A febbraio abbiamo pubblicato l'articolo "Non di solo VPN vive l'uomo. Una guida su come proteggere se stessi e i propri dati". ci ha spinto a scrivere un seguito all'articolo. Questa parte è una fonte di informazioni piuttosto autonoma, ma raccomandiamo comunque di leggere entrambi i post.
Il nuovo post è dedicato alla sicurezza dei dati (messaggi, foto, video, insomma) nelle app di messaggistica e sui dispositivi utilizzati per lavorare con queste applicazioni.
App di messaggistica
Telegram
Già nell'ottobre 2018, uno studente del primo anno del Wake Technical College, Nathaniel Sachi, ha scoperto che l'app di messaggistica Telegram salva i messaggi e i file multimediali sul disco locale del computer in chiaro.
Lo studente è riuscito ad accedere alla propria corrispondenza, inclusi testi e immagini. Per farlo, ha esaminato i database dell'applicazione memorizzati su HDD. Si è scoperto che i dati sono difficili da leggere, ma non sono crittografati. È possibile accedervi anche se l'utente ha impostato una password per l'applicazione.
Nei dati ricevuti sono stati trovati nomi e numeri di telefono dei contatti, che possono essere associati se lo si desidera. Anche le informazioni delle chat private vengono conservate in chiaro.
In seguito, Durov ha dichiarato che non è un problema, poiché se un criminale informatico ha accesso al computer dell'utente, potrà ottenere le chiavi di crittografia e decifrare l'intera corrispondenza senza problemi. Tuttavia, molti esperti di sicurezza informatica affermano che questo sia comunque un problema serio.
Inoltre, Telegram si è rivelato vulnerabile agli attacchi di furto di chiavi, il che un utente di Habr. È possibile violare il codice locale di una password di qualsiasi lunghezza e complessità.
A quanto si sa, questo messenger conserva anche i dati sul disco del computer in chiaro. Pertanto, se un criminale informatico ha accesso al dispositivo dell'utente, tutti i dati sono anch'essi accessibili.
Ma c'è un problema più globale. Attualmente, tutte le backup da WhatsApp installato su dispositivi con sistema operativo Android vengono conservati su Google Drive, come concordato da Google e Facebook lo scorso anno. Tuttavia, i backup delle conversazioni, dei file multimediali e simili . A quanto si può capire, gli impiegati delle forze dell'ordine degli Stati Uniti , quindi esiste la possibilità che le forze dell'ordine possano visualizzare qualsiasi dato salvato.
I dati possono essere criptati, ma nessuna delle due aziende lo fa. Forse semplicemente perché i backup non criptati possono essere facilmente trasferiti e utilizzati dagli utenti stessi. Probabilmente, la mancanza di crittografia non è dovuta alla difficoltà tecnica: al contrario, proteggere i backup può essere fatto senza alcuno sforzo. Il problema è che Google ha le sue ragioni per collaborare con WhatsApp — l'azienda, presumibilmente, e li utilizza per mostrare pubblicità personalizzate. Se Facebook introdusesse improvvisamente la crittografia per i backup di WhatsApp, Google perderebbe immediatamente interesse per tale partnership, privandosi di una preziosa fonte di dati sulle preferenze degli utenti di WhatsApp. Questo è, ovviamente, solo un'ipotesi, ma è molto probabile nel mondo del marketing hi-tech.
Per quanto riguarda WhatsApp per iOS, i backup vengono salvati nel cloud iCloud. Ma anche qui le informazioni sono conservate in forma non crittografata, come indicato nelle impostazioni dell'app. La Apple sta analizzando questi dati o meno, lo sa solo la stessa azienda. Tuttavia, i californiani non hanno una rete pubblicitaria come Google, quindi possiamo ipotizzare che la probabilità che analizzino i dati personali degli utenti di WhatsApp sia significativamente più bassa.
Tutto ciò che è stato detto può essere riassunto nel seguente modo: sì, non solo voi avete accesso alla vostra corrispondenza su WhatsApp.
TikTok e altri messaggeri
Questo servizio di condivisione di brevi video ha potuto diventare molto popolare in breve tempo. Gli sviluppatori promettevano di garantire la massima sicurezza dei dati dei propri utenti. Come si è rivelato, il servizio stesso utilizzava questi dati senza notificare gli utenti. Peggio ancora: il servizio raccoglieva dati personali di bambini sotto i 13 anni senza il consenso dei genitori. Le informazioni personali dei minorenni — nomi, e-mail, numeri di telefono, foto e video — finivano in accesso pubblico.
Servizio per diversi milioni di dollari, i regolatori hanno anche richiesto la rimozione di tutti i video registrati da bambini sotto i 13 anni. TikTok ha ceduto. Tuttavia, altre app di messaggistica e servizi utilizzano i dati personali degli utenti per i propri scopi, quindi non si può essere certi della loro sicurezza.
Questo elenco può continuare all'infinito: la maggior parte delle app di messaggistica presenta una vulnerabilità che permette agli aggressori di intercettare gli utenti ( — Viber, anche se sembra che abbiano risolto il problema) o di rubare i loro dati. Inoltre, praticamente tutte le applicazioni della top 5 memorizzano i dati degli utenti in forma non protetta sul disco rigido del computer o nella memoria del telefono. Questo senza menzionare i servizi di sicurezza di vari paesi, i quali possono avere accesso ai dati degli utenti grazie alla legislazione. Anche Skype, VKontakte, TamTam e altri forniscono qualsiasi informazione su qualsiasi utente su richiesta delle autorità (ad esempio, della Federazione Russa).
Una buona protezione a livello di protocollo? Nessun problema, rompiamo il dispositivo
Qualche anno fa tra Apple e il governo degli Stati Uniti. La corporation si è rifiutata di sbloccare uno smartphone crittografato coinvolto nel caso degli attacchi terroristici a San Bernardino. All'epoca sembrava un problema reale: i dati erano ben protetti e hackerare lo smartphone era impossibile o molto difficile.
Oggi le cose sono cambiate. Ad esempio, la compagnia israeliana Cellebrite vende a enti giuridici russi e di altri paesi un sistema software-hardware che permette di hackerare tutti i modelli di iPhone e Android. L'anno scorso è stata con informazioni relativamente dettagliate su questo argomento.
L'investigatore-criminale di Magadan, Popov, sta hackerando uno smartphone con la stessa tecnologia dell'FBI statunitense. Fonte: BBC
Il dispositivo ha un costo relativamente basso secondo i criteri statali. Per UFED Touch2, l'ufficio del Comitato Investigativo di Volgograd ha pagato 800 mila rubli, quello di Khabarovsk — 1,2 milioni di rubli. Nel 2017, Aleksandr Bastrykin, capo del Comitato Investigativo della Federazione Russa, ha confermato che il suo ente della compagnia israeliana.
Anche Sberbank acquista dispositivi di questo tipo, ma non per condurre indagini, bensì per combattere i virus sui dispositivi con sistema operativo Android. "In caso di sospetto di infezione di dispositivi mobili da parte di codici dannosi sconosciuti e dopo aver ottenuto il consenso obbligatorio dei proprietari dei telefoni infetti, verrà effettuata un'analisi per individuare nuovi virus in continua evoluzione utilizzando vari strumenti, compreso l'uso di UFED Touch2", — nella compagnia.
Negli Stati Uniti ci sono anche tecnologie che consentono di violare qualsiasi smartphone. L'azienda Grayshift promette di violare 300 smartphone per 15.000 dollari (ossia $50 per unità contro $1500 di Cellbrite).
È probabile che dispositivi simili siano a disposizione anche dei criminali informatici. Questi dispositivi sono in costante perfezionamento: si riduce la dimensione e aumenta la potenza.
Ora parliamo di telefoni abbastanza noti dei grandi produttori, che si preoccupano della protezione dei dati dei propri utenti. Se invece si tratta di aziende meno conosciute o di organizzazioni senza nome, in questo caso i dati possono essere estratti senza problemi. La modalità HS-USB funziona anche nel caso in cui il bootloader sia bloccato. I modi di servizio sono di solito una «entrata secondaria» attraverso cui è possibile estrarre i dati. Se non è possibile, si può collegare al porto JTAG o addirittura estrarre il chip eMMC, inserendolo poi in un adattatore economico. Se i dati non sono criptati, si possono recuperare dal telefono tutto, compresi i marker di autenticazione che forniscono accesso agli archivi cloud e ad altri servizi.
Se qualcuno ha accesso personale a uno smartphone con informazioni importanti, è possibile hackerarlo, qualunque cosa dicano i produttori.
È chiaro che quanto detto riguarda non solo gli smartphone, ma anche computer e laptop con vari sistemi operativi. Se non si adottano misure di sicurezza avanzate e ci si accontenta di metodi ordinari come username e password, i dati rimarranno a rischio. Un hacker esperto, in possesso di accesso fisico al dispositivo, può ottenere praticamente qualsiasi informazione — è solo una questione di tempo.
Cosa fare dunque?
Su Habr abbiamo già affrontato la questione della sicurezza dei dati sui dispositivi personali, quindi non reinventeremo la ruota. Indicheremo solo i principali metodi che riducono la probabilità che le persone non autorizzate accedano ai vostri dati:
- Utilizzare obbligatoriamente la crittografia dei dati sia su smartphone che su PC. I vari sistemi operativi spesso offrono buone funzionalità di default. Un esempio è di un contenitore crittografato in Mac OS utilizzando gli strumenti predefiniti.
- Impostare password ovunque, inclusa la cronologia delle conversazioni su Telegram e altri messaggisti. Naturalmente, le password devono essere complesse.
- L'autenticazione a due fattori è scomoda, ma se la sicurezza è la priorità, bisogna adattarsi.
- Controllare la sicurezza fisica dei propri dispositivi. Portare il PC aziendale in un caffè e dimenticarlo lì? È un classico. Le norme di sicurezza, inclusa quella aziendale, sono scritte con le lacrime delle vittime della propria imprudenza.
Discutiamo nei commenti i vostri metodi per ridurre la probabilità di hacking dei dati quando un estraneo ha accesso a un dispositivo fisico. I metodi suggeriti saranno poi aggiunti all'articolo o pubblicati nel nostro , dove scriviamo regolarmente sulla sicurezza, suggerimenti per l'utilizzo e sulla censura in internet.
Fonte: habr.com
