{"id":31944,"date":"2019-10-31T21:44:09","date_gmt":"2019-10-31T18:44:09","guid":{"rendered":"https:\/\/prohoster.info\/blog\/kogda-shifrovanie-ne-pomozhet-rasskazyvaem-pro-fizicheskij-dostup-k-ustrojstvu\/"},"modified":"2019-10-31T21:44:09","modified_gmt":"2019-10-31T18:44:09","slug":"kogda-shifrovanie-ne-pomozhet-rasskazyvaem-pro-fizicheskij-dostup-k-ustrojstvu","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/kogda-shifrovanie-ne-pomozhet-rasskazyvaem-pro-fizicheskij-dostup-k-ustrojstvu","title":{"rendered":"Quando la crittografia non \u00e8 sufficiente: parliamo dell'accesso fisico al dispositivo","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

A febbraio abbiamo pubblicato l'articolo \"Non di solo VPN vive l'uomo. Una guida su come proteggere se stessi e i propri dati\". Uno dei commenti<\/a><\/noindex> ci ha spinto a scrivere un seguito all'articolo. Questa parte \u00e8 una fonte di informazioni piuttosto autonoma, ma raccomandiamo comunque di leggere entrambi i post.<\/p>\n

Il nuovo post \u00e8 dedicato alla sicurezza dei dati (messaggi, foto, video, insomma) nelle app di messaggistica e sui dispositivi utilizzati per lavorare con queste applicazioni.<\/a><\/noindex><\/p>\n

App di messaggistica<\/h3>\n

\n Telegram<\/b><\/p>\n

Gi\u00e0 nell'ottobre 2018, uno studente del primo anno del Wake Technical College, Nathaniel Sachi, ha scoperto che l'app di messaggistica Telegram salva i messaggi e i file multimediali sul disco locale del computer in chiaro.<\/p>\n

Lo studente \u00e8 riuscito ad accedere alla propria corrispondenza, inclusi testi e immagini. Per farlo, ha esaminato i database dell'applicazione memorizzati su HDD. Si \u00e8 scoperto che i dati sono difficili da leggere, ma non sono crittografati. \u00c8 possibile accedervi anche se l'utente ha impostato una password per l'applicazione.<\/p>\n

Nei dati ricevuti sono stati trovati nomi e numeri di telefono dei contatti, che possono essere associati se lo si desidera. Anche le informazioni delle chat private vengono conservate in chiaro.<\/p>\n

In seguito, Durov ha dichiarato che non \u00e8 un problema, poich\u00e9 se un criminale informatico ha accesso al computer dell'utente, potr\u00e0 ottenere le chiavi di crittografia e decifrare l'intera corrispondenza senza problemi. Tuttavia, molti esperti di sicurezza informatica affermano che questo sia comunque un problema serio.<\/p>\n

\r\n \"Riproduci\r\n
<\/div>\r\n <\/div><\/center>
\nInoltre, Telegram si \u00e8 rivelato vulnerabile agli attacchi di furto di chiavi, il che ha scoperto<\/noindex> un utente di Habr. \u00c8 possibile violare il codice locale di una password di qualsiasi lunghezza e complessit\u00e0.<\/p>\n

WhatsApp<\/b><\/p>\n

A quanto si sa, questo messenger conserva anche i dati sul disco del computer in chiaro. Pertanto, se un criminale informatico ha accesso al dispositivo dell'utente, tutti i dati sono anch'essi accessibili.<\/p>\n

Ma c'\u00e8 un problema pi\u00f9 globale. Attualmente, tutte le backup da WhatsApp installato su dispositivi con sistema operativo Android vengono conservati su Google Drive, come concordato da Google e Facebook lo scorso anno. Tuttavia, i backup delle conversazioni, dei file multimediali e simili vengono conservati in chiaro.<\/a><\/noindex>. A quanto si pu\u00f2 capire, gli impiegati delle forze dell'ordine degli Stati Uniti hanno accesso a Google Drive<\/a><\/noindex>, quindi esiste la possibilit\u00e0 che le forze dell'ordine possano visualizzare qualsiasi dato salvato.<\/p>\n

I dati possono essere criptati, ma nessuna delle due aziende lo fa. Forse semplicemente perch\u00e9 i backup non criptati possono essere facilmente trasferiti e utilizzati dagli utenti stessi. Probabilmente, la mancanza di crittografia non \u00e8 dovuta alla difficolt\u00e0 tecnica: al contrario, proteggere i backup pu\u00f2 essere fatto senza alcuno sforzo. Il problema \u00e8 che Google ha le sue ragioni per collaborare con WhatsApp \u2014 l'azienda, presumibilmente, analizza i dati conservati sui server di Google Drive<\/a><\/noindex> e li utilizza per mostrare pubblicit\u00e0 personalizzate. Se Facebook introdusesse improvvisamente la crittografia per i backup di WhatsApp, Google perderebbe immediatamente interesse per tale partnership, privandosi di una preziosa fonte di dati sulle preferenze degli utenti di WhatsApp. Questo \u00e8, ovviamente, solo un'ipotesi, ma \u00e8 molto probabile nel mondo del marketing hi-tech. <\/p>\n

Per quanto riguarda WhatsApp per iOS, i backup vengono salvati nel cloud iCloud. Ma anche qui le informazioni sono conservate in forma non crittografata, come indicato nelle impostazioni dell'app. La Apple sta analizzando questi dati o meno, lo sa solo la stessa azienda. Tuttavia, i californiani non hanno una rete pubblicitaria come Google, quindi possiamo ipotizzare che la probabilit\u00e0 che analizzino i dati personali degli utenti di WhatsApp sia significativamente pi\u00f9 bassa. <\/p>\n

Tutto ci\u00f2 che \u00e8 stato detto pu\u00f2 essere riassunto nel seguente modo: s\u00ec, non solo voi avete accesso alla vostra corrispondenza su WhatsApp.<\/p>\n

TikTok e altri messaggeri<\/b><\/p>\n

Questo servizio di condivisione di brevi video ha potuto diventare molto popolare in breve tempo. Gli sviluppatori promettevano di garantire la massima sicurezza dei dati dei propri utenti. Come si \u00e8 rivelato, il servizio stesso utilizzava questi dati senza notificare gli utenti. Peggio ancora: il servizio raccoglieva dati personali di bambini sotto i 13 anni senza il consenso dei genitori. Le informazioni personali dei minorenni \u2014 nomi, e-mail, numeri di telefono, foto e video \u2014 finivano in accesso pubblico.<\/p>\n

Servizio \u00e8 stato multato<\/a><\/noindex> per diversi milioni di dollari, i regolatori hanno anche richiesto la rimozione di tutti i video registrati da bambini sotto i 13 anni. TikTok ha ceduto. Tuttavia, altre app di messaggistica e servizi utilizzano i dati personali degli utenti per i propri scopi, quindi non si pu\u00f2 essere certi della loro sicurezza.<\/p>\n

Questo elenco pu\u00f2 continuare all'infinito: la maggior parte delle app di messaggistica presenta una vulnerabilit\u00e0 che permette agli aggressori di intercettare gli utenti (un ottimo esempio<\/a><\/noindex> \u2014 Viber, anche se sembra che abbiano risolto il problema) o di rubare i loro dati. Inoltre, praticamente tutte le applicazioni della top 5 memorizzano i dati degli utenti in forma non protetta sul disco rigido del computer o nella memoria del telefono. Questo senza menzionare i servizi di sicurezza di vari paesi, i quali possono avere accesso ai dati degli utenti grazie alla legislazione. Anche Skype, VKontakte, TamTam e altri forniscono qualsiasi informazione su qualsiasi utente su richiesta delle autorit\u00e0 (ad esempio, della Federazione Russa).<\/p>\n

Una buona protezione a livello di protocollo? Nessun problema, rompiamo il dispositivo<\/h3>\n

\nQualche anno fa \u00e8 scoppiato un conflitto<\/a><\/noindex> tra Apple e il governo degli Stati Uniti. La corporation si \u00e8 rifiutata di sbloccare uno smartphone crittografato coinvolto nel caso degli attacchi terroristici a San Bernardino. All'epoca sembrava un problema reale: i dati erano ben protetti e hackerare lo smartphone era impossibile o molto difficile.<\/p>\n

Oggi le cose sono cambiate. Ad esempio, la compagnia israeliana Cellebrite vende a enti giuridici russi e di altri paesi un sistema software-hardware che permette di hackerare tutti i modelli di iPhone e Android. L'anno scorso \u00e8 stata pubblicata una brochure pubblicitaria<\/a><\/noindex> con informazioni relativamente dettagliate su questo argomento.<\/p>\n

\"Quando
\nL'investigatore-criminale di Magadan, Popov, sta hackerando uno smartphone con la stessa tecnologia dell'FBI statunitense. Fonte: BBC<\/i><\/p>\n

Il dispositivo ha un costo relativamente basso secondo i criteri statali. Per UFED Touch2, l'ufficio del Comitato Investigativo di Volgograd ha pagato 800 mila rubli, quello di Khabarovsk \u2014 1,2 milioni di rubli. Nel 2017, Aleksandr Bastrykin, capo del Comitato Investigativo della Federazione Russa, ha confermato che il suo ente utilizza soluzioni<\/noindex> della compagnia israeliana. <\/p>\n

Anche Sberbank acquista dispositivi di questo tipo, ma non per condurre indagini, bens\u00ec per combattere i virus sui dispositivi con sistema operativo Android. \"In caso di sospetto di infezione di dispositivi mobili da parte di codici dannosi sconosciuti e dopo aver ottenuto il consenso obbligatorio dei proprietari dei telefoni infetti, verr\u00e0 effettuata un'analisi per individuare nuovi virus in continua evoluzione utilizzando vari strumenti, compreso l'uso di UFED Touch2\", \u2014 hanno annunciato<\/a><\/noindex> nella compagnia.<\/p>\n

Negli Stati Uniti ci sono anche tecnologie che consentono di violare qualsiasi smartphone. L'azienda Grayshift promette di violare 300 smartphone per 15.000 dollari (ossia $50 per unit\u00e0 contro $1500 di Cellbrite).<\/p>\n

\u00c8 probabile che dispositivi simili siano a disposizione anche dei criminali informatici. Questi dispositivi sono in costante perfezionamento: si riduce la dimensione e aumenta la potenza.<\/p>\n

Ora parliamo di telefoni abbastanza noti dei grandi produttori, che si preoccupano della protezione dei dati dei propri utenti. Se invece si tratta di aziende meno conosciute o di organizzazioni senza nome, in questo caso i dati possono essere estratti senza problemi. La modalit\u00e0 HS-USB funziona anche nel caso in cui il bootloader sia bloccato. I modi di servizio sono di solito una \u00abentrata secondaria\u00bb attraverso cui \u00e8 possibile estrarre i dati. Se non \u00e8 possibile, si pu\u00f2 collegare al porto JTAG o addirittura estrarre il chip eMMC, inserendolo poi in un adattatore economico. Se i dati non sono criptati, si possono recuperare dal telefono \u00e8 possibile estrarre<\/a><\/noindex> tutto, compresi i marker di autenticazione che forniscono accesso agli archivi cloud e ad altri servizi.<\/p>\n

Se qualcuno ha accesso personale a uno smartphone con informazioni importanti, \u00e8 possibile hackerarlo, qualunque cosa dicano i produttori.<\/p>\n

\u00c8 chiaro che quanto detto riguarda non solo gli smartphone, ma anche computer e laptop con vari sistemi operativi. Se non si adottano misure di sicurezza avanzate e ci si accontenta di metodi ordinari come username e password, i dati rimarranno a rischio. Un hacker esperto, in possesso di accesso fisico al dispositivo, pu\u00f2 ottenere praticamente qualsiasi informazione \u2014 \u00e8 solo una questione di tempo.<\/p>\n

Cosa fare dunque?<\/h3>\n

\nSu Habr abbiamo gi\u00e0 affrontato la questione della sicurezza dei dati sui dispositivi personali, quindi non reinventeremo la ruota. Indicheremo solo i principali metodi che riducono la probabilit\u00e0 che le persone non autorizzate accedano ai vostri dati:<\/p>\n