون نام صحبت می کنیم، در این صورت داده ها بدون مشکل حذف می شوند. حالت HS-USB حتی زمانی که بوت لودر قفل است کار می کند. حالت‌های سرویس معمولاً «در پشتی» هستند که از طریق آن می‌توان داده‌ها را بازیابی کرد. در غیر این صورت، می توانید به پورت JTAG متصل شوید یا تراشه eMMC را به طور کلی حذف کنید و سپس آن را در یک آداپتور ارزان قیمت قرار دهید. اگر داده ها رمزگذاری نشده اند، از تلفن می توان بیرون کشید همه چیز به طور کلی، از جمله توکن های احراز هویت که دسترسی به فضای ذخیره سازی ابری و سایر خدمات را فراهم می کنند.

اگر شخصی به یک گوشی هوشمند با اطلاعات مهم دسترسی شخصی داشته باشد، بدون توجه به آنچه سازنده ها می گویند، در صورت تمایل می توانند آن را هک کنند.

واضح است که همه آنچه گفته شد نه تنها در مورد تلفن های هوشمند، بلکه در مورد رایانه ها و لپ تاپ هایی که سیستم عامل های مختلف دارند نیز صدق می کند. اگر به اقدامات حفاظتی پیشرفته متوسل نمی شوید، اما به روش های مرسوم مانند رمز عبور و ورود راضی هستید، داده ها در خطر باقی می مانند. یک هکر باتجربه با دسترسی فیزیکی به دستگاه می تواند تقریباً هر اطلاعاتی را به دست آورد - این فقط یک مسئله زمان است.

پس چه باید کرد؟

در Habré، موضوع امنیت داده ها در دستگاه های شخصی بیش از یک بار مطرح شده است، بنابراین ما دوباره چرخ را اختراع نمی کنیم. ما فقط روش های اصلی را نشان خواهیم داد که احتمال دستیابی اشخاص ثالث به داده های شما را کاهش می دهد:

• استفاده از رمزگذاری داده ها در تلفن هوشمند و رایانه شخصی الزامی است. سیستم عامل های مختلف اغلب ویژگی های پیش فرض خوبی را ارائه می دهند. مثال - ایجاد کانتینر کریپتو در سیستم عامل مک با استفاده از ابزارهای استاندارد.

• رمز عبور را در همه جا و همه جا تنظیم کنید، از جمله تاریخچه مکاتبات در تلگرام و سایر پیام رسان های فوری. طبیعتا رمزهای عبور باید پیچیده باشند.

• احراز هویت دو مرحله ای - بله، ممکن است ناخوشایند باشد، اما اگر امنیت در اولویت باشد، باید آن را تحمل کنید.

• امنیت فیزیکی دستگاه های خود را کنترل کنید. یک رایانه شخصی شرکتی را به یک کافه ببرید و آن را فراموش کنید؟ کلاسیک. استانداردهای ایمنی، از جمله استانداردهای شرکتی، با گریه قربانیان بی احتیاطی خود نوشته شده است.

بیایید در نظرات روش‌های شما را برای کاهش احتمال هک داده‌ها در صورت دسترسی شخص ثالث به یک دستگاه فیزیکی بررسی کنیم. سپس روش های پیشنهادی را به مقاله اضافه می کنیم یا آنها را در سایت خود منتشر می کنیم کانال تلگرام، جایی که ما مرتباً در مورد ایمنی، هک های زندگی برای استفاده می نویسیم VPN ما و سانسور اینترنتی

منبع: www.habr.com