{"id":31944,"date":"2019-10-31T21:44:09","date_gmt":"2019-10-31T18:44:09","guid":{"rendered":"https:\/\/prohoster.info\/blog\/kogda-shifrovanie-ne-pomozhet-rasskazyvaem-pro-fizicheskij-dostup-k-ustrojstvu\/"},"modified":"2019-10-31T21:44:09","modified_gmt":"2019-10-31T18:44:09","slug":"kogda-shifrovanie-ne-pomozhet-rasskazyvaem-pro-fizicheskij-dostup-k-ustrojstvu","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/kogda-shifrovanie-ne-pomozhet-rasskazyvaem-pro-fizicheskij-dostup-k-ustrojstvu","title":{"rendered":"Quando a criptografia n\u00e3o ajuda: falamos sobre o acesso f\u00edsico ao dispositivo","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Em fevereiro, publicamos o artigo \"N\u00e3o \u00e9 s\u00f3 de VPN que se vive. Um guia sobre como proteger a si mesmo e seus dados.\" Um dos coment\u00e1rios<\/a><\/noindex> nos incentivou a escrever uma continua\u00e7\u00e3o do artigo. Esta parte \u00e9 uma fonte de informa\u00e7\u00e3o bastante aut\u00f4noma, mas ainda recomendamos a leitura de ambos os posts.<\/p>\n

O novo post trata da quest\u00e3o da seguran\u00e7a dos dados (conversas, fotos, v\u00eddeos, essas coisas) em mensageiros e nos pr\u00f3prios dispositivos usados para trabalhar com os aplicativos.<\/a><\/noindex><\/p>\n

Mensageiros<\/h3>\n

\n Telegram<\/b><\/p>\n

J\u00e1 em outubro de 2018, um estudante do primeiro ano do Wake Technical College, Nathaniel Sachi, conseguiu descobrir que o mensageiro Telegram salva mensagens e arquivos de m\u00eddia no disco local do computador de forma n\u00e3o protegida.<\/p>\n

O estudante conseguiu acessar sua pr\u00f3pria conversa\u00e7\u00e3o, incluindo textos e imagens. Para isso, ele analisou os bancos de dados do aplicativo armazenados no HDD. Descobriu que os dados eram dif\u00edceis de ler, mas n\u00e3o estavam criptografados. E o acesso a eles era poss\u00edvel mesmo que o usu\u00e1rio tivesse definido uma senha para o aplicativo.<\/p>\n

Nos dados obtidos, foram encontrados nomes e n\u00fameros de telefone dos interlocutores, que poderiam ser associados se desejado. As informa\u00e7\u00f5es de chats privados tamb\u00e9m estavam armazenadas de forma n\u00e3o protegida.<\/p>\n

Mais tarde, Durov afirmou que isso n\u00e3o era um problema, pois se um invasor tem acesso ao PC do usu\u00e1rio, ele poderia obter as chaves de criptografia e decodificar toda a conversa\u00e7\u00e3o sem problemas. Mas muitos especialistas em seguran\u00e7a da informa\u00e7\u00e3o afirmam que isso \u00e9 realmente s\u00e9rio.<\/p>\n

\r\n \"Por\r\n
<\/div>\r\n <\/div><\/center>
\nAl\u00e9m disso, o Telegram se mostrou vulner\u00e1vel a ataques de roubo de chaves, o que foi descoberto<\/noindex> por um usu\u00e1rio do Habr. O c\u00f3digo local da senha pode ser quebrado independentemente de sua complexidade ou comprimento.<\/p>\n

WhatsApp<\/b><\/p>\n

Pelo que se sabe, esse mensageiro tamb\u00e9m armazena dados no disco do computador de forma n\u00e3o criptografada. Portanto, se um invasor tiver acesso ao dispositivo do usu\u00e1rio, todos os dados tamb\u00e9m estar\u00e3o expostos.<\/p>\n

Mas h\u00e1 um problema mais abrangente. Atualmente, todos os backups do WhatsApp, instalados em dispositivos com sistema operacional Android, est\u00e3o armazenados no Google Drive, conforme acordado entre Google e Facebook no ano passado. Mas os backups de conversas, arquivos de m\u00eddia e similares s\u00e3o armazenados de forma n\u00e3o criptografada<\/a><\/noindex>. Pelo que se pode entender, os agentes de autoridades dos EUA t\u00eam acesso ao Google Drive<\/a><\/noindex>, portanto, existe a probabilidade de que as autoridades possam revisar quaisquer dados salvos.<\/p>\n

Os dados podem ser criptografados, mas nenhuma das duas empresas o faz. Talvez, simplesmente porque backups n\u00e3o criptografados podem ser facilmente transferidos e utilizados pelos pr\u00f3prios usu\u00e1rios. Provavelmente, a falta de criptografia n\u00e3o se deve \u00e0 dificuldade t\u00e9cnica de implement\u00e1-la: ao contr\u00e1rio, proteger backups pode ser feito sem dificuldade. O problema \u00e9 que o Google tem suas raz\u00f5es para trabalhar com o WhatsApp \u2014 a empresa, supostamente, analisa os dados armazenados nos servidores do Google Drive<\/a><\/noindex> e os usa para exibir an\u00fancios personalizados. Se o Facebook de repente introduzisse criptografia para os backups do WhatsApp, o Google perderia imediatamente o interesse nessa parceria, privando-se de uma valiosa fonte de dados sobre as prefer\u00eancias dos usu\u00e1rios do WhatsApp. Isso, \u00e9 claro, \u00e9 apenas uma suposi\u00e7\u00e3o, mas bastante prov\u00e1vel no mundo do marketing hi-tech. <\/p>\n

No que diz respeito ao WhatsApp para iOS, os backups s\u00e3o salvos na nuvem iCloud. Mas, mesmo aqui, as informa\u00e7\u00f5es s\u00e3o armazenadas de forma n\u00e3o criptografada, conforme indicado nas configura\u00e7\u00f5es do aplicativo. Se a Apple analisa esses dados ou n\u00e3o, s\u00f3 a pr\u00f3pria empresa sabe. No entanto, os californianos n\u00e3o t\u00eam uma rede publicit\u00e1ria como o Google, portanto, podemos presumir que a probabilidade de que eles analisem dados pessoais dos usu\u00e1rios do WhatsApp \u00e9 significativamente menor. <\/p>\n

Tudo que foi dito pode ser resumido da seguinte forma \u2014 sim, o seu hist\u00f3rico do WhatsApp n\u00e3o \u00e9 acessado apenas por voc\u00ea.<\/p>\n

TikTok e outros mensageiros<\/b><\/p>\n

Este servi\u00e7o de troca de v\u00eddeos curtos rapidamente se tornou popular. Os desenvolvedores prometeram garantir a total seguran\u00e7a dos dados de seus usu\u00e1rios. Como se viu, o pr\u00f3prio servi\u00e7o utilizava esses dados sem notificar os usu\u00e1rios. Pior ainda: o servi\u00e7o coletava dados pessoais de crian\u00e7as com menos de 13 anos sem o consentimento dos pais. Informa\u00e7\u00f5es pessoais de menores \u2014 nomes, e-mails, n\u00fameros de telefone, fotos e v\u00eddeos tornaram-se acess\u00edveis publicamente.<\/p>\n

Servi\u00e7o foi multado<\/a><\/noindex> em v\u00e1rios milh\u00f5es de d\u00f3lares, os reguladores tamb\u00e9m exigiram a exclus\u00e3o de todos os v\u00eddeos gravados por crian\u00e7as com menos de 13 anos. O TikTok cumpriu. No entanto, dados pessoais dos usu\u00e1rios s\u00e3o utilizados para seus pr\u00f3prios fins por outros mensageiros e servi\u00e7os, ent\u00e3o n\u00e3o se pode ter certeza sobre sua seguran\u00e7a.<\/p>\n

Esta lista pode ser intermin\u00e1vel \u2014 a maioria dos mensageiros possui alguma vulnerabilidade que permite que invasores escutem os usu\u00e1rios (um \u00f3timo exemplo<\/a><\/noindex> \u2014 Viber, embora l\u00e1 tudo pare\u00e7a ter sido corrigido) ou roubar seus dados. Al\u00e9m disso, praticamente todos os aplicativos do top 5 armazenam os dados dos usu\u00e1rios de maneira desprotegida no disco r\u00edgido do computador ou na mem\u00f3ria do telefone. E isso sem mencionar os servi\u00e7os de intelig\u00eancia de v\u00e1rios pa\u00edses, que podem ter acesso aos dados dos usu\u00e1rios devido \u00e0 legisla\u00e7\u00e3o. O mesmo Skype, VKontakte, TamTam e outros fornecem qualquer informa\u00e7\u00e3o sobre qualquer usu\u00e1rio mediante solicita\u00e7\u00e3o das autoridades (por exemplo, da R\u00fassia).<\/p>\n

Boa prote\u00e7\u00e3o a n\u00edvel de protocolo? Sem problema, quebramos o dispositivo<\/h3>\n

\nAlguns anos atr\u00e1s eclodiu um conflito<\/a><\/noindex> entre a Apple e o governo dos Estados Unidos. A corpora\u00e7\u00e3o se recusou a desbloquear um smartphone criptografado que estava envolvido em um caso de atentados na cidade de San Bernardino. Naquela \u00e9poca, isso parecia um problema real: os dados estavam bem protegidos, e quebrar o smartphone era ou imposs\u00edvel ou muito dif\u00edcil.<\/p>\n

Agora a situa\u00e7\u00e3o \u00e9 diferente. Por exemplo, a empresa israelense Cellebrite vende a pessoas jur\u00eddicas na R\u00fassia e em outros pa\u00edses um complexo de software e hardware que permite desbloquear todos os modelos de iPhone e Android. No ano passado, foi publicado um folheto publicit\u00e1rio<\/a><\/noindex> com informa\u00e7\u00f5es relativamente detalhadas sobre esse assunto.<\/p>\n

\"Quando
\nO investigador criminal de Magadan, Popov, quebra o smartphone usando a mesma tecnologia que o Federal Bureau of Investigation dos EUA. Fonte: BBC<\/i><\/p>\n

O dispositivo \u00e9 relativamente barato de acordo com os padr\u00f5es do governo. A UFED Touch2 custou ao departamento do SKR em Volgogrado 800 mil rublos, e ao de Khabarovsk \u2014 1,2 milh\u00f5es de rublos. Em 2017, Alexander Bastrykin, chefe do Comit\u00ea de Investiga\u00e7\u00e3o da R\u00fassia, confirmou que seu departamento usa solu\u00e7\u00f5es<\/noindex> da empresa israelense. <\/p>\n

O Sberbank tamb\u00e9m compra esses dispositivos \u2013 mas n\u00e3o para conduzir investiga\u00e7\u00f5es, e sim para combater v\u00edrus em dispositivos com o sistema operacional Android. \"Diante da suspeita de contamina\u00e7\u00e3o de dispositivos m\u00f3veis por c\u00f3digos maliciosos desconhecidos e ap\u00f3s a obten\u00e7\u00e3o do consentimento obrigat\u00f3rio dos propriet\u00e1rios dos telefones infectados, ser\u00e1 realizada uma an\u00e1lise para detectar novos v\u00edrus que surgem e mudam constantemente, utilizando diversas ferramentas, incluindo o UFED Touch2\", \u2013 declararam<\/a><\/noindex> na empresa.<\/p>\n

Os americanos tamb\u00e9m t\u00eam tecnologias que permitem invadir qualquer smartphone. A empresa Grayshift promete hackear 300 smartphones por 15 mil d\u00f3lares americanos (isso \u00e9 50 d\u00f3lares por unidade, contra 1500 da Cellbrite).<\/p>\n

\u00c9 bastante prov\u00e1vel que dispositivos semelhantes tamb\u00e9m estejam nas m\u00e3os de cibercriminosos. Esses dispositivos est\u00e3o em constante aperfei\u00e7oamento \u2014 seu tamanho diminui e o desempenho aumenta.<\/p>\n

Atualmente, estamos falando sobre smartphones mais ou menos conhecidos de grandes fabricantes que se preocupam com a prote\u00e7\u00e3o dos dados de seus usu\u00e1rios. No entanto, quando se trata de empresas menores ou organiza\u00e7\u00f5es sem nome, os dados podem ser extra\u00eddos sem problemas. O modo HS-USB funciona mesmo quando o carregador est\u00e1 bloqueado. Os modos de servi\u00e7o geralmente s\u00e3o uma \"porta dos fundos\", atrav\u00e9s da qual os dados podem ser extra\u00eddos. Se n\u00e3o houver essa op\u00e7\u00e3o, \u00e9 poss\u00edvel conectar-se \u00e0 porta JTAG ou at\u00e9 mesmo extrair o chip eMMC e inseri-lo em um adaptador barato. Se os dados n\u00e3o estiverem criptografados, tudo pode ser retirado do telefone. \u00e9 poss\u00edvel extrair<\/a><\/noindex> tudo, inclusive os marcadores de autentica\u00e7\u00e3o que d\u00e3o acesso a armazenamentos em nuvem e outros servi\u00e7os.<\/p>\n

Se algu\u00e9m tem acesso pessoal a um smartphone com informa\u00e7\u00f5es importantes, \u00e9 poss\u00edvel hacke\u00e1-lo, independentemente do que dizem os fabricantes.<\/p>\n

\u00c9 claro que tudo isso se aplica n\u00e3o apenas a smartphones, mas tamb\u00e9m a computadores e notebooks de diferentes sistemas operacionais. Se n\u00e3o forem adotadas medidas de seguran\u00e7a avan\u00e7adas, e forem utilizados apenas m\u00e9todos comuns como senha e login, os dados permanecer\u00e3o em perigo. Um hacker experiente, tendo acesso f\u00edsico ao dispositivo, conseguir\u00e1 obter praticamente qualquer informa\u00e7\u00e3o \u2013 \u00e9 apenas uma quest\u00e3o de tempo.<\/p>\n

Ent\u00e3o, o que fazer?<\/h3>\n

\nNo Habr, a quest\u00e3o da seguran\u00e7a dos dados em dispositivos pessoais j\u00e1 foi abordada v\u00e1rias vezes, ent\u00e3o n\u00e3o vamos reinventar a roda. Vamos apenas mencionar os principais m\u00e9todos que reduzem a probabilidade de terceiros obterem seus dados:<\/p>\n