Ақпан айында біз «Тек VPN емес. Өзіңізді және деректеріңізді қалай қорғауға болатыны туралы алдау парағы ». мақаланың жалғасын жазуға итермеледі. Бұл бөлім толығымен тәуелсіз ақпарат көзі болып табылады, бірақ біз әлі де екі жазбаны оқып шығуды ұсынамыз.
Жаңа пост мессенджерлерде және қолданбалармен жұмыс істеуге пайдаланылатын құрылғылардағы деректердің қауіпсіздігі (хат алмасу, фотосуреттер, бейнелер, барлығы) мәселесіне арналған.
Лездік хабаршылар
Telegram
2018 жылдың қазан айында Wake техникалық колледжінің бірінші курс студенті Натаниэль Сачи Telegram мессенджері хабарламалар мен медиа файлдарды жергілікті компьютер дискісінде таза мәтінмен сақтайтынын анықтады.
Студент өзінің жеке хат-хабарларына, оның ішінде мәтін мен суреттерге қол жеткізе алды. Ол үшін ол HDD-де сақталған қолданбалы деректер қорын зерттеді. Мәліметтерді оқу қиын, бірақ шифрланбаған болып шықты. Және оларға пайдаланушы қолданбаға құпия сөз орнатқан болса да қол жеткізуге болады.
Алынған деректерде әңгімелесушілердің аты-жөні мен телефондары табылды, оларды қажет болған жағдайда салыстыруға болады. Жабық чаттардағы ақпараттар да анық форматта сақталады.
Дуров кейінірек бұл проблема емес екенін айтты, өйткені егер шабуылдаушы пайдаланушының компьютеріне қол жеткізе алса, ол шифрлау кілттерін алып, барлық хат алмасуды еш қиындықсыз шеше алады. Бірақ көптеген ақпараттық қауіпсіздік сарапшылары бұл әлі де маңызды деп санайды.
Сонымен қатар, Telegram негізгі ұрлық шабуылына осал болып шықты Habr пайдаланушысы. Кез келген ұзындықтағы және күрделіліктегі жергілікті код құпия сөздерін бұзуға болады.
Біздің білуімізше, бұл мессенджер де шифрланбаған түрде компьютер дискісінде деректерді сақтайды. Тиісінше, егер шабуылдаушы пайдаланушының құрылғысына қол жеткізе алса, онда барлық деректер де ашық болады.
Бірақ одан да жаһандық мәселе бар. Қазіргі уақытта Android операциялық жүйесі бар құрылғыларда орнатылған WhatsApp-тың барлық сақтық көшірмелері Google және Facebook өткен жылы келіскендей Google Drive-та сақталады. Бірақ хат алмасудың, медиа файлдардың және т.б. сақтық көшірмелері . Қарап отырсақ, сол АҚШ-тың құқық қорғау органдарының қызметкерлері , сондықтан қауіпсіздік күштерінің кез келген сақталған деректерді көре алу мүмкіндігі бар.
Деректерді шифрлауға болады, бірақ екі компания да мұны істемейді. Мүмкін, шифрланбаған сақтық көшірмелерді пайдаланушылардың өздері оңай тасымалдауға және пайдалануға болатындықтан. Мүмкін, шифрлау жоқ, себебі оны орындау техникалық қиын емес: керісінше, сақтық көшірмелерді еш қиындықсыз қорғай аласыз. Мәселе мынада, Google-дың WhatsApp-пен жұмыс істеудің өзіндік себептері бар - бұл компания, мүмкін және оларды жекелендірілген жарнаманы көрсету үшін пайдаланады. Егер Facebook кенеттен WhatsApp сақтық көшірмелері үшін шифрлауды енгізсе, Google WhatsApp пайдаланушыларының қалауы туралы құнды деректер көзін жоғалтып, мұндай серіктестікке қызығушылықты бірден жоғалтады. Бұл, әрине, жай ғана болжам, бірақ жоғары технологиялық маркетинг әлемінде өте ықтимал.
iOS жүйесіне арналған WhatsApp-қа келетін болсақ, сақтық көшірмелер iCloud бұлтында сақталады. Бірақ мұнда да ақпарат шифрланбаған түрде сақталады, ол тіпті қолданба параметрлерінде де көрсетілген. Apple бұл деректерді талдайды ма, жоқ па, оны тек корпорацияның өзі біледі. Рас, Купертинода Google сияқты жарнамалық желі жоқ, сондықтан олардың WhatsApp қолданушыларының жеке деректерін талдау ықтималдығы әлдеқайда төмен деп болжауға болады.
Айтылғандардың барлығын келесідей тұжырымдауға болады - иә, сізде WhatsApp хат-хабарларына қол жеткізу ғана емес.
TikTok және басқа мессенджерлер
Бұл қысқа бейне бөлісу қызметі өте тез танымал болуы мүмкін. Әзірлеушілер өз пайдаланушыларының деректерінің толық қауіпсіздігін қамтамасыз етуге уәде берді. Белгілі болғандай, сервистің өзі бұл деректерді пайдаланушыларды ескертпестен пайдаланған. Одан да сорақысы: қызмет ата-анасының рұқсатынсыз 13 жасқа толмаған балалардың жеке деректерін жинады. Кәмелетке толмағандардың жеке мәліметтері – аты-жөні, электронды поштасы, телефон нөмірлері, фотосуреттері мен видеолары көпшілікке қолжетімді болды.
қызмет көрсету Бірнеше миллион долларға реттеушілер 13 жасқа толмаған балалар түсірген барлық бейнелерді жоюды талап етті. TikTok талапқа сай болды. Дегенмен, басқа мессенджерлер мен қызметтер пайдаланушылардың жеке деректерін өз мақсаттары үшін пайдаланады, сондықтан олардың қауіпсіздігіне сенімді бола алмайсыз.
Бұл тізімді шексіз жалғастыруға болады - көптеген жедел хабаршыларда шабуылдаушыларға пайдаланушыларды тыңдауға мүмкіндік беретін бір немесе басқа осалдық бар ( — Viber, сонда бәрі жөнделген сияқты) немесе олардың деректерін ұрлаңыз. Сонымен қатар, алғашқы бестіктің барлық дерлік қолданбалары пайдаланушы деректерін компьютердің қатты дискісінде немесе телефонның жадында қорғалмаған түрде сақтайды. Бұл заңнаманың арқасында пайдаланушы деректеріне қол жеткізе алатын әртүрлі елдердің барлау қызметтерін еске түсірмейді. Дәл сол Skype, VKontakte, TamTam және басқалары кез келген пайдаланушы туралы кез келген ақпаратты биліктің сұрауы бойынша береді (мысалы, Ресей Федерациясы).
Протокол деңгейінде жақсы қауіпсіздік? Мәселе жоқ, біз құрылғыны сындырамыз
Бірнеше жыл бұрын Apple мен АҚШ үкіметі арасында. Корпорация Сан-Бернардино қаласындағы терактілерге қатысы бар шифрланған смартфонның құлпын ашудан бас тартты. Ол кезде бұл нақты мәселе болып көрінді: деректер жақсы қорғалған, ал смартфонды бұзу не мүмкін емес, не өте қиын болды.
Қазір жағдай басқаша. Мысалы, израильдік Cellebrite компаниясы Ресейдегі және басқа елдердегі заңды тұлғаларға iPhone және Android жүйелерінің барлық үлгілерін бұзуға мүмкіндік беретін бағдарламалық-аппараттық жүйені сатады. Өткен жылы болды осы тақырып бойынша салыстырмалы түрде егжей-тегжейлі ақпаратпен.
Магадандық сот-медициналық сарапшы Попов АҚШ-тың Федералдық тергеу бюросы қолданатын технологияны пайдаланып смартфонды бұзды. Дереккөз: BBC
Құрылғы мемлекеттік стандарттар бойынша арзан. UFED Touch2 үшін Тергеу комитетінің Волгоград бөлімі 800 мың рубль, Хабаровск департаменті 1,2 миллион рубль төледі. 2017 жылы Ресей Федерациясының Тергеу комитетінің басшысы Александр Бастрыкин оның бөлімшесі екенін растады. Израиль компаниясы.
Сбербанк сондай-ақ мұндай құрылғыларды сатып алады - алайда, тергеу жүргізу үшін емес, Android операциялық жүйесі бар құрылғылардағы вирустармен күресу үшін. «Егер мобильді құрылғылар белгісіз зиянды бағдарламалық қамтамасыз ету кодын жұқтырды деген күдік туындаса және вирус жұқтырған телефондардың иелерінің міндетті келісімін алғаннан кейін әртүрлі құралдарды пайдалана отырып, үнемі пайда болатын және өзгеретін жаңа вирустарды іздеу бойынша талдау жүргізіледі. UFED Touch2,» - компанияда.
Америкалықтардың да кез келген смартфонды бұзуға мүмкіндік беретін технологиялары бар. Grayshift 300 смартфонды 15 50 долларға бұзуға уәде береді (бірлігі үшін 1500 доллар, Cellbrite үшін XNUMX доллар).
Киберқылмыскерлердің де осындай құрылғылары бар болуы мүмкін. Бұл құрылғылар үнемі жетілдірілуде - олардың мөлшері азайып, өнімділігі артады.
Енді біз өз пайдаланушыларының деректерін қорғауға алаңдайтын ірі өндірушілердің көп немесе аз танымал телефондары туралы айтып отырмыз. Егер біз кішігірім компаниялар немесе атаусыз ұйымдар туралы айтатын болсақ, онда бұл жағдайда деректер еш қиындықсыз жойылады. HS-USB режимі жүктеуші құлыптаулы болса да жұмыс істейді. Қызмет көрсету режимдері әдетте деректерді алуға болатын «артқы есік» болып табылады. Олай болмаса, JTAG портына қосылуға немесе eMMC чипін толығымен алып тастауға, содан кейін оны қымбат емес адаптерге салуға болады. Деректер шифрланбаған болса, телефоннан бұлттық қоймаға және басқа қызметтерге қол жеткізуді қамтамасыз ететін аутентификация белгілерін қоса алғанда, жалпы барлығы.
Егер біреу маңызды ақпараты бар смартфонға жеке қол жеткізе алатын болса, өндірушілердің айтқанына қарамастан, олар қаласа, оны бұза алады.
Айтылғандардың барлығы смартфондарға ғана емес, сонымен қатар әртүрлі ОЖ жұмыс істейтін компьютерлер мен ноутбуктерге де қатысты екені анық. Жетілдірілген қорғаныс шараларын қолданбасаңыз, бірақ құпия сөз және логин сияқты әдеттегі әдістермен қанағаттансаңыз, деректерге қауіп төнеді. Құрылғыға физикалық рұқсаты бар тәжірибелі хакер дерлік кез келген ақпаратты ала алады - бұл уақыт мәселесі.
Сонымен не істеу керек?
Хабреде жеке құрылғылардағы деректер қауіпсіздігі мәселесі бірнеше рет көтерілді, сондықтан біз дөңгелекті қайта ойлап таппаймыз. Біз тек үшінші тұлғалардың деректеріңізді алу ықтималдығын төмендететін негізгі әдістерді көрсетеміз:
- Смартфонда да, компьютерде де деректерді шифрлауды пайдалану міндетті болып табылады. Әртүрлі операциялық жүйелер жиі жақсы әдепкі мүмкіндіктерді қамтамасыз етеді. Мысал - стандартты құралдарды пайдаланып Mac OS жүйесіндегі криптографиялық контейнер.
- Құпия сөздерді кез келген жерде және кез келген жерде орнатыңыз, соның ішінде Telegram және басқа мессенджерлерде хат алмасу тарихы. Әрине, парольдер күрделі болуы керек.
- Екі факторлы аутентификация – иә, бұл ыңғайсыз болуы мүмкін, бірақ қауіпсіздік бірінші орында тұрса, оған шыдау керек.
- Құрылғыларыңыздың физикалық қауіпсіздігін бақылаңыз. Корпоративтік компьютерді кафеге апарып, сол жерде ұмытып кетесіз бе? Классикалық. Қауіпсіздік стандарттары, соның ішінде корпоративтік стандарттар, өздерінің абайсыздығынан зардап шеккендердің көз жасымен жазылған.
Үшінші тарап физикалық құрылғыға қол жеткізген кезде деректерді бұзу ықтималдығын азайту әдістерін түсініктемелерде қарастырайық. Содан кейін біз ұсынылған әдістерді мақалаға қосамыз немесе оларды өзімізде жариялаймыз , мұнда біз қауіпсіздік, пайдалану үшін лайфхактар туралы үнемі жазамыз және интернет цензурасы.
Ақпарат көзі: www.habr.com