{"id":31944,"date":"2019-10-31T21:44:09","date_gmt":"2019-10-31T18:44:09","guid":{"rendered":"https:\/\/prohoster.info\/blog\/kogda-shifrovanie-ne-pomozhet-rasskazyvaem-pro-fizicheskij-dostup-k-ustrojstvu\/"},"modified":"2019-10-31T21:44:09","modified_gmt":"2019-10-31T18:44:09","slug":"kogda-shifrovanie-ne-pomozhet-rasskazyvaem-pro-fizicheskij-dostup-k-ustrojstvu","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/kogda-shifrovanie-ne-pomozhet-rasskazyvaem-pro-fizicheskij-dostup-k-ustrojstvu","title":{"rendered":"Quando la crittografia non basta: parliamo di accesso fisico al dispositivo","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

A febbraio abbiamo pubblicato un articolo intitolato \u00abNon ci si pu\u00f2 fidare solo del VPN. Guida su come proteggere se stessi e i propri dati\u00bb. Uno dei commenti<\/a><\/noindex> ci ha spinto a scrivere un seguito all'articolo. Questa parte \u00e8 una fonte di informazione abbastanza autonoma, ma consigliamo comunque di dare un'occhiata a entrambi i post.<\/p>\n

Il nuovo post \u00e8 dedicato alla sicurezza dei dati (messaggi, foto, video, tutto questo) nei messaggini e nei dispositivi stessi utilizzati per lavorare con le applicazioni.<\/a><\/noindex><\/p>\n

Messaggini<\/h3>\n

\n Telegram<\/b><\/p>\n

Gi\u00e0 nell'ottobre 2018, uno studente del primo anno del Wake Technical College, Nathaniel Sachi, \u00e8 riuscito a scoprire che il messaggero Telegram salva messaggi e file multimediali sul disco locale del computer in chiaro.<\/p>\n

Lo studente \u00e8 riuscito ad accedere alla sua corrispondenza, inclusi testi e immagini. Per farlo, ha esaminato i database dell'app, archiviati su HDD. Si \u00e8 scoperto che i dati sono difficili da leggere, ma non sono crittografati. E si pu\u00f2 accedere anche nel caso in cui l'utente abbia impostato una password per l'app.<\/p>\n

Nei dati ottenuti sono stati trovati nomi e numeri di telefono dei contatti, che possono essere confrontati se lo si desidera. Anche le informazioni delle chat chiuse sono conservate in chiaro.<\/p>\n

Successivamente, Durov ha dichiarato che non \u00e8 un problema, poich\u00e9 se un malintenzionato ha accesso al PC dell'utente, pu\u00f2 ottenere le chiavi di crittografia e decifrare senza problemi tutta la corrispondenza. Ma molti esperti di sicurezza informatica sostengono che questo \u00e8 comunque un problema serio.<\/p>\n

\r\n \"Guarda\r\n
<\/div>\r\n <\/div><\/center>
\nInoltre, Telegram si \u00e8 dimostrato vulnerabile all'attacco di furto delle chiavi, il che ha scoperto<\/noindex> utente di Habr. \u00c8 possibile violare il codice locale della password di qualsiasi lunghezza e complessit\u00e0.<\/p>\n

WhatsApp<\/b><\/p>\n

Per quanto si sa, anche questo messaggero conserva dati sul disco del computer in chiaro. Pertanto, se un malintenzionato ha accesso al dispositivo dell'utente, tutti i dati sono a sua disposizione.<\/p>\n

Ma c'\u00e8 un problema pi\u00f9 globale. Attualmente tutti i backup di WhatsApp, installato su dispositivi con Android OS, vengono archiviati su Google Drive, su cui Google e Facebook hanno concordato lo scorso anno. Ma i backup della corrispondenza, dei file multimediali e simili vengono conservati in chiaro<\/a><\/noindex>. Da quanto si pu\u00f2 giudicare, i funzionari delle forze dell'ordine degli Stati Uniti hanno accesso a Google Drive<\/a><\/noindex>, quindi esiste la possibilit\u00e0 che le forze dell'ordine possano esaminare qualsiasi dato salvato.<\/p>\n

\u00c8 possibile crittografare i dati, ma entrambe le aziende non lo fanno. Probabilmente, semplicemente perch\u00e9 i backup non crittografati possono essere facilmente trasferiti e utilizzati dagli stessi utenti. \u00c8 molto probabile che la mancanza di crittografia non sia dovuta alla difficolt\u00e0 di implementazione tecnica: al contrario, proteggere i backup \u00e8 un'operazione senza complicazioni. Il problema \u00e8 che Google ha le sue ragioni per collaborare con WhatsApp \u2014 l'azienda, apparentemente, analizza i dati memorizzati sui server di Google Drive<\/a><\/noindex> e li utilizza per mostrare pubblicit\u00e0 personalizzate. Se Facebook introdusse improvvisamente la crittografia per i backup di WhatsApp, Google perderebbe immediatamente interesse in tale collaborazione, privandosi di una preziosa fonte di dati sulle preferenze degli utenti di WhatsApp. Questo, ovviamente, \u00e8 solo un'ipotesi, ma piuttosto probabile nel mondo del marketing hi-tech. <\/p>\n

Per quanto riguarda WhatsApp per iOS, i backup vengono salvati su iCloud. Ma anche qui le informazioni sono archiviate in modo non crittografato, come indicato nelle impostazioni dell'app. Se Apple analizza o meno questi dati, lo sa solo la stessa azienda. Tuttavia, i californiani non hanno una rete pubblicitaria come Google, quindi possiamo presumere che la probabilit\u00e0 che analizzi i dati personali degli utenti di WhatsApp sia significativamente inferiore. <\/p>\n

Tutto ci\u00f2 che \u00e8 stato detto pu\u00f2 essere riassunto nel modo seguente: s\u00ec, non solo voi avete accesso alla vostra corrispondenza di WhatsApp.<\/p>\n

TikTok e altri messaggeri<\/b><\/p>\n

Questo servizio di scambio di brevi video potrebbe diventare molto rapidamente popolare. Gli sviluppatori hanno promesso di garantire la completa sicurezza dei dati dei propri utenti. Come si \u00e8 rivelato, il servizio stesso ha utilizzato questi dati senza informare gli utenti. Peggio ancora: il servizio ha raccolto dati personali di bambini sotto i 13 anni senza il consenso dei genitori. Le informazioni personali dei minorenni \u2014 nomi, email, numeri di telefono, foto e video \u2014 sono state rese pubbliche.<\/p>\n

Servizio \u00e8 stato multato<\/a><\/noindex> di alcuni milioni di dollari, e i regolatori hanno anche richiesto di rimuovere tutti i video registrati da bambini di et\u00e0 inferiore ai 13 anni. TikTok ha obbedito. Tuttavia, altri messaggeri e servizi utilizzano i dati personali degli utenti a proprio favore, quindi non si pu\u00f2 essere certi della loro sicurezza.<\/p>\n

Questo elenco potrebbe continuare all'infinito: la maggior parte dei messenger ha qualche vulnerabilit\u00e0 che consente agli aggressori di spiare gli utenti (ottimo esempio \u2014 Viber, anche se l\u00ec sembra che abbiano risolto) o di rubare i loro dati. Inoltre, praticamente tutte le app nella top 5 memorizzano i dati degli utenti in forma non protetta sul disco rigido del computer o nella memoria del telefono. E questo senza ricordare i servizi segreti di vari paesi, che potrebbero avere accesso ai dati degli utenti grazie a leggi specifiche. Lo stesso Skype, VKontakte, TamTam e altri forniscono qualsiasi informazione su qualsiasi utente su richiesta delle autorit\u00e0 (ad esempio, della Federazione Russa).un ottimo esempio<\/a><\/noindex> Non \u00e8 un problema avere una buona protezione a livello di protocollo, basta hackerare il dispositivo.<\/p>\n

Qualche anno fa<\/h3>\n

\n\u00e8 scoppiato un conflitto tra Apple e il governo degli Stati Uniti. La corporation si rifiutava di sbloccare uno smartphone crittografato coinvolto nel caso degli attentati a San Bernardino. All'epoca sembrava un problema reale: i dati erano ben protetti e hackerare lo smartphone era impossibile o molto difficile.<\/a><\/noindex> Ora la situazione \u00e8 diversa. Ad esempio, l'azienda israeliana Cellebrite vende a enti legali in Russia e in altri paesi un sistema software e hardware che consente di hackare tutti i modelli di iPhone e Android. L'anno scorso \u00e8 stato<\/p>\n

pubblicato un opuscolo pubblicitario con informazioni relativamente dettagliate su questo argomento.<\/a><\/noindex> L'investigatore criminale di Magadan, Popov, hackera lo smartphone utilizzando la stessa tecnologia dell'FBI degli Stati Uniti. Fonte: BBC<\/p>\n

\"Quando
\nIl dispositivo costa relativamente poco secondo gli standard governativi. Per l'UFED Touch2, il comando investigativo di Volgograd ha pagato 800 mila rubli, quello di Khabarovsk \u2014 1,2 milioni di rubli. Nel 2017, Aleksandr Bastrykin, capo del Comitato Inquirente della RF, ha confermato che il suo ente<\/i><\/p>\n

utilizza soluzioni dell'azienda israeliana.<\/noindex> della societ\u00e0 israeliana. <\/p>\n

Acquista questi dispositivi anche \"Sberbank\" \u2014 ma non per condurre indagini, bens\u00ec per combattere i virus sui dispositivi con sistema operativo Android. \"In caso di sospetto di infezione dei dispositivi mobili con codice dannoso sconosciuto e dopo aver ottenuto il consenso obbligatorio dei proprietari dei telefoni infetti, verr\u00e0 eseguita un'analisi per cercare nuovi virus in costante evoluzione e trasformazione, utilizzando vari strumenti, incluso UFED Touch2\", \u2014 dichiarato<\/a><\/noindex> in azienda.<\/p>\n

Anche gli americani possiedono tecnologie in grado di hackerare qualsiasi smartphone. L'azienda Grayshift promette di violare 300 smartphone per 15.000 dollari USA (50 dollari per unit\u00e0 contro i 1500 di Cellbrite).<\/p>\n

\u00c8 molto probabile che dispositivi simili siano in possesso anche dei cybercriminali. Questi dispositivi vengono continuamente migliorati \u2014 riducendo le dimensioni e aumentando le prestazioni.<\/p>\n

Al momento stiamo parlando di telefoni pi\u00f9 o meno noti di grandi produttori, che si preoccupano della protezione dei dati dei propri utenti. Se invece si parla di aziende meno importanti o di organizzazioni sconosciute, in questo caso i dati vengono estratti senza problemi. La modalit\u00e0 HS-USB funziona anche nei casi in cui il bootloader \u00e8 bloccato. Le modalit\u00e0 di servizio, di solito, sono un \"ingresso secondario\" da cui \u00e8 possibile estrarre i dati. Se non ci si riesce, \u00e8 possibile connettersi alla porta JTAG o addirittura estrarre il chip eMMC, inserendolo poi in un adattatore economico. Se i dati non sono cifrati, dal telefono si possono estrarre<\/a><\/noindex> tutte le informazioni, inclusi i token di autenticazione che forniscono accesso a cloud storage e ad altri servizi.<\/p>\n

Se qualcuno ha accesso personale a uno smartphone con informazioni importanti, allora \u00e8 possibile hackerarlo a piacimento, indipendentemente da ci\u00f2 che dicono i produttori.<\/p>\n

\u00c8 chiaro che quanto detto non si applica solo agli smartphone, ma anche ai computer e ai laptop con vari sistemi operativi. Se non si ricorre a misure di protezione avanzate, accontentandosi di metodi normali come la password e il login, i dati rimarranno a rischio. Un hacker esperto, in presenza di accesso fisico al dispositivo, potr\u00e0 ottenere praticamente qualsiasi informazione \u2014 \u00e8 solo una questione di tempo.<\/p>\n

Allora, cosa si deve fare?<\/h3>\n

\nSu Habr, la questione della sicurezza dei dati sui dispositivi personali \u00e8 stata affrontata pi\u00f9 volte, quindi non reinventeremo la ruota. Indicheremo solo i principali metodi che riducono la probabilit\u00e0 che i vostri dati siano accessibili a terzi:<\/p>\n