{"id":31944,"date":"2019-10-31T21:44:09","date_gmt":"2019-10-31T18:44:09","guid":{"rendered":"https:\/\/prohoster.info\/blog\/kogda-shifrovanie-ne-pomozhet-rasskazyvaem-pro-fizicheskij-dostup-k-ustrojstvu\/"},"modified":"2019-10-31T21:44:09","modified_gmt":"2019-10-31T18:44:09","slug":"kogda-shifrovanie-ne-pomozhet-rasskazyvaem-pro-fizicheskij-dostup-k-ustrojstvu","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/administrirovanie\/kogda-shifrovanie-ne-pomozhet-rasskazyvaem-pro-fizicheskij-dostup-k-ustrojstvu","title":{"rendered":"Kiedy szyfrowanie nie pomo\u017ce: wyja\u015bniamy fizyczny dost\u0119p do urz\u0105dzenia","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

W lutym opublikowali\u015bmy artyku\u0142 \u201eNie tylko VPN. Przewodnik po tym, jak zabezpieczy\u0107 siebie i swoje dane\u201d. Jeden z komentarzy<\/a><\/noindex> zach\u0119ci\u0142 nas do napisania kontynuacji artyku\u0142u. Ta cz\u0119\u015b\u0107 jest ca\u0142kowicie autonomicznym \u017ar\u00f3d\u0142em informacji, ale i tak zalecamy zapozna\u0107 si\u0119 z obu postami.<\/p>\n

Nowy post dotyczy kwestii ochrony danych (wiadomo\u015bci, zdj\u0119cia, wideo, to wszystko) w komunikatorach oraz samych urz\u0105dzeniach, kt\u00f3re s\u0105 u\u017cywane do pracy z aplikacjami.<\/a><\/noindex><\/p>\n

Komunikatory<\/h3>\n

\n Telegram<\/b><\/p>\n

Ju\u017c w pa\u017adzierniku 2018 roku student pierwszego roku w Wake Technical College, Nathaniel Sachi, odkry\u0142, \u017ce komunikator Telegram zapisuje wiadomo\u015bci i pliki multimedialne na lokalnym dysku komputera w otwartym formacie.<\/p>\n

Student uzyska\u0142 dost\u0119p do w\u0142asnej korespondencji, w tym tekst\u00f3w i obraz\u00f3w. W tym celu zbada\u0142 bazy danych aplikacji przechowywane na dysku twardym. Okaza\u0142o si\u0119, \u017ce dane s\u0105 trudne do odczytania, ale nie s\u0105 szyfrowane. I dost\u0119p do nich mo\u017cna uzyska\u0107 nawet w przypadku, gdy u\u017cytkownik ustawi\u0142 has\u0142o na aplikacji.<\/p>\n

W uzyskanych danych znaleziono imiona i numery telefon\u00f3w rozm\u00f3wc\u00f3w, kt\u00f3re mo\u017cna \u0142atwo powi\u0105za\u0107. Informacje z zamkni\u0119tych czat\u00f3w r\u00f3wnie\u017c s\u0105 przechowywane w otwartym formacie.<\/p>\n

P\u00f3\u017aniej Durov stwierdzi\u0142, \u017ce to nie problem, poniewa\u017c je\u015bli przest\u0119pca ma dost\u0119p do komputera u\u017cytkownika, b\u0119dzie m\u00f3g\u0142 uzyska\u0107 klucze szyfrowania i bez problemu odszyfrowa\u0107 ca\u0142\u0105 korespondencj\u0119. Jednak wielu specjalist\u00f3w od bezpiecze\u0144stwa informacji twierdzi, \u017ce to wci\u0105\u017c powa\u017cny problem.<\/p>\n

\r\n \"Odtwarzaj\r\n
<\/div>\r\n <\/div><\/center>
\nPonadto, Telegram okaza\u0142 si\u0119 podatny na atak kradzie\u017cy kluczy, co odnalaz\u0142<\/noindex> u\u017cytkownik Habr. Mo\u017cna z\u0142ama\u0107 lokalny kod has\u0142a o dowolnej d\u0142ugo\u015bci i z\u0142o\u017cono\u015bci.<\/p>\n

WhatsApp<\/b><\/p>\n

Jak wiadomo, ten komunikator r\u00f3wnie\u017c przechowuje dane na dysku komputera w niezabezpieczonym formacie. Odpowiednio, je\u015bli przest\u0119pca ma dost\u0119p do urz\u0105dzenia u\u017cytkownika, wszystkie dane s\u0105 r\u00f3wnie\u017c otwarte.<\/p>\n

Ale jest bardziej globalny problem. Obecnie wszystkie kopie zapasowe z WhatsApp, zainstalowanego na urz\u0105dzeniach z systemem Android, s\u0105 przechowywane w Google Drive, o czym Google i Facebook porozumieli si\u0119 w zesz\u0142ym roku. Jednak kopie zapasowe korespondencji, plik\u00f3w multimedialnych i tym podobnych s\u0105 przechowywane w niezabezpieczonym formacie<\/a><\/noindex>. Jak mo\u017cna s\u0105dzi\u0107, pracownicy organ\u00f3w \u015bcigania w USA maj\u0105 dost\u0119p do Google Drive<\/a><\/noindex>, dlatego istnieje prawdopodobie\u0144stwo, \u017ce organy \u015bcigania mog\u0105 przegl\u0105da\u0107 wszelkie zapisane dane.<\/p>\n

Mo\u017cna szyfrowa\u0107 dane, ale obie firmy tego nie robi\u0105. Prawdopodobnie dlatego, \u017ce kopie zapasowe bez szyfrowania mo\u017cna bez problemu przekazywa\u0107 i u\u017cywa\u0107 przez samych u\u017cytkownik\u00f3w. Najprawdopodobniej brak szyfrowania nie wynika z technicznych trudno\u015bci: wr\u0119cz przeciwnie, zabezpieczenie kopii zapasowych mo\u017cna zrobi\u0107 bez \u017cadnego trudu. Problem polega na tym, \u017ce Google ma swoje powody, by wsp\u00f3\u0142pracowa\u0107 z WhatsApp \u2014 firma, przypuszczalnie, analizuje przechowywane na serwerach Google Drive dane<\/a><\/noindex> i wykorzystuje je do wy\u015bwietlania spersonalizowanej reklamy. Gdyby Facebook nagle wprowadzi\u0142 szyfrowanie dla kopii zapasowych WhatsApp, Google natychmiast straci\u0142by zainteresowanie tak\u0105 wsp\u00f3\u0142prac\u0105, trac\u0105c cenne \u017ar\u00f3d\u0142o danych o preferencjach u\u017cytkownik\u00f3w WhatsApp. To oczywi\u015bcie tylko przypuszczenie, ale bardzo prawdopodobne w \u015bwiecie marketingu hi-tech. <\/p>\n

Je\u015bli chodzi o WhatsApp na iOS, to kopie zapasowe s\u0105 zapisywane w chmurze iCloud. Ale i tutaj informacje s\u0105 przechowywane w niezaszyfrowanej formie, co jest zaznaczone nawet w ustawieniach aplikacji. Czy Apple analizuje te dane, czy nie, wie tylko sama korporacja. Prawda, \u017ce kupertynowcy nie maj\u0105 sieci reklamowej, jak Google, wi\u0119c mo\u017cemy przypuszcza\u0107, \u017ce prawdopodobie\u0144stwo, \u017ce analizuj\u0105 osobiste dane u\u017cytkownik\u00f3w WhatsApp, jest znacznie mniejsze. <\/p>\n

Wszystko, co zosta\u0142o powiedziane, mo\u017cna sformu\u0142owa\u0107 nast\u0119puj\u0105co \u2014 tak, do Twojej korespondencji w WhatsApp maj\u0105 dost\u0119p nie tylko Ty.<\/p>\n

TikTok i inne komunikatory<\/b><\/p>\n

Ta us\u0142uga wymiany kr\u00f3tkich film\u00f3w mog\u0142a bardzo szybko sta\u0107 si\u0119 popularna. Programi\u015bci obiecali zapewni\u0107 pe\u0142ne bezpiecze\u0144stwo danych swoich u\u017cytkownik\u00f3w. Okaza\u0142o si\u0119, \u017ce sama us\u0142uga wykorzystywa\u0142a te dane bez powiadamiania u\u017cytkownik\u00f3w. Co gorsza: us\u0142uga zbiera\u0142a dane osobowe dzieci poni\u017cej 13 roku \u017cycia bez zgody rodzic\u00f3w. Osobiste informacje nieletnich \u2014 imiona, e-mail, numery telefon\u00f3w, zdj\u0119cia i filmy \u2014 by\u0142y dost\u0119pne publicznie.<\/p>\n

Serwis zosta\u0142 ukarany<\/a><\/noindex> na kilka milion\u00f3w dolar\u00f3w, a organy regulacyjne r\u00f3wnie\u017c za\u017c\u0105da\u0142y usuni\u0119cia wszystkich film\u00f3w nagranych przez dzieci poni\u017cej 13 roku \u017cycia. TikTok zastosowa\u0142 si\u0119 do tego. Niemniej jednak, dane osobowe u\u017cytkownik\u00f3w s\u0105 wykorzystywane w swoich celach przez inne komunikatory i us\u0142ugi, wi\u0119c nie mo\u017cna by\u0107 pewnym ich bezpiecze\u0144stwa.<\/p>\n

T\u0119 list\u0119 mo\u017cna bez ko\u0144ca kontynuowa\u0107 \u2014 wi\u0119kszo\u015b\u0107 komunikator\u00f3w ma jak\u0105\u015b podatno\u015b\u0107, kt\u00f3ra umo\u017cliwia przest\u0119pcom pods\u0142uchiwanie u\u017cytkownik\u00f3w (\u015bwietny przyk\u0142ad<\/a><\/noindex> \u2014 Viber, chocia\u017c wszystko wydaje si\u0119 by\u0107 naprawione) lub kradn\u0105 ich dane. Co wi\u0119cej, prawie wszystkie aplikacje z top 5 przechowuj\u0105 dane u\u017cytkownik\u00f3w w niezabezpieczony spos\u00f3b na dysku twardym komputera lub w pami\u0119ci telefonu. I to je\u015bli nie wspomina\u0107 o s\u0142u\u017cbach specjalnych r\u00f3\u017cnych kraj\u00f3w, kt\u00f3re mog\u0105 mie\u0107 dost\u0119p do danych u\u017cytkownik\u00f3w dzi\u0119ki prawodawstwu. Ten sam Skype, VKontakte, TamTam i inne udost\u0119pniaj\u0105 wszelkie informacje o ka\u017cdym u\u017cytkowniku na \u017c\u0105danie w\u0142adz (na przyk\u0142ad w Rosji).<\/p>\n

Dobra ochrona na poziomie protoko\u0142u? \u017baden problem, \u0142amiemy urz\u0105dzenie<\/h3>\n

\nKilka lat temu wybuch\u0142 konflikt<\/a><\/noindex> mi\u0119dzy Apple a rz\u0105dami USA. Korporacja odm\u00f3wi\u0142a odblokowania zaszyfrowanego smartfona, kt\u00f3ry by\u0142 przedmiotem \u015bledztwa w sprawie zamach\u00f3w w San Bernardino. Wtedy wydawa\u0142o si\u0119 to rzeczywistym problemem: dane by\u0142y dobrze zabezpieczone, a w\u0142amanie do smartfona by\u0142o albo niemo\u017cliwe, albo bardzo trudne.<\/p>\n

Teraz sytuacja wygl\u0105da inaczej. Na przyk\u0142ad, izraelska firma Cellebrite sprzedaje osobom prawnym w Rosji i innych krajach zestaw oprogramowania i sprz\u0119tu, kt\u00f3ry pozwala z\u0142ama\u0107 wszystkie modele iPhone'\u00f3w i Android\u00f3w. W zesz\u0142ym roku wydano broszur\u0119 reklamow\u0105<\/a><\/noindex> z stosunkowo szczeg\u00f3\u0142owymi informacjami na ten temat.<\/p>\n

\"Kiedy
\n\u015aledczy kryminalistyczny z Magadanu, Popow, \u0142amie smartfona za pomoc\u0105 tej samej technologii, co Federalne Biuro \u015aledcze USA. \u0179r\u00f3d\u0142o: BBC<\/i><\/p>\n

Urz\u0105dzenie kosztuje stosunkowo niewiele wed\u0142ug pa\u0144stwowych standard\u00f3w. Za UFED Touch2 zarz\u0105d SKR w Wo\u0142gogradzie zap\u0142aci\u0142 800 tysi\u0119cy rubli, a w Chabarowsku \u2014 1,2 mln rubli. W 2017 roku Aleksandr Bastrykin, szef \u015aledczego Komitetu Federacji Rosyjskiej, potwierdzi\u0142, \u017ce jego departament u\u017cywa rozwi\u0105za\u0144<\/noindex> izraelskiej firmy. <\/p>\n

Takie urz\u0105dzenia zakupuje r\u00f3wnie\u017c \u201eSberbank\u201d \u2014 prawda, nie do prowadzenia \u015bledztw, a do walki z wirusami na urz\u0105dzeniach z systemem Android. \u201eW przypadku podejrzenia o zainfekowanie urz\u0105dze\u0144 mobilnych nieznanym z\u0142o\u015bliwym kodem programowym i po uzyskaniu obligatoryjnej zgody w\u0142a\u015bcicieli zainfekowanych telefon\u00f3w, b\u0119dzie przeprowadzana analiza w celu znalezienia stale pojawiaj\u0105cych si\u0119 i zmieniaj\u0105cych si\u0119 nowych wirus\u00f3w z wykorzystaniem r\u00f3\u017cnych narz\u0119dzi, w tym z zastosowaniem UFED Touch2,\u201d \u2014 og\u0142osili<\/a><\/noindex> w firmie.<\/p>\n

Amerykanie r\u00f3wnie\u017c dysponuj\u0105 technologiami, kt\u00f3re pozwalaj\u0105 na prze\u0142amywanie zabezpiecze\u0144 wszelkich smartfon\u00f3w. Firma Grayshift obiecuje z\u0142amanie 300 smartfon\u00f3w za 15 tysi\u0119cy dolar\u00f3w USA (to 50 dolar\u00f3w za sztuk\u0119 w por\u00f3wnaniu do 1500 dolar\u00f3w u Cellbrite).<\/p>\n

Ca\u0142kiem mo\u017cliwe, \u017ce podobne urz\u0105dzenia istniej\u0105 r\u00f3wnie\u017c u cyberprzest\u0119pc\u00f3w. Urz\u0105dzenia te s\u0105 nieustannie ulepszane \u2014 zmniejsza si\u0119 ich rozmiar, a wydajno\u015b\u0107 ro\u015bnie.<\/p>\n

Obecnie m\u00f3wimy o do\u015b\u0107 znanych telefonach od du\u017cych producent\u00f3w, kt\u00f3rzy dbaj\u0105 o bezpiecze\u0144stwo danych swoich u\u017cytkownik\u00f3w. Je\u015bli jednak chodzi o mniejsze firmy lub organizacje bez nazwy, w tym przypadku dane mo\u017cna pozyska\u0107 bez problemu. Tryb HS-USB dzia\u0142a nawet wtedy, gdy bootloader jest zablokowany. Tryby serwisowe s\u0105 zazwyczaj \u201eczarnym wej\u015bciem\u201d, przez kt\u00f3re mo\u017cna wydoby\u0107 dane. Je\u015bli nie, mo\u017cna pod\u0142\u0105czy\u0107 si\u0119 do portu JTAG lub po prostu wydoby\u0107 chip eMMC, wstawiaj\u0105c go do niedrogiego adaptera. Je\u015bli dane nie s\u0105 szyfrowane, z telefonu mo\u017cna wyci\u0105gn\u0105\u0107<\/a><\/noindex> wszystko, \u0142\u0105cznie z znacznikami uwierzytelniania, kt\u00f3re zapewniaj\u0105 dost\u0119p do chmur i innych us\u0142ug.<\/p>\n

Je\u015bli kto\u015b ma osobisty dost\u0119p do smartfona z wa\u017cnymi informacjami, to przy ch\u0119ci jego z\u0142amania jest to mo\u017cliwe, niezale\u017cnie od tego, co m\u00f3wi\u0105 producenci.<\/p>\n

Jasne jest, \u017ce to, co powiedziano, dotyczy nie tylko smartfon\u00f3w, ale tak\u017ce komputer\u00f3w z laptopami dzia\u0142aj\u0105cymi na r\u00f3\u017cnych systemach operacyjnych. Je\u015bli nie b\u0119dziemy stosowa\u0107 zaawansowanych \u015brodk\u00f3w ochrony, a zadowolimy si\u0119 zwyk\u0142ymi metodami, takimi jak has\u0142o i login, to dane pozostan\u0105 w niebezpiecze\u0144stwie. Do\u015bwiadczony haker, maj\u0105c fizyczny dost\u0119p do urz\u0105dzenia, mo\u017ce uzyska\u0107 praktycznie ka\u017cd\u0105 informacj\u0119 \u2014 to tylko kwestia czasu.<\/p>\n

Co wi\u0119c robi\u0107?<\/h3>\n

\nNa Habra poruszano nie raz kwesti\u0119 bezpiecze\u0144stwa danych na urz\u0105dzeniach osobistych, wi\u0119c nie b\u0119dziemy wymy\u015bla\u0107 ko\u0142a na nowo. Wska\u017amy tylko podstawowe metody, kt\u00f3re zmniejszaj\u0105 prawdopodobie\u0144stwo pozyskania twoich danych przez osoby trzecie:<\/p>\n