Í febrúar birtum við greinina „Ekki VPN einn. Svindlblað um hvernig á að vernda sjálfan þig og gögnin þín.“ hvatti okkur til að skrifa framhald af greininni. Þessi hluti er algjörlega sjálfstæð uppspretta upplýsinga en við mælum samt með að þú lesir báðar færslurnar.
Ný færsla er helguð gagnaöryggismálum (bréfaskriftir, myndir, myndbönd, það er allt) í spjallforritum og tækjunum sjálfum sem eru notuð til að vinna með forritum.
Sendiboðar
Telegram
Til baka í október 2018 uppgötvaði fyrsta árs nemandi í Wake Technical College, Nathaniel Sachi, að Telegram boðberinn vistar skilaboð og miðlunarskrár á staðbundnu tölvudrifinu í skýrum texta.
Nemandinn gat nálgast eigin bréfaskipti, þar á meðal texta og myndir. Til að gera þetta rannsakaði hann gagnagrunna forrita sem geymdir voru á HDD. Í ljós kom að gögnin voru erfið aflestrar, en ekki dulkóðuð. Og hægt er að nálgast þau jafnvel þótt notandinn hafi sett lykilorð fyrir forritið.
Í þeim gögnum sem bárust fundust nöfn og símanúmer viðmælenda sem hægt er að bera saman ef vill. Upplýsingar frá lokuðu spjalli eru einnig geymdar á skýru formi.
Durov sagði síðar að þetta væri ekki vandamál, því ef árásarmaður hefur aðgang að tölvu notandans mun hann geta fengið dulkóðunarlykla og afkóða allar bréfaskipti án vandræða. En margir sérfræðingar í upplýsingaöryggi halda því fram að þetta sé enn alvarlegt.
Að auki reyndist Telegram vera viðkvæmt fyrir lykilþjófnaðarárás, sem Habr notandi. Þú getur hakkað inn lykilorð fyrir staðbundið kóða af hvaða lengd og flókið sem er.
Eftir því sem við best vitum geymir þessi boðberi einnig gögn á tölvudisknum á ódulkóðuðu formi. Samkvæmt því, ef árásarmaður hefur aðgang að tæki notandans, þá eru öll gögn einnig opin.
En það er meira alþjóðlegt vandamál. Eins og er eru öll öryggisafrit frá WhatsApp uppsett á tækjum með Android stýrikerfi geymd á Google Drive, eins og Google og Facebook sömdu um á síðasta ári. En afrit af bréfaskriftum, fjölmiðlaskrám og þess háttar . Eftir því sem hægt er að dæma, löggæslumenn sömu Bandaríkjanna , þannig að það er möguleiki að öryggissveitir geti skoðað hvaða geymd gögn sem er.
Það er hægt að dulkóða gögn en bæði fyrirtækin gera það ekki. Kannski einfaldlega vegna þess að ódulkóðuð afrit geta auðveldlega verið flutt og notuð af notendum sjálfum. Líklegast er engin dulkóðun ekki vegna þess að það er tæknilega erfitt í framkvæmd: Þvert á móti geturðu verndað öryggisafrit án nokkurra erfiðleika. Vandamálið er að Google hefur sínar eigin ástæður fyrir því að vinna með WhatsApp - fyrirtækið væntanlega og notar þær til að birta sérsniðnar auglýsingar. Ef Facebook tæki skyndilega upp dulkóðun fyrir WhatsApp öryggisafrit myndi Google samstundis missa áhuga á slíku samstarfi og missa dýrmæta uppsprettu gagna um óskir WhatsApp notenda. Þetta er auðvitað bara forsenda, en mjög líklega í heimi hátæknimarkaðssetningar.
Hvað varðar WhatsApp fyrir iOS, þá eru afrit vistuð í iCloud skýinu. En hér eru upplýsingarnar líka geymdar á ódulkóðuðu formi, sem kemur fram jafnvel í stillingum forritsins. Hvort Apple greinir þessi gögn eða ekki er aðeins fyrirtækinu sjálfu vitað. Að vísu er Cupertino ekki með auglýsinganet eins og Google, svo við getum gert ráð fyrir að líkurnar á því að þeir greini persónuleg gögn WhatsApp notenda séu mun minni.
Allt sem hefur verið sagt er hægt að setja fram á eftirfarandi hátt - já, ekki aðeins þú hefur aðgang að WhatsApp bréfaskiptum þínum.
TikTok og aðrir boðberar
Þessi stutta mynddeilingarþjónusta gæti orðið vinsæl mjög fljótt. Hönnuðir lofuðu að tryggja fullkomið öryggi gagna notenda sinna. Eins og það kom í ljós notaði þjónustan sjálf þessi gögn án þess að láta notendur vita. Jafnvel verra: þjónustan safnaði persónuupplýsingum frá börnum yngri en 13 ára án samþykkis foreldra. Persónuupplýsingar um ólögráða börn - nöfn, tölvupóstur, símanúmer, myndir og myndbönd - voru gerðar aðgengilegar almenningi.
Service fyrir nokkrar milljónir dollara kröfðust eftirlitsaðilar þess einnig að öll myndbönd sem börn yngri en 13 ára gerðu yrðu fjarlægð. TikTok uppfyllti það. Hins vegar nota aðrir boðberar og þjónusta persónuupplýsingar notenda í eigin tilgangi, svo þú getur ekki verið viss um öryggi þeirra.
Þessum lista er hægt að halda áfram endalaust - flestir spjallforrit hafa einn eða annan varnarleysi sem gerir árásarmönnum kleift að hlera notendur ( — Viber, þó allt virðist hafa verið lagað þar) eða stela gögnum þeirra. Þar að auki geyma næstum öll forrit af efstu 5 notendagögnum á óvarin hátt á harða diski tölvunnar eða í minni símans. Og þetta er án þess að muna eftir leyniþjónustum ýmissa landa, sem kunna að hafa aðgang að notendagögnum þökk sé löggjöf. Sama Skype, VKontakte, TamTam og aðrir veita allar upplýsingar um hvaða notanda sem er að beiðni yfirvalda (til dæmis Rússlands).
Gott öryggi á samskiptastigi? Ekkert mál, við brjótum tækið
Fyrir nokkrum árum milli Apple og bandarískra stjórnvalda. Fyrirtækið neitaði að opna dulkóðaðan snjallsíma sem tók þátt í hryðjuverkaárásunum í borginni San Bernardino. Á þeim tíma virtist þetta vera raunverulegt vandamál: gögnin voru vel varin og að hakka snjallsíma var annað hvort ómögulegt eða mjög erfitt.
Nú eru hlutirnir öðruvísi. Til dæmis selur ísraelska fyrirtækið Cellebrite til lögaðila í Rússlandi og öðrum löndum hugbúnaðar- og vélbúnaðarkerfi sem gerir þér kleift að hakka allar iPhone og Android gerðir. Í fyrra var það með tiltölulega ítarlegum upplýsingum um þetta efni.
Magadan réttarrannsóknarmaðurinn Popov hakkar inn snjallsíma með sömu tækni og bandaríska alríkislögreglan notar. Heimild: BBC
Tækið er ódýrt miðað við staðla stjórnvalda. Fyrir UFED Touch2 greiddi Volgograd deild rannsóknarnefndarinnar 800 þúsund rúblur, Khabarovsk deildin - 1,2 milljónir rúblur. Árið 2017 staðfesti Alexander Bastrykin, yfirmaður rannsóknarnefndar Rússlands, að deild hans ísraelskt fyrirtæki.
Sberbank kaupir einnig slík tæki - þó ekki til að framkvæma rannsóknir, heldur til að berjast gegn vírusum í tækjum með Android OS. „Ef grunur leikur á að fartæki séu sýkt af óþekktum skaðlegum hugbúnaðarkóða, og eftir að hafa fengið skyldubundið samþykki eigenda sýktra síma, verður gerð greining til að leita að nýjum vírusum sem eru stöðugt að koma upp og breytast með ýmsum verkfærum, þar á meðal notkun af UFED Touch2," - í félagsskap.
Bandaríkjamenn búa einnig yfir tækni sem gerir þeim kleift að hakka hvaða snjallsíma sem er. Grayshift lofar að hakka 300 snjallsíma fyrir $15 ($50 á einingu á móti $1500 fyrir Cellbrite).
Líklegt er að netglæpamenn séu líka með svipuð tæki. Þessi tæki eru stöðugt í endurbótum - stærð þeirra minnkar og afköst eykst.
Núna erum við að tala um meira og minna þekkta síma frá stórum framleiðendum sem hafa áhyggjur af því að vernda gögn notenda sinna. Ef við erum að tala um smærri fyrirtæki eða nafnlaus samtök, þá eru gögnin fjarlægð án vandræða í þessu tilfelli. HS-USB stilling virkar jafnvel þegar ræsiforritið er læst. Þjónustustillingar eru venjulega „bakdyr“ þar sem hægt er að sækja gögn. Ef ekki, geturðu tengt við JTAG tengið eða fjarlægt eMMC flöguna alveg og sett hann síðan í ódýrt millistykki. Ef gögnin eru ekki dulkóðuð, úr símanum allt almennt, þar á meðal auðkenningartákn sem veita aðgang að skýgeymslu og annarri þjónustu.
Ef einhver hefur persónulegan aðgang að snjallsíma með mikilvægum upplýsingum, þá getur hann hakkað hann ef hann vill, sama hvað framleiðendur segja.
Það er ljóst að allt sem sagt hefur verið á ekki aðeins við um snjallsíma, heldur einnig um tölvur og fartölvur sem keyra ýmis stýrikerfi. Ef þú grípur ekki til háþróaðra verndarráðstafana heldur ert sáttur við hefðbundnar aðferðir eins og lykilorð og innskráningu, þá eru gögnin áfram í hættu. Reyndur tölvuþrjótur með líkamlegan aðgang að tækinu mun geta fengið nánast hvaða upplýsingar sem er - það er aðeins tímaspursmál.
Svo hvað á að gera?
Á Habré hefur gagnaöryggi á persónulegum tækjum verið vakið oftar en einu sinni, svo við munum ekki finna upp hjólið aftur. Við munum aðeins gefa til kynna helstu aðferðir sem draga úr líkum á því að þriðju aðilar fái gögnin þín:
- Það er skylda að nota gagnadulkóðun bæði á snjallsímanum þínum og tölvunni. Mismunandi stýrikerfi bjóða oft upp á góða sjálfgefna eiginleika. Dæmi - dulmálsílát í Mac OS með stöðluðum verkfærum.
- Stilltu lykilorð hvar sem er og alls staðar, þar á meðal sögu bréfaskipta í Telegram og öðrum spjallboðum. Auðvitað verða lykilorð að vera flókin.
- Tveggja þátta auðkenning - já, það getur verið óþægilegt, en ef öryggi er í fyrirrúmi, þá verður þú að sætta þig við það.
- Fylgstu með líkamlegu öryggi tækjanna þinna. Fara með fyrirtækjatölvu á kaffihús og gleyma henni þar? Klassískt. Öryggisstaðlar, þar á meðal fyrirtækja, voru skrifaðir með tárum fórnarlamba þeirra eigin kæruleysis.
Við skulum skoða í athugasemdunum aðferðir þínar til að draga úr líkum á innbroti gagna þegar þriðji aðili fær aðgang að líkamlegu tæki. Við munum síðan bæta fyrirhuguðum aðferðum við greinina eða birta þær í okkar , þar sem við skrifum reglulega um öryggi, lífshakk til að nota og ritskoðun á netinu.
Heimild: www.habr.com