В течение многих лет правительство США умоляло руководителей Apple создать лазейку для правоохранительных органов. Apple публично сопротивлялась, утверждая, что любой такой шаг правоохранительных органов быстро станет лазейкой для киберворов и кибертеррористов.
«Хорошая безопасность защищает всех нас», — гласил аргумент.
Однако в последнее время федералы перестали запрашивать обходной путь для обхода безопасности Apple. Почему? Оказывается, они смогли прорваться самостоятельно. Безопасность iOS, наряду с безопасностью Android, просто не так надежна, как предполагали Apple и Google.
Команда криптографов из Университета Джона Хопкинса только что опубликовала пугающе подробный отчет об обеих основных мобильных операционных системах. Итог: оба имеют отличную безопасность, но они не расширяют ее достаточно далеко. Любой, кто действительно хочет войти, может это сделать — с правильными инструментами.
Для ИТ-директоров и директоров по информационной безопасности эта реальность означает, что все эти сверхчувствительные обсуждения, происходящие на телефонах сотрудников (будь то корпоративные или собственные устройства), могут быть легкой добычей для любого корпоративного шпиона или похитителя данных.
Пора углубиться в подробности. Начнем с iOS от Apple и с точки зрения исследователей из Хопкинса.
«Apple рекламирует широкое использование шифрования для защиты пользовательских данных, хранящихся на устройстве. Однако мы заметили, что удивительное количество конфиденциальных данных, поддерживаемых встроенными приложениями, защищено с помощью слабого класса защиты «доступен после первой разблокировки» (AFU), который не удаляет ключи дешифрования из памяти, когда телефон заблокирован. Эффект заключается в том, что к подавляющему большинству конфиденциальных пользовательских данных из встроенных приложений Apple можно получить доступ с телефона, который был захвачен и логически использован, когда он находится во включенном, но заблокированном состоянии. Как в процедурах DHS, так и в следственных документах мы нашли косвенные доказательства того, что правоохранительные органы теперь регулярно используют доступность ключей дешифрования для захвата больших объемов конфиденциальных данных с заблокированных телефонов».
Ну вот и сам телефон. А как насчет сервиса Apple ICloud? Есть что-нибудь?
О да, есть.
«Мы изучаем текущее состояние защиты данных для iCloud и определяем, что неудивительно, что активация этих функций приводит к передаче огромного количества пользовательских данных на серверы Apple в такой форме, к которой могут получить удаленный доступ преступники, получившие несанкционированный доступ к облаку пользователя. счет, а также уполномоченные правоохранительные органы с правом вызова в суд. Что еще более удивительно, мы выявили несколько нелогичных функций iCloud, которые повышают уязвимость этой системы. Например, функция Apple «Сообщения в iCloud» рекламирует использование недоступного для Apple контейнера со сквозным шифрованием для синхронизации сообщений между устройствами. Однако активация iCloud Backup в тандеме приводит к тому, что ключ дешифрования для этого контейнера загружается на серверы Apple в форме, доступной Apple, а также потенциальным злоумышленникам или правоохранительным органам. Точно так же мы наблюдаем, что дизайн Apple iCloud Backup приводит к передаче ключей шифрования файлов для конкретного устройства в Apple. Поскольку эти ключи являются теми же ключами, которые используются для шифрования данных на устройстве, такая передача может представлять опасность в случае, если впоследствии устройство будет физически скомпрометировано».
А как насчет знаменитого процессора Apple Secure Enclave (SEP)?
«Устройства iOS налагают строгие ограничения на атаки с подбором пароля с помощью специального процессора, известного как SEP. Мы изучили общедоступные протоколы расследований, чтобы просмотреть доказательства, убедительно свидетельствующие о том, что по состоянию на 2018 год атаки с подбором пароля были возможны на iPhone с поддержкой SEP с использованием инструмента под названием GrayKey. Насколько нам известно, это, скорее всего, указывает на то, что программный обход SEP был доступен в дикой природе в течение этого периода времени».
Как насчет безопасности Android? Во-первых, его защита от шифрования кажется даже хуже, чем у Apple.
«Как и Apple iOS, Google Android обеспечивает шифрование файлов и данных, хранящихся на диске. Однако механизмы шифрования Android обеспечивают меньше градаций защиты. В частности, Android не предоставляет эквивалента класса шифрования Apple Complete Protection (CP), который удаляет ключи дешифрования из памяти вскоре после блокировки телефона. Как следствие, ключи дешифрования Android остаются в памяти все время после «первой разблокировки», а пользовательские данные потенциально уязвимы для криминалистического захвата».
Для ИТ-директоров и директоров по информационной безопасности это означает, что вы должны доверять либо Google, либо Apple, либо, что гораздо более вероятно, обоим. И вы также должны исходить из того, что воры и правоохранительные органы также могут получить доступ к вашим данным, когда захотят, если они могут получить доступ к физическому телефону. Для хорошо оплачиваемого агента корпоративного шпионажа или даже для кибер-вора, присматривающего за конкретным руководителем, это потенциально серьезная проблема.
© 2021 IDG Communications, Inc.