जेव्हा एन्क्रिप्शन मदत करणार नाही: आम्ही डिव्हाइसच्या भौतिक प्रवेशाबद्दल बोलतो

फेब्रुवारीमध्ये, आम्ही लेख प्रकाशित केला “एकटा VPN नाही. स्वत:ला आणि तुमचा डेटा कसा सुरक्षित ठेवायचा याचे फसवणूक पत्रक." टिप्पण्यांपैकी एक लेख सुरू ठेवण्यासाठी आम्हाला प्रवृत्त केले. हा भाग माहितीचा पूर्णपणे स्वतंत्र स्रोत आहे, परंतु तरीही आम्ही शिफारस करतो की तुम्ही दोन्ही पोस्ट वाचा.

एक नवीन पोस्ट इन्स्टंट मेसेंजर आणि स्वतः अनुप्रयोगांसह कार्य करण्यासाठी वापरल्या जाणार्‍या डिव्हाइसेसमधील डेटा सुरक्षिततेच्या (पत्रव्यवहार, फोटो, व्हिडिओ, इतकेच) समस्येसाठी समर्पित आहे.

संदेशवाहक

तार

ऑक्टोबर 2018 मध्ये, वेक टेक्निकल कॉलेजचे प्रथम वर्षाचे विद्यार्थी नॅथॅनियल साची यांनी शोधून काढले की टेलिग्राम मेसेंजर स्थानिक संगणक ड्राइव्हवर संदेश आणि मीडिया फाइल्स स्पष्ट मजकूरात सेव्ह करतो.

विद्यार्थ्याने मजकूर आणि चित्रांसह स्वतःच्या पत्रव्यवहारात प्रवेश केला. हे करण्यासाठी, त्याने HDD वर संग्रहित अनुप्रयोग डेटाबेसचा अभ्यास केला. असे दिसून आले की डेटा वाचणे कठीण आहे, परंतु एनक्रिप्ट केलेले नाही. आणि वापरकर्त्याने ऍप्लिकेशनसाठी पासवर्ड सेट केला असला तरीही ते ऍक्सेस केले जाऊ शकतात.

प्राप्त झालेल्या डेटामध्ये, वार्तालापकर्त्यांची नावे आणि दूरध्वनी क्रमांक आढळले, ज्याची, इच्छित असल्यास, तुलना केली जाऊ शकते. बंद चॅटमधील माहिती देखील स्पष्ट स्वरूपात संग्रहित केली जाते.

डुरोव्हने नंतर सांगितले की ही समस्या नाही, कारण आक्रमणकर्त्याला वापरकर्त्याच्या पीसीमध्ये प्रवेश असल्यास, तो एन्क्रिप्शन की मिळवू शकेल आणि कोणत्याही समस्येशिवाय सर्व पत्रव्यवहार डिक्रिप्ट करू शकेल. परंतु अनेक माहिती सुरक्षा तज्ञांचे म्हणणे आहे की हे अजूनही गंभीर आहे.

याव्यतिरिक्त, टेलिग्राम मुख्य चोरीच्या हल्ल्यासाठी असुरक्षित असल्याचे दिसून आले, जे सापडला Habr वापरकर्ता. तुम्ही कोणत्याही लांबीचे आणि जटिलतेचे स्थानिक कोड पासवर्ड हॅक करू शकता.

WhatsApp

आमच्या माहितीनुसार, हा मेसेंजर संगणक डिस्कवरील डेटा अनएनक्रिप्टेड स्वरूपात संग्रहित करतो. त्यानुसार, आक्रमणकर्त्याला वापरकर्त्याच्या डिव्हाइसमध्ये प्रवेश असल्यास, सर्व डेटा देखील खुला आहे.

पण आणखी एक जागतिक समस्या आहे. सध्या, Android OS सह डिव्हाइसेसवर स्थापित WhatsApp वरील सर्व बॅकअप Google ड्राइव्हमध्ये संग्रहित केले जातात, जसे की Google आणि Facebook ने गेल्या वर्षी सहमती दर्शवली होती. पण पत्रव्यवहाराचे बॅकअप, मीडिया फाइल्स आणि यासारख्या एनक्रिप्टेड संग्रहित. म्हणून आतापर्यंत एक न्याय करू शकता, त्याच US कायदा अंमलबजावणी अधिकारी Google ड्राइव्हमध्ये प्रवेश आहे, त्यामुळे सुरक्षा दल कोणताही संग्रहित डेटा पाहू शकतील अशी शक्यता आहे.

डेटा एन्क्रिप्ट करणे शक्य आहे, परंतु दोन्ही कंपन्या असे करत नाहीत. कदाचित फक्त कारण एनक्रिप्टेड बॅकअप सहजपणे हस्तांतरित केले जाऊ शकतात आणि वापरकर्त्यांद्वारे स्वतः वापरले जाऊ शकतात. बहुधा, कोणतेही एन्क्रिप्शन नाही कारण ते अंमलबजावणी करणे तांत्रिकदृष्ट्या कठीण आहे: त्याउलट, आपण कोणत्याही अडचणीशिवाय बॅकअप संरक्षित करू शकता. समस्या अशी आहे की व्हॉट्सअॅपसह काम करण्यासाठी Google ची स्वतःची कारणे आहेत - कदाचित कंपनी Google ड्राइव्ह सर्व्हरवर संचयित केलेल्या डेटाचे विश्लेषण करते आणि वैयक्तिकृत जाहिराती प्रदर्शित करण्यासाठी त्यांचा वापर करते. जर फेसबुकने अचानक WhatsApp बॅकअपसाठी एन्क्रिप्शन सुरू केले, तर Google अशा भागीदारीतील स्वारस्य त्वरित गमावेल, WhatsApp वापरकर्त्यांच्या प्राधान्यांबद्दल डेटाचा एक मौल्यवान स्रोत गमावेल. हे, अर्थातच, केवळ एक गृहितक आहे, परंतु हाय-टेक मार्केटिंगच्या जगात बहुधा.

iOS साठी WhatsApp साठी, बॅकअप iCloud क्लाउडमध्ये सेव्ह केले जातात. परंतु येथे देखील, माहिती एन्क्रिप्टेड स्वरूपात संग्रहित केली जाते, जी अनुप्रयोग सेटिंग्जमध्ये देखील नमूद केली जाते. अॅपल या डेटाचे विश्लेषण करते की नाही हे केवळ महामंडळालाच माहिती आहे. खरे आहे, क्युपर्टिनोकडे Google सारखे जाहिरात नेटवर्क नाही, म्हणून आम्ही असे गृहीत धरू शकतो की त्यांच्या WhatsApp वापरकर्त्यांच्या वैयक्तिक डेटाचे विश्लेषण करण्याची शक्यता खूपच कमी आहे.

जे काही सांगितले गेले आहे ते खालीलप्रमाणे तयार केले जाऊ शकते - होय, केवळ तुमच्या WhatsApp पत्रव्यवहारात प्रवेश नाही.

TikTok आणि इतर मेसेंजर

ही छोटी व्हिडिओ शेअरिंग सेवा खूप लवकर लोकप्रिय होऊ शकते. विकासकांनी त्यांच्या वापरकर्त्यांच्या डेटाची संपूर्ण सुरक्षा सुनिश्चित करण्याचे आश्वासन दिले. असे झाले की, सेवेने वापरकर्त्यांना सूचित न करता हा डेटा स्वतः वापरला. आणखी वाईट: सेवेने पालकांच्या संमतीशिवाय 13 वर्षाखालील मुलांकडून वैयक्तिक डेटा गोळा केला. अल्पवयीन मुलांची वैयक्तिक माहिती - नावे, ई-मेल, फोन नंबर, फोटो आणि व्हिडिओ - सार्वजनिकरित्या उपलब्ध केले गेले.

सेवा दंड करण्यात आला अनेक दशलक्ष डॉलर्ससाठी, नियामकांनी 13 वर्षांपेक्षा कमी वयाच्या मुलांनी बनवलेले सर्व व्हिडिओ काढून टाकण्याची मागणी केली. TikTok ने पालन केले. तथापि, इतर मेसेंजर आणि सेवा वापरकर्त्यांचा वैयक्तिक डेटा त्यांच्या स्वतःच्या हेतूसाठी वापरतात, त्यामुळे तुम्ही त्यांच्या सुरक्षिततेबद्दल खात्री बाळगू शकत नाही.

ही यादी अविरतपणे सुरू ठेवली जाऊ शकते - बर्‍याच इन्स्टंट मेसेंजरमध्ये एक किंवा दुसरी असुरक्षा असते जी आक्रमणकर्त्यांना वापरकर्त्यांबद्दल ऐकू देते (उत्तम उदाहरण — Viber, सर्व काही तेथे निश्चित केले आहे असे दिसते) किंवा त्यांचा डेटा चोरी. याव्यतिरिक्त, टॉप 5 मधील जवळजवळ सर्व ऍप्लिकेशन्स संगणकाच्या हार्ड ड्राइव्हवर किंवा फोनच्या मेमरीमध्ये असुरक्षित स्वरूपात वापरकर्त्याचा डेटा संग्रहित करतात. आणि हे विविध देशांच्या गुप्तचर सेवा लक्षात न ठेवता आहे, ज्यांना कायद्यामुळे वापरकर्त्याच्या डेटामध्ये प्रवेश असू शकतो. समान स्काईप, VKontakte, TamTam आणि इतर अधिकार्यांच्या विनंतीनुसार कोणत्याही वापरकर्त्याबद्दल कोणतीही माहिती प्रदान करतात (उदाहरणार्थ, रशियन फेडरेशन).

प्रोटोकॉल स्तरावर चांगली सुरक्षा? काही हरकत नाही, आम्ही डिव्हाइस खंडित करतो

काही वर्षांपूर्वी संघर्ष सुरू झाला ऍपल आणि यूएस सरकार दरम्यान. सॅन बर्नार्डिनो शहरातील दहशतवादी हल्ल्यात सामील असलेला एनक्रिप्टेड स्मार्टफोन अनलॉक करण्यास कॉर्पोरेशनने नकार दिला. त्या वेळी, ही एक वास्तविक समस्या असल्यासारखे दिसत होते: डेटा चांगल्या प्रकारे संरक्षित होता आणि स्मार्टफोन हॅक करणे एकतर अशक्य किंवा खूप कठीण होते.

आता गोष्टी वेगळ्या आहेत. उदाहरणार्थ, इस्रायली कंपनी Celebrite रशिया आणि इतर देशांतील कायदेशीर संस्थांना सॉफ्टवेअर आणि हार्डवेअर प्रणाली विकते जी तुम्हाला सर्व iPhone आणि Android मॉडेल हॅक करण्याची परवानगी देते. गेल्या वर्षी होती जाहिरात पुस्तिका प्रकाशित या विषयावरील तुलनेने तपशीलवार माहितीसह.

मगदान फॉरेन्सिक इन्व्हेस्टिगेटर पोपोव्हने यूएस फेडरल ब्युरो ऑफ इन्व्हेस्टिगेशन वापरत असलेल्या तंत्रज्ञानाचा वापर करून स्मार्टफोन हॅक केला. स्रोत: बीबीसी

सरकारी मानकांनुसार हे उपकरण स्वस्त आहे. UFED Touch2 साठी, तपास समितीच्या व्होल्गोग्राड विभागाने 800 हजार रूबल, खाबरोव्स्क विभाग - 1,2 दशलक्ष रूबल दिले. 2017 मध्ये, रशियन फेडरेशनच्या तपास समितीचे प्रमुख अलेक्झांडर बॅस्ट्रिकिन यांनी पुष्टी केली की त्यांच्या विभाग उपाय वापरतो इस्रायली कंपनी.

Sberbank देखील अशी उपकरणे खरेदी करते - तथापि, तपासणी करण्यासाठी नाही तर Android OS सह डिव्हाइसेसवर व्हायरसशी लढण्यासाठी. “मोबाईल उपकरणांना अज्ञात दुर्भावनायुक्त सॉफ्टवेअर कोडचा संसर्ग झाल्याचा संशय असल्यास, आणि संक्रमित फोनच्या मालकांची अनिवार्य संमती घेतल्यानंतर, वापरासह विविध साधनांचा वापर करून सतत उद्भवणारे आणि बदलणारे नवीन व्हायरस शोधण्यासाठी विश्लेषण केले जाईल. UFED Touch2 चे," - सांगितले कंपनी मध्ये.

अमेरिकन लोकांकडे तंत्रज्ञान देखील आहे जे त्यांना कोणताही स्मार्टफोन हॅक करण्याची परवानगी देतात. ग्रेशिफ्टने $300 (सेलब्राइटसाठी $15 विरुद्ध $50 प्रति युनिट) 1500 स्मार्टफोन हॅक करण्याचे वचन दिले आहे.

सायबर गुन्हेगारांकडेही अशीच उपकरणे असण्याची शक्यता आहे. ही उपकरणे सतत सुधारली जात आहेत - त्यांचा आकार कमी होतो आणि त्यांची कार्यक्षमता वाढते.

आता आम्ही मोठ्या उत्पादकांच्या कमी-अधिक सुप्रसिद्ध फोनबद्दल बोलत आहोत जे त्यांच्या वापरकर्त्यांच्या डेटाचे संरक्षण करण्याबद्दल चिंतित आहेत. जर आम्ही लहान कंपन्या किंवा नाव नसलेल्या संस्थांबद्दल बोलत असाल तर या प्रकरणात डेटा समस्यांशिवाय काढला जातो. बूटलोडर लॉक असतानाही HS-USB मोड कार्य करतो. सेवा मोड हे सहसा "मागील दार" असतात ज्याद्वारे डेटा पुनर्प्राप्त केला जाऊ शकतो. नसल्यास, तुम्ही JTAG पोर्टशी कनेक्ट करू शकता किंवा eMMC चिप पूर्णपणे काढून टाकू शकता आणि नंतर ते स्वस्त अॅडॉप्टरमध्ये घालू शकता. डेटा एनक्रिप्ट केलेला नसल्यास, फोनवरून बाहेर काढले जाऊ शकते क्लाउड स्टोरेज आणि इतर सेवांमध्ये प्रवेश प्रदान करणाऱ्या प्रमाणीकरण टोकनसह सर्वसाधारणपणे सर्वकाही.

जर कोणाकडे महत्त्वाची माहिती असलेल्या स्मार्टफोनमध्ये वैयक्तिक प्रवेश असेल, तर ते इच्छित असल्यास ते हॅक करू शकतात, निर्मात्यांनी काहीही म्हटले तरीही.

हे स्पष्ट आहे की जे काही सांगितले गेले आहे ते केवळ स्मार्टफोनवरच लागू होत नाही, तर विविध ओएस चालवणाऱ्या संगणक आणि लॅपटॉपवर देखील लागू होते. आपण प्रगत संरक्षणात्मक उपायांचा अवलंब न केल्यास, परंतु पासवर्ड आणि लॉगिन यासारख्या पारंपारिक पद्धतींमध्ये समाधानी असल्यास, डेटा धोक्यात राहील. डिव्हाइसवर भौतिक प्रवेशासह अनुभवी हॅकर जवळजवळ कोणतीही माहिती प्राप्त करण्यास सक्षम असेल - ही केवळ वेळेची बाब आहे.

मग काय करायचं?

Habré वर, वैयक्तिक उपकरणांवरील डेटा सुरक्षिततेचा मुद्दा एकापेक्षा जास्त वेळा उपस्थित केला गेला आहे, म्हणून आम्ही पुन्हा चाक शोधणार नाही. आम्ही फक्त मुख्य पद्धती सूचित करू ज्या तृतीय पक्षांना तुमचा डेटा मिळवण्याची शक्यता कमी करतात:

• तुमच्या स्मार्टफोन आणि पीसी दोन्हीवर डेटा एन्क्रिप्शन वापरणे अनिवार्य आहे. वेगवेगळ्या ऑपरेटिंग सिस्टीम अनेकदा चांगली डीफॉल्ट वैशिष्ट्ये प्रदान करतात. उदाहरण - निर्मिती मॅक ओएस मधील क्रिप्टो कंटेनर मानक साधने वापरून.

• टेलीग्राम आणि इतर इन्स्टंट मेसेंजरमधील पत्रव्यवहाराच्या इतिहासासह कोठेही आणि सर्वत्र पासवर्ड सेट करा. स्वाभाविकच, संकेतशब्द जटिल असणे आवश्यक आहे.

• द्वि-घटक प्रमाणीकरण - होय, ते गैरसोयीचे असू शकते, परंतु जर सुरक्षा प्रथम आली तर, तुम्हाला ते सहन करावे लागेल.

• तुमच्या डिव्हाइसेसच्या भौतिक सुरक्षिततेचे निरीक्षण करा. कॉर्पोरेट पीसीला कॅफेमध्ये घेऊन जा आणि तिथे विसरलात का? क्लासिक. कॉर्पोरेटसह सुरक्षा मानके, त्यांच्या स्वत: च्या निष्काळजीपणामुळे बळी पडलेल्या अश्रूंनी लिहिलेली आहेत.

जेव्हा तृतीय पक्षाला भौतिक उपकरणात प्रवेश मिळतो तेव्हा डेटा हॅक होण्याची शक्यता कमी करण्यासाठी तुमच्या पद्धतींवरील टिप्पण्या पाहू या. त्यानंतर आम्ही लेखात प्रस्तावित पद्धती जोडू किंवा त्या आमच्यामध्ये प्रकाशित करू टेलिग्राम चॅनेल, जिथे आम्ही नियमितपणे सुरक्षिततेबद्दल लिहितो, वापरण्यासाठी लाइफ हॅक आमचे VPN आणि इंटरनेट सेन्सॉरशिप.

स्त्रोत: www.habr.com