计算机取证专家在工作中经常遇到需要快速解锁智能手机的情况。 例如，调查需要手机数据来了解青少年自杀的原因。 在另一种情况下，他们将帮助追踪攻击卡车司机的犯罪团伙。 当然，还有一些可爱的故事——父母忘记了小工具的密码，还有一段视频，上面写着他们宝宝的第一步，但不幸的是，这样的故事只有几个。 但他们也需要用专业的方法来解决这个问题。 在本文中 Igor Mikhailov，IB 集团计算机取证实验室专家，讨论了允许法医专家绕过智能手机锁的方法。
重要提示：本文旨在评估移动设备所有者使用的密码和图形模式的安全性。 如果您决定使用所描述的方法解锁移动设备，请记住，执行所有解锁设备的操作需要您自行承担风险。 操作移动设备时，您可能会锁定设备、删除用户数据或导致设备发生故障。 还向用户提供有关如何提高设备保护级别的建议。
因此，限制访问设备中包含的用户信息的最常见方法是锁定移动设备的屏幕。 当这样的设备进入法医实验室时，使用它可能会很困难，因为对于这样的设备，无法激活USB调试模式（对于Android设备），也无法确认检查者的计算机与其交互的权限设备（对于 Apple 移动设备），并且因此无法访问设备内存中存储的数据。
美国联邦调查局 (FBI) 花费巨资解锁恐怖分子赛义德·法鲁克 (Syed Farouk)（加州圣贝纳迪诺市恐怖袭击的参与者之一）的 iPhone，这一事实表明，移动设备的常见屏幕锁定在多大程度上阻碍了专家的操作。从中提取数据[1]。
移动设备屏幕解锁方法
通常，使用以下方法锁定移动设备的屏幕：
- 符号密码
- 图形密码
此外，SmartBlock 技术方法可用于解锁多种移动设备的屏幕：
- 指纹解锁
- 人脸解锁（FaceID技术）
- 通过虹膜识别解锁设备
解锁移动设备的社交方法
除了纯粹的技术方法之外，还有其他方法可以找出或克服屏幕锁定的 PIN 码或图形代码（图案）。 在某些情况下，社交方法可能比技术解决方案更有效，并有助于解锁屈服于现有技术发展的设备。
本节将描述不需要（或仅需要有限、部分）使用技术手段的移动设备屏幕解锁方法。
要进行社交攻击，有必要尽可能深入地研究锁定设备所有者的心理，了解他生成和保存密码或图形模式的原理。 此外，研究人员还需要一点运气。
在使用与密码猜测相关的方法时，应记住：
- 在 Apple 移动设备上输入十次错误密码可能会导致用户数据被删除。 这取决于用户设置的安全设置；
- 在运行Android操作系统的移动设备上，可以使用Root of Trust技术，这将导致在输入30次错误密码后，用户数据将无法访问或被删除。
方法一：询问密码
这可能看起来很奇怪，但您只需询问设备的所有者就可以找到解锁密码。 统计数据显示，大约 70% 的移动设备所有者愿意分享他们的密码。 特别是如果它会缩短研究时间，相应地，所有者将更快地取回他的设备。 如果无法向所有者询问密码（例如设备所有者已去世）或他拒绝透露密码，则可以从其近亲处获取密码。 一般来说，亲戚知道密码或者可以建议可能的选择。
防护建议： 您的手机密码是所有数据（包括付款数据）的通用密钥。 在即时通讯工具中谈论、传输、书写它是一个坏主意。
方法二：偷看密码
机主使用设备时密码可被偷看。 即使您仅记住部分密码（字符或图形），这也会显着减少可能的选项数量，从而使您能够更快地猜出密码。
这种方法的一个变体是使用闭路电视录像，显示所有者使用图案密码解锁设备 [2]。 《五次尝试破解 Android 模式锁》[2] 中描述的算法，通过分析视频记录，可以让您猜测图形密码的选项，并在多次尝试中解锁设备（通常，这不需要更多尝试）超过五次尝试）。 作者表示，“密码模式越复杂，就越容易被破解。”
防护建议： 使用图形键并不是最好的主意。 字母数字密码很难被偷看。
方法三：查找密码
密码可以在设备所有者的记录中找到（计算机上的文件、日记中、文档中的纸片）。 如果一个人使用多个不同的移动设备并且它们有不同的密码，那么有时在这些设备的电池仓或智能手机外壳与外壳之间的空间中，您可以找到写有密码的纸片：
防护建议： 无需保留带有密码的“笔记本”。 这是一个坏主意，除非已知所有这些密码都是错误的以减少解锁尝试的次数。
方法4：指纹（Smudge攻击）
通过此方法，您可以在设备显示屏上识别手部的汗脂痕迹。 您可以通过用轻微的指纹粉处理设备的屏幕（您可以使用婴儿爽身粉或其他白色或浅灰色的化学惰性细粉，而不是特殊的法医粉末）或通过查看设备的屏幕来看到它们。装置在倾斜的光线中。 通过分析手印的相对位置并了解有关设备所有者的其他信息（例如，知道他的出生年份），您可以尝试猜测文本或图形密码。 这就是智能手机显示屏上汗脂分层的样子，以程式化的字母 Z 的形式呈现：
防护建议： 正如我们所说，图形密码不是一个好主意，就像疏油涂层较差的眼镜一样。
方法五：人造手指
如果设备可以使用指纹解锁，并且研究人员拥有设备所有者的手印样本，那么可以在 3D 打印机上制作所有者指纹的 3D 副本并用于解锁设备 [XNUMX]：
为了更完整地模仿活人的手指 - 例如，当智能手机的指纹传感器仍然检测到热量时 - 将 3D 模型放在（靠在）活人的手指上。
设备所有者即使忘记了屏幕锁定密码，也可以使用指纹自行解锁设备。 这可以在所有者无法提供密码但愿意帮助研究人员解锁其设备的某些情况下使用。
研究人员应该记住各种型号的移动设备中使用的传感器的代数。 旧型号的传感器几乎可以由任何手指触发，不一定是设备所有者。 相反，现代超声波传感器的扫描非常深入且清晰。 此外，许多现代的屏下传感器只是 CMOS 摄像头，无法扫描图像的深度，这使得它们更容易被欺骗。
防护建议： 如果是手指，则只有超声波传感器。 但不要忘记，违背自己的意愿用手指比用脸容易得多。
方法六：“jerk”（马克杯攻击）
英国警方描述了这种方法[4]。 它包括对嫌疑人的秘密监视。 当嫌疑人解锁手机时，便衣特工就会从失主手中夺走手机，并阻止设备再次锁定，直到将其交给专家。
防护建议： 我认为如果这些措施被用来对付你，那么事情就很糟糕了。 但这里你需要明白，随机阻塞会让这种方法贬值。 例如，反复按下 iPhone 上的锁定按钮会启动 SOS 模式，该模式除了关闭 FaceID 之外，还需要密码。
方法七：设备控制算法错误
在专门资源的新闻源中，您经常可以找到消息，说明设备的某些操作会解锁其屏幕。 例如，某些设备的锁屏可以通过来电解锁。 这种方法的缺点是，所识别的漏洞通常会被制造商立即消除。
2016 年之前发布的移动设备的解锁方法的一个例子是电池消耗。 当电池电量不足时，设备将解锁并提示您更改电源设置。 在这种情况下，您需要快速进入安全设置页面并禁用屏幕锁定[5]。
防护建议： 不要忘记及时更新您设备的操作系统，如果不再支持，请更换您的智能手机。
方法八：第三方程序漏洞
设备上安装的第三方应用程序中发现的漏洞也可能完全或部分提供对锁定设备数据的访问。
此类漏洞的一个例子是亚马逊主要所有者杰夫·贝佐斯 (Jeff Bezos) 的 iPhone 数据被盗。 WhatsApp Messenger 中的漏洞被身份不明的人利用，导致设备内存中存储的机密数据被盗 [6]。
研究人员可以利用此类漏洞来实现他们的目标——从锁定的设备中提取数据或解锁它们。
防护建议： 您不仅需要更新操作系统，还需要更新您使用的应用程序。
方法九：公司电话
企业移动设备可由公司系统管理员解锁。 例如，公司的 Windows Phone 设备链接到公司的 Microsoft Exchange 帐户，并且可以由公司管理员解锁。 对于企业 Apple 设备，有类似于 Microsoft Exchange 的移动设备管理服务。 其管理员还可以解锁企业 iOS 设备。 此外，企业移动设备只能与管理员在移动设备设置中指定的某些计算机配对。 因此，如果不与公司的系统管理员进行交互，这样的设备就无法连接到研究人员的计算机（或用于取证数据提取的软硬件系统）。
防护建议： MDM 在保护方面既是邪恶的，也是好的。 MDM 管理员始终可以远程重置设备。 无论如何，您都不应该在公司设备上存储敏感的个人数据。
方法10：来自传感器的信息
通过分析从设备传感器接收到的信息，您可以使用特殊算法猜测设备的密码。 Adam J. Aviv 使用从智能手机加速计获得的数据证明了此类攻击的可行性。 在研究过程中，科学家成功地在 43% 的情况下正确确定了符号密码，在 73% 的情况下正确确定了图形密码 [7]。
防护建议： 请注意您授予哪些应用程序跟踪不同传感器的权限。
方法十一：人脸解锁
与指纹的情况一样，使用 FaceID 技术解锁设备的成功取决于特定移动设备中使用的传感器和数学设备。 因此，在《Gezichtsherkenning op smartphone niet altijd veilig》[8] 中，研究人员表明，一些研究的智能手机只需向智能手机的摄像头显示所有者的照片即可解锁。 当仅使用一个前置摄像头进行解锁且不具备扫描图像深度数据的能力时，这是可能的。 在 YouTube 上发布一系列高调出版物和视频后，三星被迫在其智能手机固件中添加警告。 三星人脸解锁：
更先进的智能手机型号可以使用面罩或设备自学习来解锁。 例如，iPhone X 使用了一种特殊的 TrueDepth 技术 [9]：该设备的投影仪使用两个摄像头和一个红外发射器，将由 30 多个点组成的网格投影到所有者的脸上。 这种设备可以使用轮廓模仿佩戴者面部轮廓的面罩来解锁。 iPhone解锁面具[000]：
由于这样的系统非常复杂，并且不能在理想条件下工作（主人自然衰老、由于情绪表达、疲劳、健康状况等而导致面部结构的变化），因此它被迫不断地自学习。 因此，如果另一个人将解锁的设备放在他面前，他的脸将被记住为设备所有者的脸，并且将来他将能够使用 FaceID 技术解锁智能手机。
防护建议： 请勿使用“照片”解锁 - 仅适用于配备成熟面部扫描仪的系统（Apple 的 FaceID 和 Android 设备上的类似设备）。
主要建议是不要看相机，只需看向别处即可。 即使你闭上一只眼睛，解锁的机会也会大大下降，就像手放在脸上一样。 此外，面部解锁（FaceID）仅可尝试 5 次，之后您将需要输入密码。
方法 12：使用泄漏
泄露的密码数据库是了解设备所有者心理的好方法（假设研究人员掌握有关设备所有者的电子邮件地址的信息）。 在上面的示例中，搜索电子邮件地址返回了所有者使用的两个相似密码。 可以假设密码21454162或其派生词（例如2145或4162）可以用作移动设备锁定码。 （在泄露数据库中搜索所有者的电子邮件地址可以揭示所有者可能使用的密码，包括锁定其移动设备的密码。）
防护建议： 积极主动，追踪泄露数据，及时更改发现泄露的密码！
方法 13：通用设备锁定密码
通常，所有者不会没收一台移动设备，而是多台。 通常有数十个这样的设备。 在这种情况下，您可以猜测易受攻击的设备的密码，并尝试将其应用于从同一所有者手中夺取的其他智能手机和平板电脑。
当分析从移动设备提取的数据时，此类数据会显示在取证程序中（通常甚至在使用各种类型的漏洞从锁定设备中提取数据时也是如此）。
正如您在 UFED 物理分析器程序的部分工作窗口的屏幕截图中看到的，该设备被一个相当不寻常的 fgkl PIN 码锁定。
不要忽视其他用户设备。 例如，通过分析移动设备所有者计算机的网络浏览器缓存中存储的密码，可以了解所有者遵循的密码生成原则。 您可以使用 NirSoft 实用程序查看计算机上保存的密码 [11]。
此外，在移动设备所有者的计算机（笔记本电脑）上，可能存在可帮助访问锁定的 Apple 移动设备的锁定文件。 接下来将讨论该方法。
防护建议： 到处使用不同的、唯一的密码。
方法 14：通用 PIN
如前所述，用户经常使用典型的密码：电话号码、银行卡、PIN 码。 此类信息可用于解锁所提供的设备。
如果一切都失败了，你可以使用以下信息：研究人员进行了分析，找到了最流行的 PIN 码（给定的 PIN 码覆盖了所有密码的 26,83%）[12]：
密码
频率， ％
1234
10,713
1111
6,016
0000
1,881
1212
1,197
7777
0,745
1004
0,616
2000
0,613
4444
0,526
2222
0,516
6969
0,512
9999
0,451
3333
0,419
5555
0,395
6666
0,391
1122
0,366
1313
0,304
8888
0,303
4321
0,293
2001
0,290
1010
0,285
将此 PIN 码列表应用于锁定的设备将有大约 26% 的概率解锁它。
防护建议： 根据上表检查您的 PIN 码，即使不匹配，也要更改它，因为按照 4 年的标准，2020 位数字太小了。
方法15：典型图片密码
如上所述，通过设备所有者尝试解锁的监控摄像头的数据，您可以在五次尝试中获取解锁图案。 此外，正如通用 PIN 码一样，也有通用模式可用于解锁锁定的移动设备 [13, 14]。
简单模式[14]：
中等复杂度的模式[14]：
复杂模式[14]：
根据研究员 Jeremy Kirby [15] 的说法，列出了最流行的图表模式。
3>2>5>8>7
1>4>5>6>9
1>4>7>8>9
3>2>1>4>5>6>9>8>7
1>4>7>8>9>6>3
1>2>3>5>7>8>9
3>5>6>8
1>5>4>2
2>6>5>3
4>8>7>5
5>9>8>6
7>4>1>2>3>5>9
1>4>7>5>3>6>9
1>2>3>5>7
3>2>1>4>7>8>9
3>2>1>4>7>8>9>6>5
3>2>1>5>9>8>7
1>4>7>5>9>6>3
7>4>1>5>9>6>3
3>6>9>5>1>4>7
7>4>1>5>3>6>9
5>6>3>2>1>4>7>8>9
5>8>9>6>3>2>1>4>7
7>4>1>2>3>6>9
1>4>8>6>3
1>5>4>6
2>4>1>5
7>4>1>2>3>6>5
在某些移动设备上，除了图形代码之外，还可以设置附加的 PIN 代码。 在这种情况下，如果无法找到图形代码，研究人员可以单击按钮 附加 PIN 码 （辅助 PIN 码）输入错误的图片代码后，尝试查找其他 PIN 码。
防护建议： 最好根本不使用图形键。
方法 16：字母数字密码
如果设备上可以使用字母数字密码，则所有者可以使用以下流行密码作为锁定代码 [16]：
- 123456
- 密码
- 123456789
- 12345678
- 12345
- 111111
- 1234567
- 阳光
- QWERTY
- 我爱你
- 公主
- 管理员
- 欢迎进入
- 666666
- abc123
- 足球
- 123123
- 猴
- 654321
- ！@＃$％^＆*
- 查理
- aa123456
- 唐纳德
- password1
- qwerty123
防护建议： 仅使用具有特殊字符和不同大小写的复杂、独特的密码。 检查您是否使用上述密码之一。 如果您使用 - 将其更改为更可靠的。
方法17：云端或本地存储
如果技术上无法从锁定设备中删除数据，犯罪分子可以在设备所有者的计算机或相应的云存储中搜索其备份副本。
通常，Apple 智能手机的所有者在将其连接到计算机时并没有意识到此时可以创建设备的本地或云备份副本。
谷歌和苹果的云存储不仅可以存储设备中的数据，还可以存储设备保存的密码。 提取这些密码可以帮助猜测移动设备的锁定代码。
从存储在 iCloud 中的钥匙串中，您可以提取所有者设置的设备备份密码，该密码很可能与屏幕锁定 PIN 码匹配。
如果执法部门转向谷歌和苹果，这些公司可以转移现有数据，这可能会大大减少解锁设备的需要，因为执法部门已经拥有这些数据。
例如，Pensocon 恐怖袭击事件发生后，存储在 iCloud 中的数据副本被移交给 FBI。 来自苹果的声明：
“6 年 2019 月 7 日，在 FBI 首次提出请求后的几个小时内，我们提供了与调查相关的广泛信息。 从 14 月 XNUMX 日到 XNUMX 月 XNUMX 日，我们又收到了 XNUMX 个法律请求，并提供了回应信息，包括 iCloud 备份、帐户信息和多个帐户的交易。
我们及时回应每一个请求，通常在几个小时内，与杰克逊维尔、彭萨科拉和纽约的联邦调查局办公室交换信息。 应调查要求，我们获得了许多千兆字节的信息，并将其交给了调查人员。” [17]
防护建议： 您发送到云端的任何未加密内容都可能并且将会被用来对付您。
方法18：谷歌账户
该方法适用于Android操作系统移动设备锁屏图形密码的解除。 要使用此方法，您需要知道设备所有者的 Google 帐户的用户名和密码。 第二个条件：设备必须连接到互联网。
如果连续多次输入错误的图片密码，设备将提示重置密码。 之后，您需要登录用户帐户，这将解锁设备屏幕 [5]。
由于硬件解决方案、Android 操作系统和附加安全设置的多样性，此方法仅适用于多种设备。
如果研究人员没有设备所有者的 Google 帐户密码，他们可以尝试使用此类帐户的标准密码恢复方法来恢复该密码。
如果设备在研究时未连接到互联网（例如，SIM 卡被阻止或卡上没有足够的钱），则可以使用以下说明将此类设备连接到 Wi-Fi：
- 按“紧急呼叫”图标
- 拨打*#*#7378423#*#*
- 选择服务测试 - WLAN
- 连接到可用的 Wi-Fi 网络 [5]
防护建议： 不要忘记尽可能使用双因素身份验证，在这种情况下，最好使用应用程序的链接，而不是通过短信发送的代码。
方法19：访客账户
运行 Android 5 及更高版本的移动设备可以拥有多个帐户。 附加帐户信息可能无法使用 PIN 码或图案锁定。 如需切换，您需要点击右上角的账户图标，选择另一个账户：
对于附加帐户，对某些数据或应用程序的访问可能会受到限制。
防护建议： 更新操作系统很重要。 在现代版本的 Android（9 及更高版本，带有 2020 年 XNUMX 月安全补丁）中，来宾帐户通常不提供任何选项。
方法20：专业化服务
除其他外，开发专门取证程序的公司还提供解锁移动设备并从中提取数据的服务 [20, 21]。 此类服务的可能性简直太棒了。 它们可用于解锁顶级型号的 Android 和 iOS 设备，以及处于恢复模式的设备（设备在超过错误密码输入尝试次数后进入恢复模式）。 这种方法的缺点是成本高。
Cellebrite 网站上的网页摘录，描述了他们可以从哪些设备检索数据。 该设备可以在开发者实验室（Cellebrite Advanced Service (CAS)）解锁[20]：
对于此类服务，必须将设备提供给公司的区域（或总部）办事处。 专家可以离开去见客户。 一般来说，破解屏幕锁码需要一天的时间。
防护建议： 除了使用强字母数字密码和每年更换设备之外，几乎不可能保护自己。
作为培训课程的一部分，PS Group-IB 实验室专家谈论计算机取证专家工作中的这些案例、工具和许多其他有用功能 。 完成为期 5 天或延长的 7 天课程后，毕业生将能够更有效地进行取证研究并预防组织中的网络事件。
PPS 行动 关于信息安全、黑客、APT、网络攻击、诈骗者和盗版。 逐步调查、使用 Group-IB 技术的实际案例以及如何不成为受害者的建议。 连接！
来源
- Guixin Yey，Zhanyong Tang，Dingyi Fangy，Xiao Jiang Cheny，Kwang Kimz，Ben Taylorx，Zheng Wang。
- 多米尼克·卡西亚尼，Gaetan Portal。
- 阿纳托利·阿利萨尔.
- 玛丽亚·内费多娃。
- 安东·马卡洛夫。 在 Android 设备上绕过图案密码
- 杰里米·柯比.
- 安德烈·斯米尔诺夫
- 玛丽亚·内费多娃。
来源： habr.com