암호화가 도움이 되지 않는 경우: 장치에 대한 물리적 액세스에 대해 이야기

XNUMX월에 저희는 “VPN만이 아닙니다. 자신과 데이터를 보호하는 방법에 대한 치트 시트입니다. 댓글 중 하나 기사의 연속을 작성하라는 메시지가 표시되었습니다. 이 부분은 완전히 독립적인 정보 소스이지만 여전히 두 게시물을 모두 읽는 것이 좋습니다.

새 게시물은 인스턴트 메신저 및 응용 프로그램 작업에 사용되는 장치 자체의 데이터 보안 문제(서신, 사진, 비디오 등)에 관한 것입니다.

메신저

텔레그램

2018년 XNUMX월 Wake Technical College XNUMX학년생 Nathaniel Sachi는 Telegram 메신저가 로컬 컴퓨터 드라이브의 메시지와 미디어 파일을 일반 텍스트로 저장한다는 사실을 발견했습니다.

학생은 글과 그림을 포함한 자신의 서신에 접근할 수 있었습니다. 이를 위해 그는 HDD에 저장된 응용 프로그램 데이터베이스를 연구했습니다. 데이터는 읽기 어렵지만 암호화되지 않은 것으로 나타났습니다. 그리고 사용자가 응용 프로그램에 암호를 설정한 경우에도 액세스할 수 있습니다.

수신 된 데이터에서 원하는 경우 비교할 수있는 대담 자의 이름과 전화 번호가 발견되었습니다. 비공개 채팅의 정보도 일반 텍스트로 저장됩니다.

나중에 Durov는 공격자가 사용자의 PC에 액세스할 수 있는 경우 아무 문제 없이 암호화 키를 얻고 모든 통신을 해독할 수 있기 때문에 이것이 문제가 되지 않는다고 말했습니다. 그러나 많은 정보 보안 전문가들은 이것이 여전히 심각하다고 주장합니다.

또한 Telegram은 키 도용 공격에 취약하여 발견하다 하브르 유저. 길이와 복잡성에 관계없이 로컬 코드 암호를 해독할 수 있습니다.

WhatsApp에

우리가 아는 한 이 메신저는 데이터를 암호화되지 않은 형태로 컴퓨터 디스크에 저장합니다. 따라서 공격자가 사용자의 장치에 액세스할 수 있는 경우 모든 데이터도 공개됩니다.

그러나 더 세계적인 문제가 있습니다. 이제 Android OS가 설치된 기기에 설치된 WhatsApp의 모든 백업은 Google과 Facebook이 작년에 합의한 Google 드라이브에 저장됩니다. 그러나 서신, 미디어 파일 등의 백업 암호화되지 않은 형태로 저장. 판단할 수 있는 한, 동일한 미국 법 집행 기관의 직원 Google 드라이브에 액세스할 수 있습니다., 보안군이 저장된 데이터를 볼 가능성이 있습니다.

데이터를 암호화하는 것은 가능하지만 두 회사 모두 그렇지 않습니다. 암호화되지 않은 백업을 사용자가 아무런 문제 없이 전송하고 사용할 수 있기 때문일 것입니다. 기술적으로 구현하기 어렵기 때문이 아니라 암호화가 없을 가능성이 큽니다. 반대로 어려움 없이 백업을 보호할 수 있습니다. 문제는 Google이 WhatsApp과 협력하는 자체 이유가 있다는 것입니다. Google 드라이브 서버에 저장된 데이터를 분석합니다. 이를 사용하여 개인화된 광고를 표시합니다. Facebook이 WhatsApp 백업에 대한 암호화를 갑자기 도입했다면 Google은 그러한 파트너십에 대한 관심을 즉시 잃어 WhatsApp 사용자 기본 설정에 대한 귀중한 데이터 소스를 잃게 됩니다. 물론 이것은 가정일 뿐이지만 하이테크 마케팅의 세계에서는 그럴 가능성이 매우 높습니다.

iOS용 WhatsApp의 경우 백업은 iCloud 클라우드에 저장됩니다. 그러나 여기에서도 응용 프로그램 설정에서 언급한 것처럼 정보가 암호화되지 않은 형태로 저장됩니다. Apple이 이 데이터를 분석하는지 여부는 회사 자체만 알고 있습니다. 사실, Cupertinos에는 Google과 같은 광고 네트워크가 없으므로 WhatsApp 사용자의 개인 데이터를 분석할 가능성이 훨씬 낮다고 가정할 수 있습니다.

위의 모든 내용은 다음과 같이 공식화할 수 있습니다. 예, WhatsApp 서신에 액세스할 수 있는 것은 아닙니다.

TikTok 및 기타 메신저

이 짧은 동영상 공유 서비스는 매우 빠르게 인기를 끌 수 있습니다. 개발자는 사용자 데이터의 완전한 보안을 보장하겠다고 약속했습니다. 결과적으로 서비스 자체는 사용자에게 알리지 않고 이 데이터를 사용했습니다. 설상가상으로 이 서비스는 부모 동의 없이 13세 미만 어린이의 개인 데이터를 수집했습니다. 미성년자의 개인정보 - 이름, 이메일, 전화번호, 사진, 동영상이 공개되었습니다.

서비스 벌금을 물었다 수백만 달러에 대해 규제 당국은 또한 13세 미만 어린이가 촬영한 모든 비디오를 삭제하도록 요구했습니다. TikTok이 따랐습니다. 그러나 다른 메신저 및 서비스는 사용자의 개인 데이터를 자신의 목적을 위해 사용하므로 안전을 확신할 수 없습니다.

이 목록은 끝이 없습니다. 대부분의 인스턴트 메신저에는 공격자가 사용자를 도청할 수 있는 하나 이상의 취약점이 있습니다.좋은 예 - Viber, 모든 것이 수정된 것처럼 보였지만) 또는 데이터를 훔칩니다. 또한 상위 5개 애플리케이션의 거의 모든 애플리케이션은 사용자 데이터를 보호되지 않은 형태로 컴퓨터 하드 드라이브나 휴대폰 메모리에 저장합니다. 그리고 이것은 법률로 인해 사용자 데이터에 액세스할 수 있는 여러 국가의 특별 서비스를 기억하지 못하는 경우입니다. 동일한 Skype, VKontakte, TamTam 등은 당국(예: 러시아 연방)의 요청에 따라 모든 사용자에 대한 정보를 제공합니다.

프로토콜 수준에서 좋은 보안? 문제 없습니다. 기기를 부수겠습니다.

몇 년 전 갈등이 일어났다 애플과 미국 정부 사이. 회사는 샌버나디노 시에서 발생한 테러 공격의 경우 등장한 암호화된 스마트폰의 잠금 해제를 거부했습니다. 당시에는 이것이 진짜 문제처럼 보였습니다. 데이터는 잘 보호되어 있고 스마트폰을 해킹하는 것은 불가능하거나 매우 어렵습니다.

이제 상황이 다릅니다. 예를 들어, 이스라엘 회사인 Cellebrite는 모든 iPhone 및 Android 모델을 해킹할 수 있는 소프트웨어 및 하드웨어 시스템을 러시아 및 기타 국가의 법인에 판매합니다. 작년은 출판된 광고 소책자 주제에 대한 비교적 자세한 정보와 함께.

마가단 법의학 수사관 포포프가 미국 연방 수사국에서 사용하는 것과 동일한 기술을 사용하여 스마트폰을 해킹합니다. 출처: BBC

이 장치는 주 표준에 따라 저렴합니다. UFED Touch2의 경우 TFR의 Volgograd 부서는 800 루블, Khabarovsk-1,2 만 루블을 지불했습니다. 2017년 러시아 연방 조사위원회 위원장인 Alexander Bastrykin은 자신의 부서가 솔루션을 사용합니다 이스라엘 회사.

Sberbank는 또한 이러한 장치를 구입하지만 조사가 아니라 Android OS가 설치된 장치에서 바이러스와 싸우기 위해 구입합니다. “모바일 기기가 알려지지 않은 악성코드에 감염된 것으로 의심되는 경우 감염된 휴대폰 소유자의 의무적인 동의를 얻은 후 UFED Touch2, ” — 정해진 회사.

미국인들은 또한 모든 스마트폰을 해킹할 수 있는 기술을 가지고 있습니다. Grayshift는 300달러에 15대의 스마트폰을 해킹할 것을 약속합니다(Cellbrite는 50달러에 비해 한 대당 1500달러입니다).

사이버 범죄자들도 유사한 장치를 가지고 있을 가능성이 높습니다. 이러한 장치는 지속적으로 개선되어 크기가 줄어들고 성능이 향상됩니다.

이제 우리는 사용자의 데이터 보호에 대해 걱정하는 대형 제조업체의 잘 알려진 전화기에 대해 이야기하고 있습니다. 소규모 회사 또는 이름 없는 조직에 대해 이야기하는 경우 이 경우 데이터는 문제 없이 제거됩니다. HS-USB 모드는 부트로더가 잠겨 있어도 작동합니다. 서비스 모드는 일반적으로 데이터를 검색할 수 있는 "백도어"입니다. 그렇지 않은 경우 JTAG 포트에 연결하거나 eMMC 칩을 저렴한 어댑터에 삽입하여 제거할 수도 있습니다. 데이터가 암호화되지 않은 경우 전화에서 뽑을 수 있습니다 클라우드 스토리지 및 기타 서비스에 대한 액세스를 제공하는 인증 토큰을 포함하여 일반적으로 모든 것.

누군가 중요한 정보가 있는 스마트폰에 개인적으로 액세스할 수 있는 경우 제조업체가 뭐라고 말하든 원하는 경우 해킹할 수 있습니다.

위의 모든 내용은 스마트폰뿐만 아니라 다양한 운영 체제의 노트북이 있는 컴퓨터에도 적용되는 것이 분명합니다. 고급 보안 조치를 사용하지 않고 암호 및 로그인과 같은 일반적인 방법에 만족하면 데이터가 위험에 노출됩니다. 장치에 물리적으로 액세스할 수 있는 숙련된 해커는 거의 모든 정보를 얻을 수 있습니다. 이는 시간 문제일 뿐입니다.

어떻게해야합니까?

Habré에서는 개인 기기의 데이터 보안 문제가 두 번 이상 제기되었으므로 다시는 바퀴를 재발 명하지 않습니다. 제XNUMX자가 귀하의 데이터를 얻을 가능성을 줄이는 주요 방법만 표시합니다.

• 스마트폰과 PC 모두 데이터 암호화 사용은 필수입니다. 다른 운영 체제는 종종 기본적으로 좋은 기능을 제공합니다. 예 - 창조 정기적인 방법으로 Mac OS의 cryptocontainer.

• Telegram 및 기타 인스턴트 메신저의 통신 기록을 포함하여 모든 곳에서 암호를 설정하십시오. 당연히 암호는 복잡해야 합니다.

• 이중 인증 - 예, 불편할 수 있지만 보안 문제가 우선이라면 참아야 합니다.

• 장치의 물리적 보안을 제어합니다. 회사 PC를 카페에 가져가서 잊으셨나요? 권위 있는. 기업을 포함한 안전 기준은 자신의 과실로 인한 피해자의 눈물에 쓰여 있습니다.

제XNUMX자가 물리적 장치에 액세스할 때 데이터 유출 가능성을 줄이는 방법을 의견에서 분석해 보겠습니다. 그런 다음 제안된 방법을 기사에 추가하거나 전보 채널, 보안에 대해 정기적으로 글을 쓰는 곳에서 사용에 대한 생활 해킹 우리의 VPN 인터넷 검열.

출처 : habr.com