Кога шифрирањето нема да помогне: зборуваме за физички пристап до уредот

Во февруари ја објавивме статијата „Не сам VPN. Измамник за тоа како да се заштитите себеси и вашите податоци“. Еден од коментарите не поттикна да напишеме продолжение на статијата. Овој дел е целосно независен извор на информации, но сепак ви препорачуваме да ги прочитате двата поста.

Нов пост е посветен на прашањето за безбедноста на податоците (преписка, фотографии, видеа, тоа е сè) во инстант-месинџерите и самите уреди што се користат за работа со апликации.

Гласници

Телеграма

Уште во октомври 2018 година, прва година студент на Техничкиот колеџ Вејк, Натаниел Сачи, откри дека гласникот Телеграм ги зачувува пораките и медиумските датотеки на локалниот компјутерски уред во јасен текст.

Студентот можеше да пристапи до сопствената кореспонденција, вклучувајќи текст и слики. За да го направите ова, тој ги проучувал базите на податоци за апликации зачувани на HDD. Се испостави дека податоците биле тешки за читање, но не и шифрирани. И до нив може да се пристапи дури и ако корисникот има поставено лозинка за апликацијата.

Во добиените податоци се пронајдени имињата и телефонските броеви на соговорниците, кои по желба може да се споредат. Информациите од затворените разговори исто така се чуваат во јасен формат.

Дуров подоцна изјави дека тоа не е проблем, бидејќи ако напаѓачот има пристап до компјутерот на корисникот, тој ќе може да добие клучеви за шифрирање и да ја дешифрира целата кореспонденција без никакви проблеми. Но, многу експерти за информациска безбедност тврдат дека ова е сè уште сериозно.

Покрај тоа, Telegram се покажа дека е ранлив на напад со кражба на клучеви, што откриено Habr корисник. Можете да ги хакирате лозинките за локалниот код од која било должина и сложеност.

WhatsApp

Колку што знаеме, овој гласник исто така складира податоци на компјутерскиот диск во нешифрирана форма. Според тоа, ако напаѓачот има пристап до уредот на корисникот, тогаш сите податоци се исто така отворени.

Но, постои поглобален проблем. Во моментов, сите резервни копии од WhatsApp инсталирани на уреди со Android OS се зачувани на Google Drive, како што се договорија Google и Facebook минатата година. Но, резервни копии на кореспонденција, медиумски датотеки и слично складирани нешифрирани. Колку што може да се суди, службениците за спроведување на законот од истиот САД имаат пристап до Google Drive, така што постои можност безбедносните сили да можат да ги прегледаат сите зачувани податоци.

Можно е да се шифрираат податоците, но двете компании не го прават тоа. Можеби едноставно затоа што нешифрираните резервни копии можат лесно да се пренесат и користат од самите корисници. Најверојатно, нема шифрирање не затоа што е технички тешко да се имплементира: напротив, можете да ги заштитите резервните копии без никакви тешкотии. Проблемот е што Google има свои причини за работа со WhatsApp - веројатно компанијата ги анализира податоците зачувани на серверите на Google Drive и ги користи за прикажување персонализирано рекламирање. Ако Facebook одеднаш воведе шифрирање за резервните копии на WhatsApp, Google веднаш ќе го изгуби интересот за такво партнерство, губи вредниот извор на податоци за преференциите на корисниците на WhatsApp. Ова, се разбира, е само претпоставка, но многу веројатно во светот на hi-tech маркетингот.

Што се однесува до WhatsApp за iOS, резервните копии се зачувуваат во облакот iCloud. Но, и овде информациите се чуваат во нешифрирана форма, што е наведено дури и во поставките на апликацијата. Дали Apple ги анализира овие податоци или не, е познато само на самата корпорација. Точно, Купертино нема рекламна мрежа како Google, па можеме да претпоставиме дека веројатноста тие да ги анализираат личните податоци на корисниците на WhatsApp е многу помала.

Сè што е кажано може да се формулира на следниов начин - да, не само вие имате пристап до кореспонденцијата на WhatsApp.

TikTok и други гласници

Оваа кратка услуга за споделување видео би можела многу брзо да стане популарна. Програмерите ветија дека ќе обезбедат целосна безбедност на податоците на нивните корисници. Како што се испостави, самата услуга ги користела овие податоци без да ги извести корисниците. Уште полошо: услугата собирала лични податоци од деца под 13 години без родителска согласност. Личните податоци на малолетниците - имиња, е-пошта, телефонски броеви, фотографии и видеа - беа јавно достапни.

Услуги беше казнет за неколку милиони долари, регулаторите побараа и отстранување на сите видеа направени од деца под 13 години. TikTok се придржуваше. Меѓутоа, другите гласници и услуги ги користат личните податоци на корисниците за свои цели, така што не можете да бидете сигурни во нивната безбедност.

Оваа листа може да се продолжи бесконечно - повеќето инстант-месинџери имаат една или друга ранливост што им овозможува на напаѓачите да ги прислушуваат корисниците (одличен пример — Вибер, иако се чини дека таму е сè поправено) или да им ги украде податоците. Покрај тоа, речиси сите апликации од првите 5 ги складираат корисничките податоци во незаштитена форма на хард дискот на компјутерот или во меморијата на телефонот. И ова е без сеќавање на разузнавачките служби од различни земји, кои може да имаат пристап до податоците на корисниците благодарение на законодавството. Истиот Skype, VKontakte, TamTam и други обезбедуваат какви било информации за кој било корисник на барање на властите (на пример, Руската Федерација).

Добра безбедност на ниво на протокол? Нема проблем, го кршиме уредот

Пред неколку години избувна конфликт помеѓу Apple и американската влада. Корпорацијата одби да отклучи шифриран паметен телефон кој бил вклучен во терористичките напади во градот Сан Бернардино. Во тоа време, ова изгледаше како вистински проблем: податоците беа добро заштитени, а хакирањето на паметен телефон беше или невозможно или многу тешко.

Сега работите се поинакви. На пример, израелската компанија Cellebrite им продава на правни лица во Русија и други земји софтверски и хардверски систем што ви овозможува да ги хакирате сите модели на iPhone и Android. Минатата година имаше објавена рекламна книшка со релативно детални информации на оваа тема.

Форензичкиот иследник од Магадан Попов хакира паметен телефон користејќи ја истата технологија што ја користи американското Федерално истражно биро. Извор: BBC

Уредот е ефтин според владините стандарди. За UFED Touch2, одделот на Истражниот комитет во Волгоград плати 800 илјади рубли, одделот Хабаровск - 1,2 милиони рубли. Во 2017 година, Александар Бастрикин, шеф на Истражниот комитет на Руската Федерација, потврди дека неговиот оддел користи решенија израелска компанија.

Сбербанк, исто така, купува такви уреди - сепак, не за спроведување истраги, туку за борба против вируси на уреди со Android OS. „Доколку се посомневаат дека мобилните уреди се заразени со непознат код за злонамерен софтвер и по добивањето задолжителна согласност од сопствениците на заразените телефони, ќе се изврши анализа за пребарување на нови вируси кои постојано се појавуваат и се менуваат со користење на различни алатки, вклучително и употребата на UFED Touch2“, - изјави во друштво.

Американците имаат и технологии кои им овозможуваат да хакираат кој било паметен телефон. Grayshift ветува дека ќе хакира 300 паметни телефони за 15 долари (50 долари по единица наспроти 1500 долари за Cellbrite).

Многу е веројатно дека и сајбер-криминалците имаат слични уреди. Овие уреди постојано се подобруваат - нивната големина се намалува и нивните перформанси се зголемуваат.

Сега зборуваме за повеќе или помалку познати телефони од големи производители кои се загрижени за заштита на податоците на своите корисници. Ако зборуваме за помали компании или организации без име, тогаш во овој случај податоците се отстрануваат без проблеми. Режимот HS-USB работи дури и кога подигнувачот е заклучен. Режимите на услугата обично се „задна врата“ преку која може да се преземат податоците. Ако не, можете да се поврзете на портата JTAG или целосно да го отстраните eMMC чипот и потоа да го вметнете во евтин адаптер. Ако податоците не се шифрирани, од телефонот може да се извлече сè воопшто, вклучително и токени за автентикација кои обезбедуваат пристап до складирање на облак и други услуги.

Ако некој има личен пристап до паметен телефон со важни информации, тогаш може да го хакира ако сака, без разлика што велат производителите.

Јасно е дека сето она што е кажано се однесува не само на паметните телефони, туку и на компјутерите и лаптопите кои работат со различни ОС. Ако не прибегнувате кон напредни заштитни мерки, туку сте задоволни со конвенционалните методи како лозинка и најавување, тогаш податоците ќе останат во опасност. Искусен хакер со физички пристап до уредот ќе може да добие речиси сите информации - тоа е само прашање на време.

Па што да се прави?

На Habré, прашањето за безбедноста на податоците на личните уреди е покренато повеќе од еднаш, така што нема повторно да го измислиме тркалото. Ќе ги посочиме само главните методи кои ја намалуваат веројатноста трети страни да ги добијат вашите податоци:

• Задолжително е да користите шифрирање на податоци и на вашиот паметен телефон и на компјутер. Различни оперативни системи често обезбедуваат добри алатки стандардно. Пример - создавање крипто-контејнер во Mac OS користејќи стандардни алатки.

• Поставете лозинки насекаде и секаде, вклучувајќи ја и историјата на кореспонденција во Telegram и други инстант-месинџери. Секако, лозинките мора да бидат сложени.

• Двофакторна автентикација - да, може да биде незгодно, но ако безбедноста е на прво место, треба да ја трпите.

• Следете ја физичката безбедност на вашите уреди. Однесете корпоративен компјутер во кафуле и да го заборавите таму? Класичен. Стандардите за безбедност, вклучително и корпоративните, беа напишани со солзите на жртвите на нивната сопствена невнимание.

Да ги погледнеме во коментарите вашите методи за да ја намалиме веројатноста за хакирање на податоци кога трета страна ќе добие пристап до физички уред. Потоа ќе ги додадеме предложените методи во статијата или ќе ги објавиме во нашата телеграма канал, каде што редовно пишуваме за безбедноста, животните хакирања за користење нашата VPN и цензура на Интернет.

Извор: www.habr.com