In meinem neuen Blog über Habré möchte ich einzigartige Informationen darüber veröffentlichen, wie genau wir Daten von Smartphones extrahieren. Auf unserer eigenen Website haben wir eine Reihe von Artikeln zu diesem Thema veröffentlicht, in denen anscheinend alles Mögliche über das Extrahieren von Daten von Apple-Smartphones und -Tablets beschrieben wird. Die logische Analyse, die Wolkenextraktion und die physikalische Extraktionsanalyse auf niedriger Ebene weisen sowohl Stärken als auch Schwächen auf. Ich werde versuchen, in den folgenden Veröffentlichungen darüber zu berichten.
Ich denke, ich werde nie müde, über die Vorteile der physikalischen Analyse zu sprechen. Hier finden Sie Zugriff auf alle Inhalte des Dateisystems und Entschlüsselung aller Einträge aus dem Schlüsselbund (und dies sind Kennwörter, einschließlich übrigens Kennwörter für Kryptowährungs-Wallets und "geheime" Chats). Hier können Sie Daten aus allen Anwendungen extrahieren (und nicht nur aus denen, deren Entwickler die Sicherung zugelassen haben) und auf heruntergeladene E-Mail-Nachrichten, Chatrooms und Korrespondenz in einer Vielzahl von Anwendungen zugreifen, einschließlich gut geschützter Anwendungen (von Hand, Telegramm- und Signalbenutzer winken uns die Hände).
Wie komme ich zum interessantesten? Natürlich benötigen wir einen einfachen Zugriff auf Daten, was ohne die Erlangung von Superuser-Rechten nicht möglich ist. Und wie bekomme ich Superuser-Rechte? Wenn Sie kein Mitarbeiter der Polizei oder des Sonderdienstes aus den USA, Israel oder der EU sind, gibt es nur eine Option: die Installation eines Jailbreak. Heute werde ich über die Risiken und Folgen der physischen Analyse von Geräten sprechen, die mit der Verwendung von Jailbreak zum Extrahieren von Daten verbunden sind.
Wofür ist Jailbreak?
Wahrscheinlich weiß jeder, was ein Jailbreak für iOS ist und wie er sich von root für Android unterscheidet (Hinweis: für fast alle). Jailbreak ist der Sammelname der Anwendungsklasse für das iOS-Betriebssystem, mit der eskalierende Berechtigungen zum Abrufen von Superuser-Rechten auf dem Gerät ermöglicht werden. Die Eskalation von Berechtigungen erfolgt mithilfe von Fehlern im iOS-Sicherheitssystem. Angesichts der Tatsache, dass Apple-Entwickler Fehler mit der Veröffentlichung von iOS-Updates schnell beheben, ist die Veröffentlichung neuer und neuer Jailbreak-Tools ein kontinuierlicher Prozess.
Jailbreaks werden sowohl von unabhängigen Forschern zur Analyse von iOS-Sicherheitssystemen als auch von begeisterten Benutzern verwendet, die die Möglichkeit erhalten, das Erscheinungsbild und Verhalten des Systems zu ändern sowie Anwendungen aus Quellen von Drittanbietern zusätzlich zum offiziellen Apple App Store zu installieren. Für uns sind diese Möglichkeiten überflüssig; Alles, was wir brauchen, ist der Zugriff auf das Gerät über SSH und natürlich der vollständige Zugriff auf das Dateisystem.
So werden in unserem Labor (sowie in den Labors von Forensikern) Jailbreaks verwendet, um uneingeschränkten Zugriff auf das Dateisystem zu erhalten, Daten von iPhone und iPad zu extrahieren und Schlüsselanhänger zu entschlüsseln (in Safari gespeicherte Benutzerkennwörter, System- und Drittanbieteranwendungen). .
Die Verwendung des Jailbreak hat folgende Vorteile:
Dateisystem-Image:
- Arbeitsanwendungsdatenbanken, WAL-Dateien, Zugriff auf kürzlich gelöschte Datensätze
- Daten für alle Anwendungen, einschließlich solcher, für die Sicherungen verboten sind
- Greifen Sie in Apps wie Signal und Telegramm auf Ihren Chatverlauf zu
- Heruntergeladene E-Mail und Austausch
- Systemprotokolle
Schlüsselbund:
- Neben Benutzerkennwörtern, die auch mit einem Kennwort aus der Sicherung abgerufen werden können, werden auch die durch das Attribut this_device_only geschützten Datensätze entschlüsselt
- Einschließlich des Abrufs des iTunes-Sicherungskennworts
Die Verwendung eines Jailbreak bringt nicht nur Vorteile, sondern birgt auch eine Reihe von Risiken.
Jailbreak-Risiken
Die Installation und Verwendung eines Jailbreak birgt einige Risiken. Das Risiko, einen Jailbreak zu installieren, wird oft missverstanden. Meistens haben sie Angst, das Gerät zu „versengen“ - eine Situation, in der ein gehacktes iPhone oder iPad nicht mehr geladen wird. Die Idee einer solchen Gefahr von Jailbreaks besteht seit iOS 8 und 9, für die Jailbreaks den Kernel gepatcht und versucht haben (manchmal - erfolgreich, aber häufiger - nicht sehr), den Kernel Patch Protection und den KPP-Schutz zu deaktivieren. Das Auslösen von KPP führte zu einem spontanen Neustart des Geräts oder dessen Bricking.
Bei modernen Jailbreaks (beginnend mit Jailbreaks für iOS 10) besteht dieses Risiko praktisch nicht: Jailbreaks ändern den Kernel des Systems nicht und beeinflussen den Startvorgang nicht (und berühren KPP natürlich nicht). Darüber hinaus booten auch Geräte mit installiertem Jailbreak im normalen Modus. Um Superuser-Rechte zu erhalten, muss der Jailbreak nach dem Laden erneut ausgeführt werden.
Bei Jailbreaks der Kategorie Rootless wird dieses Risiko auf ein absolutes Minimum reduziert. Diese Jailbreaks ändern nicht nur nicht das System, sondern stellen die Systempartition nicht einmal wieder bereit. Dementsprechend können solche Jailbreaks den Startvorgang des Systems in keiner Weise beeinflussen.
Was sind die Risiken bei der Installation eines Jailbreak? Wir listen auf.
1.
Die Internetverbindung des Geräts. Während der Installation des Jailbreak müssen Sie eine digitale Signatur für das IPA-Paket erhalten, das den Jailbreak enthält. Nicht signierte IPAs können nicht auf das Gerät übertragen werden, geschweige denn können nicht darauf gestartet werden. Von Apple-Servern ausgegebene digitale Signatur; Sie müssen für den Empfang kontaktiert werden. Der Prozess ist automatisiert: Es wird eine vorgefertigte und sehr einfach zu verwendende Open-Source-Cydia Impactor-Anwendung verwendet. Wenn Sie dem Gerät jedoch den Zugriff auf das Internet erlauben, besteht das Risiko, dass ein Angreifer remote einen Befehl an das Gerät sendet, um es zu blockieren oder Daten zu zerstören.
Lösung: Dieses Problem kann mithilfe eines Zertifikats für Entwickler (Apple Developer Program) umgangen werden. Weitere Informationen finden Sie in der
exemplarischen Vorgehensweise.
2.
Jailbreak wird einfach nicht installiert. Ja, das zweitschwerste Risiko besteht darin, dass der Jailbreak einfach nicht auf das iPhone gelangt. Jailbreaks verwenden nicht eine, sondern eine ganze Reihe von Schwachstellen. Eine solche Kette zu finden und zu benutzen ist harte Arbeit. Leider führt der Fehler zu jedem Zeitpunkt dazu, dass der Jailbreak nicht installiert wird und Sie sich im besten Fall mit einem Gerät ohne Jailbreak und im schlimmsten Fall mit einem Gerät mit einer neu gemounteten Systempartition, aber ohne Jailbreak (über das, was schlecht ist - unten befinden )
Lösung: Im Allgemeinen gibt es viele Jailbreaks. Für iOS 12 haben wir beispielsweise mindestens 4 funktionsfähige Jailbreaks gezählt (tatsächlich gibt es mehr). Ein Jailbreak hat nicht funktioniert? Versuchen Sie es einfach mit einem anderen. über sie noch einmal in der
exemplarischen Vorgehensweise .
Die Folgen
Wir haben die Risiken herausgefunden, der Jailbreak ist installiert. Wie könnte das drohen?
Bevor wir über die Risiken eines Jailbreak sprechen, werden wir deren Typen verstehen. Es gibt nur zwei davon: gewöhnliche (klassische) Jailbreaks und wurzellose Jailbreak.
Der klassische Jailbreak bietet dem Benutzer sozusagen „Full Stuffing“: Die Überprüfung der digitalen Signatur ist deaktiviert (Sie können alle Anwendungen installieren und ausführen), ein Anwendungsspeicher eines Drittanbieters wird installiert (meistens ist es Cydia, aber es wurden auch alternative Optionen angezeigt). Zu diesem Zweck werden ziemlich viele Dateien in die Systempartition geschrieben, und die Systempartition selbst wird im R / W-Modus erneut bereitgestellt.
Was bedeutet das in der Praxis? Junk in der Systempartition, der beim Entfernen des Jailbreak manchmal nicht vollständig entfernt werden kann (insbesondere, wenn der Benutzer versucht hat, verschiedene Jailbreaks zu installieren). Mögliche (und häufig reale) Geräteinstabilität. Schließlich die Unfähigkeit, OTA-Updates korrekt zu installieren. Nur die vollständige Wiederherstellung der Firmware über iTunes hilft, und manchmal bleibt die Instabilität des Geräts bestehen, und Sie müssen die Werkseinstellungen wiederherstellen. Nicht zu schön.
All diese Dinge passieren nicht, wenn Sie den neuen Jailbreak-Typ ohne Wurzel verwenden, dessen einziger Vertreter RootlessJB ist. Dieser Jailbreak hat aus einem offensichtlichen Grund nicht die Popularität seiner klassischen Kollegen gewonnen: Er installiert keine Geschäfte von Drittanbietern (Cyida und dergleichen) (und unterstützt keine Arbeit). Ein gewöhnlicher Benutzer-Enthusiast verschwindet in diesem Moment und er setzt einen klassischen Jailbreak.
In der Zwischenzeit ist RootlessJB für unsere Zwecke von besonderem Wert. Tatsache ist, dass wir das untersuchte iPhone ungefähr in der Form zurückgeben sollten, in der es zur Analyse erhalten wurde. Das heißt, zumindest sollte das Gerät nicht weniger stabil arbeiten als vor der Analyse, und es sollte keine Probleme bei der Installation von OTA-Updates geben. Genau das gibt uns RootlessJB. Überzeugen Sie sich selbst: Dieser Jailbreak ändert die Systempartition nicht, ohne eine einzige zusätzliche Datei darauf zu schreiben. Darüber hinaus kann er dies nicht tun: Das Funktionsprinzip dieses Jailbreak selbst beinhaltet nicht das erneute Mounten der Systempartition im R / W-Modus.
Mehr ist mehr. Da der RootlessJB-Jailbreak nicht von einem Anwendungsspeicher eines Drittanbieters unterstützt werden muss, muss die Überprüfung der digitalen Signatur nicht deaktiviert werden (Sie können einzelne Binärdateien ausführen, die Pfade zu diesen müssen jedoch manuell in die Berechtigungssteuerungsdatei eingegeben werden). Sie müssen die Überprüfung der digitalen Signatur nicht deaktivieren - Sie müssen nichts auf die Systempartition schreiben. Die Systempartition muss nicht für die Aufzeichnung geöffnet werden. Sie können den Betrieb der entsprechenden Sicherheitsanfälligkeit überspringen, was den Installationsprozess vereinfacht und die Zuverlässigkeit erhöht. Mit anderen Worten, RootlessJB ist für uns buchstäblich ein Geschenk.
Wir beenden den Artikel mit einer Tabelle, in der wir die Auswirkungen der Verwendung verschiedener Arten von Jailbreaks vergleichen.
Fazit
Dieser Artikel ist der erste, der geplant ist. Ich möchte darüber sprechen, wie genau in den Labors der Polizei und in den Sonderdiensten unseres Landes und im Ausland Zugang zu Informationen auf Apple-Geräten erhalten wird. Bleib bei uns, es wird interessant!