A febbraio abbiamo pubblicato un articolo intitolato «Non ci si può fidare solo del VPN. Guida su come proteggere se stessi e i propri dati». ci ha spinto a scrivere un seguito all'articolo. Questa parte è una fonte di informazione abbastanza autonoma, ma consigliamo comunque di dare un'occhiata a entrambi i post.
Il nuovo post è dedicato alla sicurezza dei dati (messaggi, foto, video, tutto questo) nei messaggini e nei dispositivi stessi utilizzati per lavorare con le applicazioni.
Messaggini
Telegram
Già nell'ottobre 2018, uno studente del primo anno del Wake Technical College, Nathaniel Sachi, è riuscito a scoprire che il messaggero Telegram salva messaggi e file multimediali sul disco locale del computer in chiaro.
Lo studente è riuscito ad accedere alla sua corrispondenza, inclusi testi e immagini. Per farlo, ha esaminato i database dell'app, archiviati su HDD. Si è scoperto che i dati sono difficili da leggere, ma non sono crittografati. E si può accedere anche nel caso in cui l'utente abbia impostato una password per l'app.
Nei dati ottenuti sono stati trovati nomi e numeri di telefono dei contatti, che possono essere confrontati se lo si desidera. Anche le informazioni delle chat chiuse sono conservate in chiaro.
Successivamente, Durov ha dichiarato che non è un problema, poiché se un malintenzionato ha accesso al PC dell'utente, può ottenere le chiavi di crittografia e decifrare senza problemi tutta la corrispondenza. Ma molti esperti di sicurezza informatica sostengono che questo è comunque un problema serio.
Inoltre, Telegram si è dimostrato vulnerabile all'attacco di furto delle chiavi, il che utente di Habr. È possibile violare il codice locale della password di qualsiasi lunghezza e complessità.
Per quanto si sa, anche questo messaggero conserva dati sul disco del computer in chiaro. Pertanto, se un malintenzionato ha accesso al dispositivo dell'utente, tutti i dati sono a sua disposizione.
Ma c'è un problema più globale. Attualmente tutti i backup di WhatsApp, installato su dispositivi con Android OS, vengono archiviati su Google Drive, su cui Google e Facebook hanno concordato lo scorso anno. Ma i backup della corrispondenza, dei file multimediali e simili . Da quanto si può giudicare, i funzionari delle forze dell'ordine degli Stati Uniti , quindi esiste la possibilità che le forze dell'ordine possano esaminare qualsiasi dato salvato.
È possibile crittografare i dati, ma entrambe le aziende non lo fanno. Probabilmente, semplicemente perché i backup non crittografati possono essere facilmente trasferiti e utilizzati dagli stessi utenti. È molto probabile che la mancanza di crittografia non sia dovuta alla difficoltà di implementazione tecnica: al contrario, proteggere i backup è un'operazione senza complicazioni. Il problema è che Google ha le sue ragioni per collaborare con WhatsApp — l'azienda, apparentemente, e li utilizza per mostrare pubblicità personalizzate. Se Facebook introdusse improvvisamente la crittografia per i backup di WhatsApp, Google perderebbe immediatamente interesse in tale collaborazione, privandosi di una preziosa fonte di dati sulle preferenze degli utenti di WhatsApp. Questo, ovviamente, è solo un'ipotesi, ma piuttosto probabile nel mondo del marketing hi-tech.
Per quanto riguarda WhatsApp per iOS, i backup vengono salvati su iCloud. Ma anche qui le informazioni sono archiviate in modo non crittografato, come indicato nelle impostazioni dell'app. Se Apple analizza o meno questi dati, lo sa solo la stessa azienda. Tuttavia, i californiani non hanno una rete pubblicitaria come Google, quindi possiamo presumere che la probabilità che analizzi i dati personali degli utenti di WhatsApp sia significativamente inferiore.
Tutto ciò che è stato detto può essere riassunto nel modo seguente: sì, non solo voi avete accesso alla vostra corrispondenza di WhatsApp.
TikTok e altri messaggeri
Questo servizio di scambio di brevi video potrebbe diventare molto rapidamente popolare. Gli sviluppatori hanno promesso di garantire la completa sicurezza dei dati dei propri utenti. Come si è rivelato, il servizio stesso ha utilizzato questi dati senza informare gli utenti. Peggio ancora: il servizio ha raccolto dati personali di bambini sotto i 13 anni senza il consenso dei genitori. Le informazioni personali dei minorenni — nomi, email, numeri di telefono, foto e video — sono state rese pubbliche.
Servizio di alcuni milioni di dollari, e i regolatori hanno anche richiesto di rimuovere tutti i video registrati da bambini di età inferiore ai 13 anni. TikTok ha obbedito. Tuttavia, altri messaggeri e servizi utilizzano i dati personali degli utenti a proprio favore, quindi non si può essere certi della loro sicurezza.
Questo elenco potrebbe continuare all'infinito: la maggior parte dei messenger ha qualche vulnerabilità che consente agli aggressori di spiare gli utenti (ottimo esempio — Viber, anche se lì sembra che abbiano risolto) o di rubare i loro dati. Inoltre, praticamente tutte le app nella top 5 memorizzano i dati degli utenti in forma non protetta sul disco rigido del computer o nella memoria del telefono. E questo senza ricordare i servizi segreti di vari paesi, che potrebbero avere accesso ai dati degli utenti grazie a leggi specifiche. Lo stesso Skype, VKontakte, TamTam e altri forniscono qualsiasi informazione su qualsiasi utente su richiesta delle autorità (ad esempio, della Federazione Russa). Non è un problema avere una buona protezione a livello di protocollo, basta hackerare il dispositivo.
Qualche anno fa
è scoppiato un conflitto Ora la situazione è diversa. Ad esempio, l'azienda israeliana Cellebrite vende a enti legali in Russia e in altri paesi un sistema software e hardware che consente di hackare tutti i modelli di iPhone e Android. L'anno scorso è stato
pubblicato un opuscolo pubblicitario L'investigatore criminale di Magadan, Popov, hackera lo smartphone utilizzando la stessa tecnologia dell'FBI degli Stati Uniti. Fonte: BBC
Il dispositivo costa relativamente poco secondo gli standard governativi. Per l'UFED Touch2, il comando investigativo di Volgograd ha pagato 800 mila rubli, quello di Khabarovsk — 1,2 milioni di rubli. Nel 2017, Aleksandr Bastrykin, capo del Comitato Inquirente della RF, ha confermato che il suo ente
utilizza soluzioni della società israeliana.
Acquista questi dispositivi anche "Sberbank" — ma non per condurre indagini, bensì per combattere i virus sui dispositivi con sistema operativo Android. "In caso di sospetto di infezione dei dispositivi mobili con codice dannoso sconosciuto e dopo aver ottenuto il consenso obbligatorio dei proprietari dei telefoni infetti, verrà eseguita un'analisi per cercare nuovi virus in costante evoluzione e trasformazione, utilizzando vari strumenti, incluso UFED Touch2", — in azienda.
Anche gli americani possiedono tecnologie in grado di hackerare qualsiasi smartphone. L'azienda Grayshift promette di violare 300 smartphone per 15.000 dollari USA (50 dollari per unità contro i 1500 di Cellbrite).
È molto probabile che dispositivi simili siano in possesso anche dei cybercriminali. Questi dispositivi vengono continuamente migliorati — riducendo le dimensioni e aumentando le prestazioni.
Al momento stiamo parlando di telefoni più o meno noti di grandi produttori, che si preoccupano della protezione dei dati dei propri utenti. Se invece si parla di aziende meno importanti o di organizzazioni sconosciute, in questo caso i dati vengono estratti senza problemi. La modalità HS-USB funziona anche nei casi in cui il bootloader è bloccato. Le modalità di servizio, di solito, sono un "ingresso secondario" da cui è possibile estrarre i dati. Se non ci si riesce, è possibile connettersi alla porta JTAG o addirittura estrarre il chip eMMC, inserendolo poi in un adattatore economico. Se i dati non sono cifrati, dal telefono tutte le informazioni, inclusi i token di autenticazione che forniscono accesso a cloud storage e ad altri servizi.
Se qualcuno ha accesso personale a uno smartphone con informazioni importanti, allora è possibile hackerarlo a piacimento, indipendentemente da ciò che dicono i produttori.
È chiaro che quanto detto non si applica solo agli smartphone, ma anche ai computer e ai laptop con vari sistemi operativi. Se non si ricorre a misure di protezione avanzate, accontentandosi di metodi normali come la password e il login, i dati rimarranno a rischio. Un hacker esperto, in presenza di accesso fisico al dispositivo, potrà ottenere praticamente qualsiasi informazione — è solo una questione di tempo.
Allora, cosa si deve fare?
Su Habr, la questione della sicurezza dei dati sui dispositivi personali è stata affrontata più volte, quindi non reinventeremo la ruota. Indicheremo solo i principali metodi che riducono la probabilità che i vostri dati siano accessibili a terzi:
- Utilizzare sempre la crittografia dei dati sia sullo smartphone che sul PC. Diverse piattaforme offrono spesso ottimi strumenti di crittografia di default. Ad esempio — di un contenitore crittografico su Mac OS con strumenti predefiniti.
- Impostare password ovunque, incluso lo storico delle conversazioni su Telegram e altri messenger. Naturalmente, le password devono essere complesse.
- L’autenticazione a due fattori — sì, può essere scomoda, ma se la sicurezza è la priorità, bisogna adattarsi.
- Controllare la sicurezza fisica dei propri dispositivi. Portare un PC aziendale in un caffè e dimenticarlo lì? Classicismo. Le normative di sicurezza, comprese quelle aziendali, sono scritte con le lacrime delle vittime della propria imprudenza.
Discutiamo nei commenti le vostre modalità per ridurre la probabilità di hacking dei dati quando un soggetto terzo ha accesso a un dispositivo fisico. I metodi proposti li aggiungeremo poi all’articolo o pubblicheremo nel nostro , dove scriviamo regolarmente di sicurezza, suggerimenti per l'uso e della censura su internet.
Fonte: habr.com
