Антискрепа

Как работает цифровая криминалистика?

Настало время обновить одну из самых старых статей интернет-ресурса «Может, вам повезёт?». Не потому, что информация устарела, а потому, что стоит добавить несколько важных деталей.

В большинстве случаев, «цифровая криминалистика» — эвфемизм, подразумевающий взлом устройства с целью получения доступа к данным, находящихся на нем. В меньшинстве, это набор мероприятий, направленный на сбор данных с устройства, пароль к которому уже известен.

Мы будем рассматривать первый «случай». Тут стоит понять, что мифических «бэкдоров» в устройствах исчезающе мало, а взлом происходит через обычные уязвимости, должной защиты (даже общей) от которых в устройстве нет.

От количества доступных уязвимостей зависит состояние устройства. Их два:

• After First Unlock (AFU) — на устройстве был введён пароль после последней перезагрузки/загрузки. Это обычное состояние вашего телефона, например.

• Before First Unlock (BFU) — устройство было выключено/перезагружено, но пароль введён не был.

Состояние After First Unlock кратно более уязвимо, чем Before First Unlock. Почему? Ключи шифрования уже загружены в память. С этим открывается и широкая «поверхность атаки».

Пример. Атакующий (цифровой криминалист) использует уязвимость в драйвере USB устройства Android и успешно получает доступ к чувствительным данным ядра. Так как ключи находятся в памяти, из ядра их можно успешно «достать».

Before First Unlock считается наиболее «защищённым». Зачастую, ключей в памяти нет, а значит, их необходимо вычислять с нуля. Обычно этому препятствует криптографический чип, который прогрессивно замедляет попытки. Titan M2 имеет один из конечных таймеров в девять лет.

Важно: если ваше устройство не стирает оперативную память после перезагрузки (как большинство устройств Android, не считая GrapheneOS), ключи шифрования все ещё могут быть доступы в BFU.

По этой же причине функция «тревожного пароля» в GrapheneOS требует выключения устройства после уничтожения ключей в Titan.

Противоположный пример. Атакующий использует уязвимость в драйвере USB устройства Android, но ключи в память загружены не были, а устройство находится в BFU. В этом случае, получение доступа к данным невозможно, т. к. нет ключей шифрования.

Один из самых действенных способов защитить устройство в AFU — полностью отключить порт USB. На данный момент только операционная система GrapheneOS предоставляет такую возможность. Причина — цифровые криминалисты «облюбовали» уязвимости драйверов USB.

Один из самых действенных способов защитить устройство в BFU — сложный пароль. Нужно использовать кодовую фразу в десять случайных слов или аналогичный по случайности пароль. В этом случае, шифрование будет невозможно «сломать», даже если задержка попыток вашего криптографического чипа будет «удалена».

Важно — для устройств без криптографических чипов (некоторые Samsung, китайцы) сложный пароль является обязательным. Для iPhone установить его также желательно.

Классические шестизначные PIN-коды держатся именно на задержке чипа устройства. У Samsung и Apple они слабые. Google Titan M2, пока что, достаточно «сильный».

Если данную «рекомендацию» проигнорировать, ваше устройство просто подключат к мощному «девайсу», который «вскроет» его за часы. В лучшем случае — дни.

Вам повезёт. || Интернет-сайт

Уважаемые люди все про какие-то "инвестиционные циклы" говорят с трибун. И их "запуск-перезапуск". А я, увы, совсем не понимаю, о чём это они? Что и как они за-пере-пускать хотят? Вручную, "кривым стартёром" или "с толкача"?

Может, это как у поршневого ДВС, у которого есть рабочий цикл, верхняя и нижняя "мертвые" точки?

Если уж про механистические аналогии, то этот их очередной любимый-негаглядный "инвестиционный цикл" давно и стабильно пребывает в "нижней полумёртвой точке", и никуда из неё двигаться не собирается в силу объективных обстоятельств, которые каждый может наблюдать за окном.

Моделирование угроз, часть первая

Для специалиста не будет секретом, что в подавляющем большинстве публикаций (потому что интернет-ресурс сейчас разбирает не только чистую информационную безопасность) «Может, вам повезёт?» говорит об угрозах со стороны государства.

Данная «ниша» была выбрана из-за того, что представляет на порядки более высокий интерес, а также не имеет сильной «конкуренции» за читателя. Советовать чаще менять пароли сейчас умеет каждый, к сожалению.

Тем не менее, стоит поговорить об «азах» построения «обороны» информационных систем, а именно — про моделирование угроз. Если кратко, то это составление представления о том, кто может попытаться получить неавторизованный доступ к данным, какие у него есть на это средства, и как от этих средств защищаться.

На эти три вопроса не бывает универсального ответа.

Пример первый. Допустим, вам необходимо защитить информацию в процессе передачи. От выбора линии защиты зависит источник потенциальной угрозы.

Если угрозу представляет государство, то речь идёт об привилегированном положении в системах связи и об соответствующем «статусу» оборудовании. В случае с нашим отечеством, это системы «ТСПУ». Есть ряд доказательств, что они активно применяются для перехвата соединений, в т. ч. дипломатических.

Присутствие такой «переменной» означает, что необходимо проводить обмен ключами шифрования офф-лайн (или через сеть без них), и только потом осуществлять передачу данных.

Таким образом нейтрализуется риск перехвата обмена ключей, самый «острый» в данном «сценарии». Остальные, вроде метаданных (кто, кому, когда, сколько) и абстрактной угрозы «слома» шифра, которым данные защищены, тем не менее, остаются.

Метаданные можно минимизировать использованием VPN с функцией нескольких узлов (Multihop) и обфускации паттернов трафика (сколько, с какой периодичностью). Сейчас для этого можно использовать Mullvad DAITA 2.0 или Nym Noise Generating Mixnet.

Риск критической уязвимости в алгоритме шифрования полностью «удалить» нельзя, но можно использовать несколько разных подряд, что уже уходит в «научную фантастику».

Второй пример. Вас беспокоит корпоративный шпионаж. И вы точно знаете, что у противника есть тысяча долларов на перехватчик сотовой связи.

Полностью «заблокировать» работу такого оборудования невозможно. Но можно сделать его бесполезным: достаточно не пользоваться «открытыми» способами связи, а осуществлять обмен информацией через мессенджеры со сквозным шифрованием. «Может, вам повезёт?» рекомендует использовать Signal.

Для защиты трафика следует использовать обычный VPN. Желательно, но не обязательно применять обфускацию паттернов. В данном случае, ресурсы для проведения такого рода анализа заведомо ограничены.

Продолжение следует

Вам повезёт. || Интернет-сайт