W lutym opublikowaliśmy artykuł „Nie tylko VPN. Przewodnik po tym, jak zabezpieczyć siebie i swoje dane”. zachęcił nas do napisania kontynuacji artykułu. Ta część jest całkowicie autonomicznym źródłem informacji, ale i tak zalecamy zapoznać się z obu postami.
Nowy post dotyczy kwestii ochrony danych (wiadomości, zdjęcia, wideo, to wszystko) w komunikatorach oraz samych urządzeniach, które są używane do pracy z aplikacjami.
Komunikatory
Telegram
Już w październiku 2018 roku student pierwszego roku w Wake Technical College, Nathaniel Sachi, odkrył, że komunikator Telegram zapisuje wiadomości i pliki multimedialne na lokalnym dysku komputera w otwartym formacie.
Student uzyskał dostęp do własnej korespondencji, w tym tekstów i obrazów. W tym celu zbadał bazy danych aplikacji przechowywane na dysku twardym. Okazało się, że dane są trudne do odczytania, ale nie są szyfrowane. I dostęp do nich można uzyskać nawet w przypadku, gdy użytkownik ustawił hasło na aplikacji.
W uzyskanych danych znaleziono imiona i numery telefonów rozmówców, które można łatwo powiązać. Informacje z zamkniętych czatów również są przechowywane w otwartym formacie.
Później Durov stwierdził, że to nie problem, ponieważ jeśli przestępca ma dostęp do komputera użytkownika, będzie mógł uzyskać klucze szyfrowania i bez problemu odszyfrować całą korespondencję. Jednak wielu specjalistów od bezpieczeństwa informacji twierdzi, że to wciąż poważny problem.
Ponadto, Telegram okazał się podatny na atak kradzieży kluczy, co użytkownik Habr. Można złamać lokalny kod hasła o dowolnej długości i złożoności.
Jak wiadomo, ten komunikator również przechowuje dane na dysku komputera w niezabezpieczonym formacie. Odpowiednio, jeśli przestępca ma dostęp do urządzenia użytkownika, wszystkie dane są również otwarte.
Ale jest bardziej globalny problem. Obecnie wszystkie kopie zapasowe z WhatsApp, zainstalowanego na urządzeniach z systemem Android, są przechowywane w Google Drive, o czym Google i Facebook porozumieli się w zeszłym roku. Jednak kopie zapasowe korespondencji, plików multimedialnych i tym podobnych . Jak można sądzić, pracownicy organów ścigania w USA , dlatego istnieje prawdopodobieństwo, że organy ścigania mogą przeglądać wszelkie zapisane dane.
Można szyfrować dane, ale obie firmy tego nie robią. Prawdopodobnie dlatego, że kopie zapasowe bez szyfrowania można bez problemu przekazywać i używać przez samych użytkowników. Najprawdopodobniej brak szyfrowania nie wynika z technicznych trudności: wręcz przeciwnie, zabezpieczenie kopii zapasowych można zrobić bez żadnego trudu. Problem polega na tym, że Google ma swoje powody, by współpracować z WhatsApp — firma, przypuszczalnie, i wykorzystuje je do wyświetlania spersonalizowanej reklamy. Gdyby Facebook nagle wprowadził szyfrowanie dla kopii zapasowych WhatsApp, Google natychmiast straciłby zainteresowanie taką współpracą, tracąc cenne źródło danych o preferencjach użytkowników WhatsApp. To oczywiście tylko przypuszczenie, ale bardzo prawdopodobne w świecie marketingu hi-tech.
Jeśli chodzi o WhatsApp na iOS, to kopie zapasowe są zapisywane w chmurze iCloud. Ale i tutaj informacje są przechowywane w niezaszyfrowanej formie, co jest zaznaczone nawet w ustawieniach aplikacji. Czy Apple analizuje te dane, czy nie, wie tylko sama korporacja. Prawda, że kupertynowcy nie mają sieci reklamowej, jak Google, więc możemy przypuszczać, że prawdopodobieństwo, że analizują osobiste dane użytkowników WhatsApp, jest znacznie mniejsze.
Wszystko, co zostało powiedziane, można sformułować następująco — tak, do Twojej korespondencji w WhatsApp mają dostęp nie tylko Ty.
TikTok i inne komunikatory
Ta usługa wymiany krótkich filmów mogła bardzo szybko stać się popularna. Programiści obiecali zapewnić pełne bezpieczeństwo danych swoich użytkowników. Okazało się, że sama usługa wykorzystywała te dane bez powiadamiania użytkowników. Co gorsza: usługa zbierała dane osobowe dzieci poniżej 13 roku życia bez zgody rodziców. Osobiste informacje nieletnich — imiona, e-mail, numery telefonów, zdjęcia i filmy — były dostępne publicznie.
Serwis na kilka milionów dolarów, a organy regulacyjne również zażądały usunięcia wszystkich filmów nagranych przez dzieci poniżej 13 roku życia. TikTok zastosował się do tego. Niemniej jednak, dane osobowe użytkowników są wykorzystywane w swoich celach przez inne komunikatory i usługi, więc nie można być pewnym ich bezpieczeństwa.
Tę listę można bez końca kontynuować — większość komunikatorów ma jakąś podatność, która umożliwia przestępcom podsłuchiwanie użytkowników ( — Viber, chociaż wszystko wydaje się być naprawione) lub kradną ich dane. Co więcej, prawie wszystkie aplikacje z top 5 przechowują dane użytkowników w niezabezpieczony sposób na dysku twardym komputera lub w pamięci telefonu. I to jeśli nie wspominać o służbach specjalnych różnych krajów, które mogą mieć dostęp do danych użytkowników dzięki prawodawstwu. Ten sam Skype, VKontakte, TamTam i inne udostępniają wszelkie informacje o każdym użytkowniku na żądanie władz (na przykład w Rosji).
Dobra ochrona na poziomie protokołu? Żaden problem, łamiemy urządzenie
Kilka lat temu między Apple a rządami USA. Korporacja odmówiła odblokowania zaszyfrowanego smartfona, który był przedmiotem śledztwa w sprawie zamachów w San Bernardino. Wtedy wydawało się to rzeczywistym problemem: dane były dobrze zabezpieczone, a włamanie do smartfona było albo niemożliwe, albo bardzo trudne.
Teraz sytuacja wygląda inaczej. Na przykład, izraelska firma Cellebrite sprzedaje osobom prawnym w Rosji i innych krajach zestaw oprogramowania i sprzętu, który pozwala złamać wszystkie modele iPhone'ów i Androidów. W zeszłym roku wydano z stosunkowo szczegółowymi informacjami na ten temat.
Śledczy kryminalistyczny z Magadanu, Popow, łamie smartfona za pomocą tej samej technologii, co Federalne Biuro Śledcze USA. Źródło: BBC
Urządzenie kosztuje stosunkowo niewiele według państwowych standardów. Za UFED Touch2 zarząd SKR w Wołgogradzie zapłacił 800 tysięcy rubli, a w Chabarowsku — 1,2 mln rubli. W 2017 roku Aleksandr Bastrykin, szef Śledczego Komitetu Federacji Rosyjskiej, potwierdził, że jego departament izraelskiej firmy.
Takie urządzenia zakupuje również „Sberbank” — prawda, nie do prowadzenia śledztw, a do walki z wirusami na urządzeniach z systemem Android. „W przypadku podejrzenia o zainfekowanie urządzeń mobilnych nieznanym złośliwym kodem programowym i po uzyskaniu obligatoryjnej zgody właścicieli zainfekowanych telefonów, będzie przeprowadzana analiza w celu znalezienia stale pojawiających się i zmieniających się nowych wirusów z wykorzystaniem różnych narzędzi, w tym z zastosowaniem UFED Touch2,” — w firmie.
Amerykanie również dysponują technologiami, które pozwalają na przełamywanie zabezpieczeń wszelkich smartfonów. Firma Grayshift obiecuje złamanie 300 smartfonów za 15 tysięcy dolarów USA (to 50 dolarów za sztukę w porównaniu do 1500 dolarów u Cellbrite).
Całkiem możliwe, że podobne urządzenia istnieją również u cyberprzestępców. Urządzenia te są nieustannie ulepszane — zmniejsza się ich rozmiar, a wydajność rośnie.
Obecnie mówimy o dość znanych telefonach od dużych producentów, którzy dbają o bezpieczeństwo danych swoich użytkowników. Jeśli jednak chodzi o mniejsze firmy lub organizacje bez nazwy, w tym przypadku dane można pozyskać bez problemu. Tryb HS-USB działa nawet wtedy, gdy bootloader jest zablokowany. Tryby serwisowe są zazwyczaj „czarnym wejściem”, przez które można wydobyć dane. Jeśli nie, można podłączyć się do portu JTAG lub po prostu wydobyć chip eMMC, wstawiając go do niedrogiego adaptera. Jeśli dane nie są szyfrowane, z telefonu wszystko, łącznie z znacznikami uwierzytelniania, które zapewniają dostęp do chmur i innych usług.
Jeśli ktoś ma osobisty dostęp do smartfona z ważnymi informacjami, to przy chęci jego złamania jest to możliwe, niezależnie od tego, co mówią producenci.
Jasne jest, że to, co powiedziano, dotyczy nie tylko smartfonów, ale także komputerów z laptopami działającymi na różnych systemach operacyjnych. Jeśli nie będziemy stosować zaawansowanych środków ochrony, a zadowolimy się zwykłymi metodami, takimi jak hasło i login, to dane pozostaną w niebezpieczeństwie. Doświadczony haker, mając fizyczny dostęp do urządzenia, może uzyskać praktycznie każdą informację — to tylko kwestia czasu.
Co więc robić?
Na Habra poruszano nie raz kwestię bezpieczeństwa danych na urządzeniach osobistych, więc nie będziemy wymyślać koła na nowo. Wskaźmy tylko podstawowe metody, które zmniejszają prawdopodobieństwo pozyskania twoich danych przez osoby trzecie:
- Obowiązkowo stosować szyfrowanie danych zarówno na smartfonach, jak i na PC. Różne systemy operacyjne często oferują przyzwoite narzędzia domyślne. Przykład — kryptokontenera w Mac OS za pomocą wbudowanych narzędzi.
- Ustawić hasła wszędzie i w każdej sytuacji, w tym w historii korespondencji w Telegramie i innych komunikatorach. Oczywiście, hasła powinny być złożone.
- Uwierzytelnianie dwuskładnikowe — tak, może być to niewygodne, ale jeśli bezpieczeństwo jest na pierwszym miejscu, trzeba się z tym pogodzić.
- Kontroluj fizyczne bezpieczeństwo swoich urządzeń. Wziąć służbowy komputer do kawiarni i tam go zapomnieć? Klasyka. Normy bezpieczeństwa, w tym korporacyjne, są pisane łzami ofiar własnej lekkomyślności.
Zastanówmy się w komentarzach nad waszymi sposobami na zmniejszenie ryzyka włamania danych przy uzyskaniu przez osobę trzecią dostępu do fizycznego urządzenia. Proponowane metody dodamy później do artykułu lub opublikujemy w naszym , gdzie regularnie piszemy o bezpieczeństwie, lifehackach dotyczących korzystania z i cenzury w internecie.
Źródło: habr.com
