כשההצפנה לא תעזור: אנחנו מדברים על גישה פיזית למכשיר

בפברואר פרסמנו את המאמר "לא VPN לבד. דף רמאות על איך להגן על עצמך ועל הנתונים שלך." אחת ההערות הניע אותנו לכתוב המשך של המאמר. חלק זה הוא מקור מידע עצמאי לחלוטין, אך אנו עדיין ממליצים לקרוא את שני הפוסטים.

פוסט חדש מוקדש לנושא אבטחת המידע (התכתבויות, תמונות, סרטונים, זה הכל) במסרים מיידיים ובמכשירים עצמם המשמשים לעבודה עם אפליקציות.

שליחים

מברק

עוד באוקטובר 2018, סטודנט שנה א' של המכללה הטכנית של ווייק, נתנאל סאצ'י, גילה שהשליח של הטלגרם שומר הודעות וקבצי מדיה בכונן המחשב המקומי בטקסט ברור.

התלמיד הצליח לגשת להתכתבויות שלו, כולל טקסט ותמונות. לשם כך, הוא למד את מסדי הנתונים של היישומים המאוחסנים ב-HDD. התברר שהנתונים היו קשים לקריאה, אך לא מוצפנים. וניתן לגשת אליהם גם אם המשתמש הגדיר סיסמה לאפליקציה.

בנתונים שהתקבלו נמצאו שמות ומספרי טלפון של בני השיח, שבמידת הצורך ניתן להשוותם. מידע מצ'אטים סגורים נשמר גם בפורמט ברור.

מאוחר יותר הצהיר דורוב כי זו לא בעיה, כי אם לתוקף יש גישה למחשב האישי של המשתמש, הוא יוכל להשיג מפתחות הצפנה ולפענח את כל ההתכתבויות ללא בעיות. אבל מומחי אבטחת מידע רבים טוענים שזה עדיין חמור.

בנוסף, התברר כי טלגרם חשופה להתקפת גניבת מפתח, אשר נמצא משתמש Habr. אתה יכול לפרוץ סיסמאות קוד מקומי בכל אורך ומורכבות.

וואטסאפ

ככל הידוע לנו, מסנג'ר זה גם מאחסן נתונים בדיסק המחשב בצורה לא מוצפנת. בהתאם לכך, אם לתוקף יש גישה למכשיר של המשתמש, אז כל הנתונים פתוחים גם הם.

אבל יש בעיה גלובלית יותר. נכון לעכשיו, כל הגיבויים מוואטסאפ המותקנים במכשירים עם מערכת הפעלה אנדרואיד מאוחסנים ב-Google Drive, כפי שגוגל ופייסבוק סיכמו בשנה שעברה. אבל גיבויים של התכתבויות, קבצי מדיה וכדומה מאוחסן ללא מוצפן. עד כמה שאפשר לשפוט, קציני אכיפת החוק של אותה ארה"ב יש גישה ל-Google Drive, כך שקיימת אפשרות שכוחות הביטחון יוכלו לצפות בכל הנתונים המאוחסנים.

אפשר להצפין נתונים, אבל שתי החברות לא עושות זאת. אולי פשוט בגלל שניתן להעביר בקלות גיבויים לא מוצפנים ולהשתמש בהם על ידי המשתמשים עצמם. סביר להניח שאין הצפנה לא בגלל שזה קשה טכנית ליישום: להיפך, אתה יכול להגן על גיבויים ללא כל קושי. הבעיה היא שלגוגל יש סיבות משלה לעבוד עם וואטסאפ - החברה ככל הנראה מנתח נתונים המאוחסנים בשרתי Google Drive ומשתמש בהם כדי להציג פרסום מותאם אישית. אם פייסבוק תציג לפתע הצפנה לגיבויים של WhatsApp, גוגל הייתה מאבדת עניין באופן מיידי בשותפות כזו, ומאבדת מקור חשוב של מידע על העדפותיהם של משתמשי WhatsApp. זו, כמובן, רק הנחה, אבל סביר מאוד בעולם השיווק ההיי-טק.

לגבי WhatsApp עבור iOS, גיבויים נשמרים בענן iCloud. אבל גם כאן המידע נשמר בצורה לא מוצפנת, מה שמצוין אפילו בהגדרות האפליקציה. אם אפל מנתחת נתונים אלה או לא, ידוע רק לתאגיד עצמו. נכון, לקופרטינו אין רשת פרסום כמו גוגל, אז אפשר להניח שהסבירות שהם ינתחו את הנתונים האישיים של משתמשי וואטסאפ נמוכה בהרבה.

ניתן לנסח את כל מה שנאמר כך - כן, לא רק יש לך גישה להתכתבויות שלך בוואטסאפ.

TikTok ושליחים אחרים

שירות שיתוף הווידאו הקצר הזה יכול להפוך לפופולרי מהר מאוד. המפתחים הבטיחו להבטיח אבטחה מלאה של הנתונים של המשתמשים שלהם. כפי שהתברר, השירות עצמו השתמש בנתונים אלה מבלי להודיע ​​למשתמשים. גרוע מכך: השירות אסף נתונים אישיים מילדים מתחת לגיל 13 ללא הסכמת הורים. מידע אישי של קטינים - שמות, הודעות דואר אלקטרוני, מספרי טלפון, תמונות וסרטונים - הפך לזמין לציבור.

שירות נקנס תמורת כמה מיליוני דולרים, הרגולטורים דרשו גם להסיר את כל הסרטונים שעשו ילדים מתחת לגיל 13. TikTok נענה. עם זאת, שליחים ושירותים אחרים משתמשים בנתונים האישיים של המשתמשים למטרותיהם, כך שאינך יכול להיות בטוח באבטחתם.

ניתן להמשיך ברשימה הזו בלי סוף - לרוב המסרים המידיים יש פגיעות כזו או אחרת המאפשרת לתוקפים לצותת למשתמשים (דוגמה מצוינת - Viber, למרות שנראה שהכל תוקן שם) או לגנוב את הנתונים שלהם. בנוסף, כמעט כל האפליקציות מ-5 המובילות מאחסנות נתוני משתמש בצורה לא מוגנת בכונן הקשיח של המחשב או בזיכרון הטלפון. וזאת מבלי לזכור את שירותי המודיעין של מדינות שונות, שעשויות לקבל גישה לנתוני משתמשים בזכות חקיקה. אותם סקייפ, VKontakte, TamTam ואחרים מספקים כל מידע על כל משתמש לבקשת הרשויות (לדוגמה, הפדרציה הרוסית).

אבטחה טובה ברמת הפרוטוקול? אין בעיה, אנחנו שוברים את המכשיר

לפני כמה שנים פרץ סכסוך בין אפל לממשלת ארה"ב. התאגיד סירב לפתוח סמארטפון מוצפן שהיה מעורב בפיגועי הטרור בעיר סן ברנרדינו. בזמנו, זו נראתה כמו בעיה אמיתית: הנתונים היו מוגנים היטב, ופריצה לסמארטפון הייתה בלתי אפשרית או קשה מאוד.

עכשיו הדברים שונים. כך למשל, חברת Cellebrite הישראלית מוכרת לגורמים משפטיים ברוסיה ובמדינות נוספות מערכת תוכנה וחומרה המאפשרת לפרוץ את כל דגמי האייפון והאנדרואיד. שנה שעברה היה חוברת פרסום יצאה לאור עם מידע מפורט יחסית בנושא זה.

חוקר הזיהוי הפלילי של Magadan Popov פורץ לסמארטפון באמצעות אותה טכנולוגיה המשמשת את משרד החקירות הפדרלי של ארה"ב. מקור: BBC

המכשיר זול בסטנדרטים ממשלתיים. עבור UFED Touch2, מחלקת וולגוגרד של ועדת החקירה שילמה 800 אלף רובל, מחלקת חברובסק - 1,2 מיליון רובל. בשנת 2017, אלכסנדר בסטריקין, ראש ועדת החקירה של הפדרציה הרוסית, אישר כי המחלקה שלו משתמש בפתרונות חברה ישראלית.

סברבנק גם רוכשת מכשירים כאלה - עם זאת, לא לביצוע חקירות, אלא למלחמה בווירוסים במכשירים עם מערכת הפעלה אנדרואיד. "במידה והמכשירים הסלולריים נחשדים כנדבקים בקוד תוכנה זדוני לא ידוע, ולאחר קבלת הסכמתם המחייבת של בעלי הטלפונים הנגועים, יתבצע ניתוח לחיפוש אחר וירוסים חדשים שצצים ומשתנים כל הזמן באמצעות כלים שונים, כולל שימוש של UFED Touch2," - נָקוּב בחברה.

לאמריקאים יש גם טכנולוגיות שמאפשרות להם לפרוץ כל סמארטפון. Grayshift מבטיחה לפרוץ 300 סמארטפונים תמורת 15 דולר (50 דולר ליחידה מול 1500 דולר לסלבריט).

סביר להניח שגם לפושעי סייבר יש מכשירים דומים. מכשירים אלו משתפרים ללא הרף - גודלם יורד והביצועים שלהם עולים.

עכשיו אנחנו מדברים על טלפונים מוכרים יותר או פחות מיצרנים גדולים שדואגים להגן על הנתונים של המשתמשים שלהם. אם אנחנו מדברים על חברות קטנות יותר או ארגונים ללא שם, אז במקרה זה הנתונים מוסרים ללא בעיות. מצב HS-USB פועל גם כאשר טוען האתחול נעול. מצבי שירות הם בדרך כלל "דלת אחורית" שדרכה ניתן לאחזר נתונים. אם לא, אתה יכול להתחבר ליציאת JTAG או להסיר את שבב ה-eMMC לגמרי ואז להכניס אותו למתאם לא יקר. אם הנתונים אינם מוצפנים, מהטלפון ניתן לשלוף הכל באופן כללי, כולל אסימוני אימות המספקים גישה לאחסון בענן ולשירותים אחרים.

אם למישהו יש גישה אישית לסמארטפון עם מידע חשוב, אז הוא יכול לפרוץ אותו אם הוא רוצה, לא משנה מה יגידו היצרנים.

ברור שכל מה שנאמר חל לא רק על סמארטפונים, אלא גם על מחשבים ומחשבים ניידים המריצים מערכות הפעלה שונות. אם לא תנקוט באמצעי הגנה מתקדמים, אלא תסתפק בשיטות קונבנציונליות כמו סיסמה וכניסה, אז הנתונים יישארו בסכנה. האקר מנוסה עם גישה פיזית למכשיר יוכל להשיג כמעט כל מידע - זה רק עניין של זמן.

אז מה לעשות?

ב-Habré, הנושא של אבטחת מידע במכשירים אישיים הועלה יותר מפעם אחת, אז לא נמציא את הגלגל מחדש. אנו נציין רק את השיטות העיקריות המפחיתות את הסבירות שצדדים שלישיים ישיגו את הנתונים שלך:

• חובה להשתמש בהצפנת נתונים גם בסמארטפון וגם במחשב האישי שלך. מערכות הפעלה שונות מספקות לרוב תכונות ברירת מחדל טובות. דוגמא - יצירה מיכל קריפטו ב-Mac OS באמצעות כלים סטנדרטיים.

• הגדר סיסמאות בכל מקום ובכל מקום, כולל היסטוריית ההתכתבויות בטלגרם ובשליחים מיידיים אחרים. מטבע הדברים, סיסמאות חייבות להיות מורכבות.

• אימות דו-גורמי - כן, זה יכול להיות לא נוח, אבל אם האבטחה קודמת לכל, אתה צריך להשלים עם זה.

• עקוב אחר האבטחה הפיזית של המכשירים שלך. לקחת מחשב ארגוני לבית קפה ולשכוח אותו שם? קלַאסִי. תקני בטיחות, כולל תקני תאגידים, נכתבו בדמעות של קורבנות של חוסר זהירות שלהם.

בואו נסתכל בהערות על השיטות שלך להפחתת הסבירות לפריצת נתונים כאשר צד שלישי מקבל גישה למכשיר פיזי. לאחר מכן נוסיף את השיטות המוצעות למאמר או נפרסם אותן אצלנו ערוץ טלגרם, שבו אנו כותבים באופן קבוע על פריצות בטיחות, חיים לשימוש ה-VPN שלנו וצנזורה באינטרנט.

מקור: www.habr.com