जब एन्क्रिप्शन मदद नहीं करता है: डिवाइस पर भौतिक पहुंच के बारे में बात करें

फरवरी में, हमने एक लेख प्रकाशित किया “एक भी वीपीएन नहीं। खुद को और अपने डेटा को कैसे सुरक्षित रखा जाए, इस पर एक चीट शीट। टिप्पणियों में से एक ने हमें लेख की निरंतरता लिखने के लिए प्रेरित किया। यह हिस्सा पूरी तरह से जानकारी का एक स्वायत्त स्रोत है, लेकिन फिर भी हम अनुशंसा करते हैं कि आप दोनों पोस्ट से खुद को परिचित करें।



एक नया पोस्ट तत्काल दूतों और स्वयं उपकरणों में डेटा सुरक्षा (पत्राचार, फोटो, वीडियो, यह सब) के मुद्दे के लिए समर्पित है, जो अनुप्रयोगों के साथ काम करने के लिए उपयोग किया जाता है।

तत्काल संदेशवाहक

तार

अक्टूबर 2018 में वापस, वेक टेक्निकल कॉलेज में प्रथम वर्ष के छात्र, नाथनियल साची, यह पता लगाने में सक्षम थे कि टेलीग्राम मैसेंजर स्पष्ट रूप से कंप्यूटर की स्थानीय डिस्क पर संदेश और मीडिया फ़ाइलों को संग्रहीत करता है।

छात्र पाठ और चित्रों सहित अपने स्वयं के पत्राचार का उपयोग करने में सक्षम था। ऐसा करने के लिए, उन्होंने एचडीडी पर संग्रहीत एप्लिकेशन डेटाबेस का अध्ययन किया। यह पता चला कि डेटा को पढ़ना मुश्किल है, लेकिन एन्क्रिप्ट नहीं किया गया है। और उन तक पहुंच प्राप्त की जा सकती है, भले ही उपयोगकर्ता ने एप्लिकेशन के लिए पासवर्ड सेट किया हो।

प्राप्त आंकड़ों में, वार्ताकारों के नाम और फोन नंबर पाए गए, जो कि यदि वांछित है, तो उनकी तुलना की जा सकती है। निजी चैट से जानकारी भी खुले रूप में संग्रहीत की जाती है।

बाद में, ड्यूरोव ने कहा कि यह कोई समस्या नहीं है, क्योंकि अगर किसी हमलावर के पास उपयोगकर्ता पीसी तक पहुंच है, तो वह एन्क्रिप्शन कुंजी प्राप्त करने में सक्षम होगा और बिना किसी समस्या के सभी पत्राचार को डिकोड करेगा। लेकिन कई सूचना सुरक्षा विशेषज्ञों का दावा है कि यह गंभीर है।


इसके अलावा, टेलीग्राम एक प्रमुख चोरी के हमले की चपेट में आ गया, जिसकी खोज एक हैबर उपयोगकर्ता ने की थी। आप किसी भी लंबाई और जटिलता के स्थानीय कोड पासवर्ड को क्रैक कर सकते हैं।

WhatsApp

जहाँ तक हम जानते हैं, यह मैसेंजर कंप्यूटर डिस्क पर डेटा को अनएन्क्रिप्टेड रूप में संग्रहीत करता है। तदनुसार, यदि किसी हमलावर के पास उपयोगकर्ता के उपकरण तक पहुंच है, तो सभी डेटा भी खुले हैं।

लेकिन अधिक वैश्विक समस्या है। अब एंड्रॉइड ओएस उपकरणों पर इंस्टॉल किए गए व्हाट्सएप के सभी बैकअप Google ड्राइव में संग्रहीत किए जाते हैं, जिसे Google और फेसबुक ने पिछले साल सहमति दी थी। लेकिन पत्राचार, मीडिया फ़ाइलों और पसंद का बैकअप अनएन्क्रिप्टेड रूप में संग्रहीत किया जाता है । जहां तक ​​कोई न्यायाधीश कर सकता है, उसी यूएसए के कानून प्रवर्तन अधिकारियों के पास Google ड्राइव तक पहुंच है , इसलिए ऐसी संभावना है कि सुरक्षा बल अपने संग्रहीत डेटा को देख सकते हैं।

आप डेटा एन्क्रिप्ट कर सकते हैं, लेकिन दोनों कंपनियां ऐसा नहीं करती हैं। शायद केवल इसलिए कि एन्क्रिप्शन के बिना बैकअप आसानी से उपयोगकर्ताओं द्वारा स्थानांतरित और उपयोग किए जा सकते हैं। सबसे अधिक संभावना है, कोई एन्क्रिप्शन नहीं है क्योंकि तकनीकी रूप से इसे लागू करना मुश्किल है: इसके विपरीत, आप बिना किसी कठिनाई के बैकअप की रक्षा कर सकते हैं। समस्या यह है कि Google के पास व्हाट्सएप के साथ काम करने के अपने कारण हैं - कंपनी Google ड्राइव सर्वर पर संग्रहीत डेटा का कथित रूप से विश्लेषण करती है और व्यक्तिगत विज्ञापनों को प्रदर्शित करने के लिए इसका उपयोग करती है। अगर फेसबुक ने अचानक व्हाट्सएप बैकअप के लिए एन्क्रिप्शन शुरू किया, तो Google तुरंत ऐसी साझेदारी में रुचि खो देगा, जिसके पास व्हाट्सएप उपयोगकर्ता की प्राथमिकताओं के बारे में डेटा का एक मूल्यवान स्रोत खो गया है। यह, निश्चित रूप से, केवल एक धारणा है, लेकिन उच्च तकनीक विपणन की दुनिया में बहुत संभावना है।

IOS के लिए व्हाट्सएप के लिए, बैकअप को iCloud क्लाउड पर सहेजा जाता है। लेकिन यहां, जानकारी को अनएन्क्रिप्टेड रूप में संग्रहीत किया जाता है, जो कि एप्लिकेशन सेटिंग्स में भी बताया गया है। Apple इस डेटा का विश्लेषण करता है या नहीं, यह केवल निगम को ही ज्ञात है। सच है, क्यूपर्टिनियंस के पास Google जैसा विज्ञापन नेटवर्क नहीं है, इसलिए हम यह मान सकते हैं कि व्हाट्सएप उपयोगकर्ताओं के उनके व्यक्तिगत विश्लेषण की संभावना बहुत कम है।

उपरोक्त सभी निम्नानुसार तैयार किए जा सकते हैं - हां, न केवल आपके व्हाट्सएप पत्राचार तक आपकी पहुंच है।

टिकटोक और अन्य दूत

यह लघु वीडियो साझाकरण सेवा बहुत तेज़ी से लोकप्रिय हो सकती है। डेवलपर्स ने अपने उपयोगकर्ताओं के लिए पूर्ण डेटा सुरक्षा सुनिश्चित करने का वादा किया। जैसा कि यह निकला, सेवा ने उपयोगकर्ताओं को सूचित किए बिना इस डेटा का उपयोग किया। इससे भी बदतर: सेवा ने 13 साल से कम उम्र के बच्चों से माता-पिता की सहमति के बिना व्यक्तिगत डेटा एकत्र किया। नाबालिगों की व्यक्तिगत जानकारी - नाम, ई-मेल, फोन नंबर, फोटो और वीडियो सार्वजनिक रूप से उपलब्ध थे।

सेवा पर कई मिलियन डॉलर का जुर्माना लगाया गया था , नियामकों ने 13 साल से कम उम्र के बच्चों द्वारा शूट किए गए सभी वीडियो को हटाने की भी मांग की थी। टीकटॉक ने आज्ञा का पालन किया। फिर भी, अन्य दूत और सेवाएं अपने उद्देश्यों के लिए अपने व्यक्तिगत डेटा का उपयोग करते हैं, इसलिए आप उनकी सुरक्षा के बारे में सुनिश्चित नहीं हो सकते हैं।

इस सूची को अनिश्चित काल तक जारी रखा जा सकता है - अधिकांश दूतों में एक या एक अन्य भेद्यता होती है जो हमलावरों को उपयोगकर्ताओं को सुनने की अनुमति देती है (Viber एक उत्कृष्ट उदाहरण है , हालांकि लगता है कि सब कुछ वहां तय हो गया है) या उनका डेटा चोरी कर सकते हैं। इसके अलावा, लगभग सभी शीर्ष 5 एप्लिकेशन उपयोगकर्ता डेटा को कंप्यूटर की हार्ड ड्राइव पर या फ़ोन की मेमोरी में असुरक्षित रूप में संग्रहीत करते हैं। और यह तब है जब आप विभिन्न देशों की विशेष सेवाओं को याद नहीं करते हैं, जिनके पास कानून के लिए उपयोगकर्ता डेटा तक पहुंच हो सकती है। वही Skype, VKontakte, TamTam और अन्य अधिकारियों के अनुरोध पर किसी भी उपयोगकर्ता के बारे में कोई भी जानकारी प्रदान करते हैं (उदाहरण के लिए, रूसी संघ)।

अच्छा प्रोटोकॉल स्तर की सुरक्षा? कोई समस्या नहीं है, डिवाइस को तोड़ दें

कुछ साल पहले, Apple और अमेरिकी सरकार के बीच टकराव हुआ था । निगम ने सैन बर्नार्डिनो शहर में आतंकवादी हमलों के मामले में दिखाए गए एन्क्रिप्टेड स्मार्टफोन को अनलॉक करने से इनकार कर दिया। तब यह एक वास्तविक समस्या की तरह लग रहा था: डेटा अच्छी तरह से संरक्षित था, और स्मार्टफोन को हैक करना या तो असंभव था या बहुत मुश्किल था।

अब स्थिति अलग है। उदाहरण के लिए, इज़राइली कंपनी Cellebrite रूस और अन्य देशों में कानूनी संस्थाओं को सॉफ्टवेयर और हार्डवेयर बेच रही है, जो आपको सभी iPhone और एंड्रॉइड मॉडल को हैक करने की अनुमति देती है। इस विषय पर अपेक्षाकृत विस्तृत जानकारी के साथ पिछले साल एक विज्ञापन पुस्तिका प्रकाशित की गई थी।


मैगाडन फोरेंसिक अन्वेषक पोपोव यूएस फेडरल ब्यूरो ऑफ इन्वेस्टिगेशन के समान तकनीक का उपयोग करके एक स्मार्टफोन में टूट जाता है। स्रोत: बीबीसी

डिवाइस राज्य के मानकों से सस्ती है। UFED टच 2 के लिए, SKR के वोल्गोग्राड प्रशासन ने 800 हजार रूबल, खाबरोवस्क - 1.2 मिलियन रूबल का भुगतान किया। 2017 में, रूसी संघ की जांच समिति के प्रमुख अलेक्जेंडर बास्ट्रीकिन ने पुष्टि की कि उनका विभाग इजरायल की एक कंपनी के फैसलों का उपयोग कर रहा है ।

Sberbank ऐसे उपकरणों को भी खरीदता है, हालांकि जांच का संचालन करने के लिए नहीं, बल्कि Android उपकरणों पर वायरस से लड़ने के लिए। "अगर एक मोबाइल डिवाइस को अज्ञात दुर्भावनापूर्ण कोड से संक्रमित होने का संदेह है और संक्रमित फोन के मालिकों की अनिवार्य सहमति प्राप्त करने के बाद, यूएफएस टच 2 का उपयोग करने सहित विभिन्न उपकरणों का उपयोग करते हुए लगातार उभरते और नए वायरस को खोजने के लिए एक विश्लेषण किया जाएगा," कंपनी ने कहा ।

अमेरिकियों के पास ऐसी प्रौद्योगिकियां भी हैं जो किसी भी स्मार्टफोन को हैक करने की अनुमति देती हैं। ग्रेसशिफ्ट ने 15 हजार अमेरिकी डॉलर के लिए 300 स्मार्टफ़ोन को क्रैक करने का वादा किया है (यह सेलब्राइट के लिए $ 1,500 प्रति यूनिट $ 1,500 है)।

यह संभावना है कि साइबर अपराधियों के पास समान उपकरण हैं। इन उपकरणों में लगातार सुधार हो रहा है - आकार घट रहा है, उत्पादकता बढ़ रही है।

अब हम प्रमुख निर्माताओं के अधिक या कम प्रसिद्ध फोन के बारे में बात कर रहे हैं जो अपने उपयोगकर्ताओं के डेटा की सुरक्षा के बारे में चिंतित हैं। यदि हम छोटी कंपनियों या संज्ञा-नाम संगठनों के बारे में बात कर रहे हैं, तो इस मामले में डेटा को समस्याओं के बिना हटा दिया जाता है। बूटलोडर लॉक होने पर भी HS-USB मोड काम करता है। सेवा मोड, एक नियम के रूप में - एक "बैक डोर" जिसके माध्यम से आप डेटा निकाल सकते हैं। यदि नहीं, तो आप JTAG पोर्ट से कनेक्ट कर सकते हैं या यहां तक ​​कि eMMC चिप को हटा सकते हैं, फिर इसे एक सस्ती एडाप्टर में डालें। यदि डेटा एन्क्रिप्ट नहीं किया गया है, तो फोन से सब कुछ खींचा जा सकता है, जिसमें प्रमाणीकरण टोकन शामिल हैं जो क्लाउड स्टोरेज और अन्य सेवाओं तक पहुंच प्रदान करते हैं।

यदि किसी के पास महत्वपूर्ण जानकारी के साथ स्मार्टफोन तक व्यक्तिगत पहुंच है, तो आप चाहें तो इसे हैक कर सकते हैं, कोई फर्क नहीं पड़ता कि निर्माता क्या कहते हैं।

यह स्पष्ट है कि उपरोक्त सभी न केवल स्मार्टफोन पर लागू होते हैं, बल्कि विभिन्न ऑपरेटिंग सिस्टम पर लैपटॉप के साथ कंप्यूटर भी होते हैं। यदि आप उन्नत सुरक्षात्मक उपायों का सहारा नहीं लेते हैं, लेकिन पासवर्ड और लॉगिन जैसे पारंपरिक तरीकों से संतुष्ट हैं, तो डेटा खतरे में रहेगा। डिवाइस तक भौतिक पहुंच वाला एक अनुभवी पटाखा लगभग किसी भी जानकारी को प्राप्त करने में सक्षम होगा - यह केवल कुछ समय की बात है।

तो क्या करें?

Habr पर, व्यक्तिगत उपकरणों पर डेटा सुरक्षा के मुद्दे को एक से अधिक बार छुआ गया है, इसलिए हम पहिया को फिर से नहीं बनाएंगे। हम केवल मुख्य तरीकों को इंगित करते हैं जो आपके डेटा को प्राप्त करने वाले तीसरे पक्षों की संभावना को कम करते हैं:

• स्मार्टफोन और पीसी पर डेटा एन्क्रिप्शन का उपयोग करना अनिवार्य है। विभिन्न ऑपरेटिंग सिस्टम अक्सर अच्छे डिफ़ॉल्ट उपकरण प्रदान करते हैं। एक उदाहरण मैक ओएस में एक क्रिप्टोकरंसी का निर्माण है जो नियमित टूल का उपयोग करता है।
  

• टेलीग्राम और अन्य तत्काल दूतों में पत्राचार के इतिहास सहित, हर जगह और हर जगह पासवर्ड सेट करें। स्वाभाविक रूप से, पासवर्ड जटिल होना चाहिए।
  

• दो-कारक प्रमाणीकरण - हां, यह असुविधाजनक हो सकता है, लेकिन यदि सुरक्षा मुद्दा पहले आता है, तो आपको शर्तों पर आना होगा।
  

• अपने उपकरणों की भौतिक सुरक्षा की निगरानी करें। एक कैफे में एक कॉर्पोरेट पीसी लें और वहां भूल जाएं? क्लासिक। कॉरपोरेट सहित सुरक्षा मानकों को उनकी खुद की लापरवाही के शिकार लोगों के आँसू द्वारा लिखा जाता है।

आइए टिप्पणियों में अपने तरीकों का विश्लेषण करें, जो किसी तीसरे पक्ष द्वारा किसी भौतिक डिवाइस तक पहुंचने पर डेटा हैकिंग की संभावना को कम कर सकता है। फिर हम अपने टेलीग्राम चैनल में लेख में प्रस्तावित विधियों को जोड़ेंगे या प्रकाशित करेंगे, जहां हम नियमित रूप से अपने वीपीएन और इंटरनेट सेंसरशिप के उपयोग पर सुरक्षा, जीवन हैक के बारे में लिखते हैं।