I februari publicerade vi artikeln "Inte bara VPN. En handledning om hur man skyddar sig sjÀlv och sina data." fick oss att skriva en fortsÀttning pÄ artikeln. Denna del Àr en helt fristÄende informationskÀlla, men vi rekommenderar ÀndÄ att lÀsa bÄda inlÀggen.
Det nya inlÀgget handlar om dataskydd (konversationer, foton, videor, allt detta) i meddelandeprogram och de enheter som anvÀnds för att hantera applikationerna.
Meddelandeprogram
Telegram
Redan i oktober 2018 lyckades förstaÄrseleven vid Wake Technical College, Nathaniel Sachi, upptÀcka att meddelandeprogrammet Telegram sparar meddelanden och mediafiler pÄ den lokala hÄrddisken pÄ datorn i okrypterad form.
Eleven kunde fÄ tillgÄng till sina egna konversationer, inklusive text och bilder. För att göra detta studerade han applikationens databaser som lagras pÄ HDD. Det visade sig att datan Àr svÄr att lÀsa, men inte krypterad. Och tillgÄng till dem kan erhÄllas Àven om anvÀndaren har satt ett lösenord pÄ applikationen.
I de erhÄllna uppgifterna hittades namn och telefonnummer pÄ samtalspartners, som kan kopplas samman om sÄ önskas. Information frÄn stÀngda chattar lagras ocksÄ i okrypterad form.
Senare sade Durov att detta inte Àr ett problem, eftersom om en illvillig aktör har tillgÄng till anvÀndarens dator kan de fÄ tillgÄng till krypteringsnycklarna och utan problem dekryptera hela konversationen. Men mÄnga experter pÄ informationssÀkerhet anser att detta Àr allvarligt.
Dessutom visade det sig att Telegram Àr sÄrbart för attacks försök att stjÀla nycklar, vilket anvÀndare av Habr. Det gÄr att knÀcka local code av lösenord av vilken lÀngd och komplexitet som helst.
SÄvitt kÀnt lagrar Àven detta meddelandeprogram data pÄ datorns hÄrddisk i okrypterad form. SÄledes, om en illvillig aktör har tillgÄng till anvÀndarens enhet, Àr alla data ocksÄ öppna.
Men det finns ett mer globalt problem. Just nu lagras alla sÀkerhetskopior frÄn WhatsApp, installerat pÄ enheter med Android OS, pÄ Google Drive, vilket Google och Facebook kom överens om förra Äret. Men sÀkerhetskopior av konversationer, mediafiler och liknande . SÄvitt man kan bedöma har anstÀllda inom sÀkerhetsavdelningar i samma USA , dÀrför finns det en möjlighet att sÀkerhetsstyrkor kan se alla sparade data.
Det Àr möjligt att kryptera data, men bÄda företagen gör det inte. Kanske för att oskyddade sÀkerhetskopior kan överföras och anvÀndas utan problem av anvÀndarna sjÀlva. Troligtvis finns det inget kryptering inte för att det Àr tekniskt svÄrt att implementera: tvÀrtom, att skydda sÀkerhetskopior kan göras utan större anstrÀngning. Problemet Àr att Google har sina skÀl att samarbeta med WhatsApp - företaget analyserar troligen och anvÀnder dem för att visa personligt anpassad reklam. Om Facebook plötsligt skulle införa kryptering för WhatsApp-sÀkerhetskopior, skulle Google omedelbart tappa intresset för ett sÄdant partnerskap och förlora en vÀrdefull datakÀlla om WhatsApp-anvÀndarnas preferenser. Detta Àr naturligtvis bara en hypotes, men en trolig sÄdan i hi-tech marknadsföringsvÀrlden.
NÀr det gÀller WhatsApp för iOS, sparas sÀkerhetskopior i iCloud. Men Àven hÀr lagras informationen i okrypterad form, vilket till och med nÀmns i appens instÀllningar. Om Apple analyserar dessa data eller inte, vet endast företaget sjÀlvt. Sant Àr att Cupertino-företaget inte har ett annonseringsnÀtverk som Google, sÄ vi kan anta att sannolikheten för att de analyserar WhatsApp-anvÀndarnas personuppgifter Àr betydligt lÀgre.
Allt som sagts kan sammanfattas sÄ hÀr - ja, inte bara du har tillgÄng till din WhatsApp-konversation.
TikTok och andra meddelandetjÀnster
Denna tjĂ€nst för att dela korta videor blev vĂ€ldigt snabbt populĂ€r. Utvecklarna lovade att sĂ€kerstĂ€lla fullstĂ€ndig sĂ€kerhet för sina anvĂ€ndares data. Det visade sig dock att tjĂ€nsten anvĂ€nde dessa data utan att informera anvĂ€ndarna. Ănnu vĂ€rre: tjĂ€nsten samlade in personuppgifter frĂ„n barn under 13 Ă„r utan förĂ€ldrarnas samtycke. Personlig information om minderĂ„riga - namn, e-post, telefonnummer, bilder och videor blev offentligt tillgĂ€ngliga.
TjÀnsten till flera miljoner dollar, tillsynsmyndigheterna krÀvde ocksÄ att alla videor som filmats av barn under 13 Är skulle tas bort. TikTok efterkom. Trots detta anvÀnder andra meddelandetjÀnster och tjÀnster anvÀndarnas personuppgifter för sina syften, sÄ man kan inte vara sÀker pÄ deras sÀkerhet.
Denna lista kan fortsĂ€tta i det oĂ€ndliga - de flesta meddelandetjĂ€nster har nĂ„gon form av sĂ„rbarhet som gör det möjligt för illvilliga aktörer att avlyssna anvĂ€ndarna ( â Viber, Ă€ven om de verkar ha löst det) eller stjĂ€la deras data. Dessutom lagrar nĂ€stan alla appar i topp-5 anvĂ€ndardata i oskyddat format pĂ„ datorns hĂ„rddisk eller i telefonens minne. Och det Ă€r inte ens att nĂ€mna sĂ€kerhetstjĂ€nster frĂ„n olika lĂ€nder, som kan fĂ„ tillgĂ„ng till anvĂ€ndardata tack vare lagstiftningen. Samma Skype, VKontakte, TamTam och andra tillhandahĂ„ller all information om varje anvĂ€ndare pĂ„ begĂ€ran av myndigheterna (till exempel Ryssland).
Bra skydd pÄ protokollnivÄ? Inga problem, vi hackar enheten
För nÄgra Är sedan mellan Apple och den amerikanska regeringen. Företaget vÀgrade att lÄsa upp den krypterade smartphonen som var involverad i fallet om terrorattackerna i San Bernardino. DÄ verkade det vara ett verkligt problem: data var vÀl skyddade och det var antingen omöjligt eller mycket svÄrt att hacka smartphonen.
Nu ser situationen annorlunda ut. Till exempel sÀljer det israeliska företaget Cellebrite programvaru- och hÄrdvarulösningar till juridiska personer i Ryssland och andra lÀnder som gör det möjligt att hacka alla modeller av iPhone och Android. Förra Äret publicerades med relativt detaljerad information om detta Àmne.
Kriminalteknikern Popov frÄn Magadan hackar en smartphone med samma teknik som det amerikanska federala utredningsbyrÄn. KÀlla: BBC
Enheten kostar relativt lite enligt statliga mÄtt. För UFED Touch2 betalade den volgogradska avdelningen för undersökningar 800 000 rubel, medan den habarovska betalade 1,2 miljoner rubel. à r 2017 bekrÀftade Alexander Bastrykin, chefen för den ryska utredningskommittén, att hans avdelning frÄn det israeliska företaget.
SĂ„dana enheter köps ocksĂ„ av "Sberbank" â dock inte för att genomföra utredningar, utan för att bekĂ€mpa virus pĂ„ enheter med Android OS. "Vid misstanke om infektion av mobila enheter med okĂ€nd skadlig kod och efter att ha fĂ„tt nödvĂ€ndigt samtycke frĂ„n Ă€garna av de infekterade telefonerna kommer analyser att utföras för att leta efter stĂ€ndigt uppdykande och förĂ€nderliga nya virus med hjĂ€lp av olika verktyg, inklusive med hjĂ€lp av UFED Touch2", â i företaget.
Amerikaner har ocksÄ tekniker som gör det möjligt att hacka alla smartphones. Företaget Grayshift lovar att hacka 300 smartphones för 15 000 USD (det Àr 50 USD per enhet jÀmfört med 1500 USD hos Cellbrite).
Det Àr mycket möjligt att sÄdana enheter ocksÄ finns hos cyberkriminella. Dessa enheter förbÀttras stÀndigt - storleken minskar och prestandan ökar.
Nu pratar vi om mer eller mindre kÀnda telefoner frÄn stora tillverkare som Àr bekymrade över skyddet av sina anvÀndares data. NÀr det gÀller mindre företag eller namnlösa organisationer Àr det enklare att fÄ ut data. HS-USB-lÀget fungerar Àven nÀr bootloadern Àr lÄst. ServicelÀgen Àr vanligtvis 'bakdörrar' genom vilka data kan extraheras. Om inte, kan man ansluta till JTAG-porten eller till och med ta bort eMMC-chippet och sÀtta det i en billig adapter. Om data inte Àr krypterade kan man fÄ ut allt frÄn telefonen. allt, inklusive autentiseringsmÀrken som ger tillgÄng till molnlagring och andra tjÀnster.
Om nÄgon har personlig tillgÄng till en smartphone med viktig information gÄr det att hacka den om man vill, oavsett vad tillverkarna sÀger.
Det Ă€r uppenbart att allt detta inte bara gĂ€ller smartphones, utan Ă€ven datorer och bĂ€rbara datorer med olika operativsystem. Om man inte anvĂ€nder avancerade sĂ€kerhetsĂ„tgĂ€rder och nöjer sig med vanliga metoder som anvĂ€ndarnamn och lösenord, sĂ„ kommer informationen att förbli i fara. En erfaren hacker med fysisk Ă„tkomst till enheten kan fĂ„ tag i nĂ€stan vilken information som helst â det Ă€r bara en frĂ„ga om tid.
Vad ska man göra?
PÄ Habr har man flera gÄnger tagit upp frÄgan om dataskydd pÄ personliga enheter, sÄ vi kommer inte att Äteruppfinna hjulet. Vi nÀmner bara de grundlÀggande metoderna som minskar sannolikheten för att obehöriga fÄr tag i dina data:
- Det Àr ett mÄste att anvÀnda datakryptering bÄde pÄ smartphones och pÄ datorer. Olika operativsystem erbjuder ofta ganska bra verktyg som standard. Ett exempel Àr kryptokontainer i Mac OS med inbyggda verktyg.
- SÀtt lösenord överallt, inklusive meddelandehistorik i Telegram och andra meddelandeappar. SjÀlvklart ska lösenorden vara komplicerade.
- TvĂ„faktorsautentisering â ja, det kan vara obekvĂ€mt, men nĂ€r sĂ€kerhetsfrĂ„gan stĂ„r i första rummet, fĂ„r man acceptera det.
- Att kontrollera den fysiska sÀkerheten för sina enheter. Att ta med en företags-PC till ett café och glömma den dÀr? Klassisk. SÀkerhetsnormer, inklusive företagsnormer, Àr skrivna med tÄrarna av offer för egen vÄrdslöshet.
LÄt oss diskutera i kommentarerna dina metoder som minskar risken för dataintrÄng vid obehörig Ätkomst till den fysiska enheten. De föreslagna metoderna kommer vi sedan att lÀgga till i artikeln eller publicera i vÄr , dÀr vi regelbundet skriver om sÀkerhet, livshackar för anvÀndning av och censur pÄ internet.
KĂ€lla: habr.com
