उनके पास छिपाने के लिए कुछ नहीं था

हम कई वर्षों से सूचना सुरक्षा बाजार में काम कर रहे हैं। हमारे मुख्य ग्राहक विभिन्न देशों की कानून प्रवर्तन एजेंसियां, विशेष सेवाएं, साथ ही बड़ी कंपनियों में आईटी सुरक्षा विभाग हैं। कभी-कभी हमारे ग्राहक हमारे साथ दिलचस्प कहानियाँ साझा करते हैं; उनमें से कुछ को मीडिया में पढ़ा जा सकता है। आज मैं उन लोगों के बारे में कुछ कहानियाँ बताना चाहता हूँ जिनके पास "छिपाने के लिए कुछ नहीं" था और जिसके परिणामस्वरूप नीले रंग से गंभीर समस्याएँ थीं।

क्या समस्या है?

मैं अक्सर सूचना सुरक्षा पर लेख लिखता हूं। कभी-कभी यह आम आदमी के लिए समझ में आता है, कभी-कभी, शायद ऐसा नहीं है। "मैं कुछ भी नहीं कर रहा हूँ कि लेख भेजने के बारे में [...] क्या समस्या है?", "IMHO, icloud के साथ समस्या थोड़ी दूर है," और अमर - "मैं परेशान नहीं था, मेरे पास छिपाने के लिए कुछ भी नहीं है।" महान, चलो देखते हैं कि क्या आपको कुछ छिपाना चाहिए।

सेलेबगेट: "आईक्लाउड समस्या थोड़ी दूर की बात है"

ICloud से डेटा निकालने के लिए हमारे पहले उत्पाद को जारी किए पांच साल से अधिक समय बीत चुके हैं। उत्पाद Elcomsoft फोन पासवर्ड ब्रेकर की कुंजी (अब इसका एक अलग नाम है), जो उस समय हमने विशेष रूप से कानून प्रवर्तन एजेंसियों को बेचा, चोरी हो गया और एक हैकर समूह के हाथों में गिर गया।

“31 अगस्त से 1 सितंबर, 2014 तक, हैकर्स ने iCloud सेवा से अंतरंग सेलिब्रिटी तस्वीरों की एक विशाल नाली का मंचन किया। इंटरनेट उपयोगकर्ताओं ने इस महाकाव्य घटना को "सेलेबगेट" और "द रैपिंग" के रूप में चिह्नित किया है, "द रैपिंग एनएसएफडब्ल्यू लिखते हैं ! अलेक्जेंडर स्लीपपेंको। उपरोक्त लिंक उन लोगों के फ़ोटो के साथ भी पाया जा सकता है जिनके पास छिपाने के लिए कुछ नहीं था।

आईक्लाउड तक पहुंचने के लिए, हमलावरों ने हमारे उत्पाद और खातों से वास्तविक डेटा का उपयोग किया। उन्हें कैसे पता चला? अलग-अलग तरीकों से: कहीं न कहीं लीक थे, कहीं अन्य खातों के पासवर्ड के आधार पर आईक्लाउड पासवर्ड पाया गया था, लेकिन सोशल इंजीनियरिंग का सबसे अधिक उपयोग किया गया था: पीड़ित को एक पत्र मिला जिसमें एक दूर के बहाने उन्हें अपने खाते में लॉग इन करने के लिए कहा गया था। कुछ पीड़ितों को फोन भी किया गया था, जो कि "समझौता प्रयास" के बाद खाते को "सुरक्षित" करने या "बहाल" करने में मदद करते हैं।

दिलचस्प बात यह है कि इस घटना के समय, Apple ने पहले से ही सुरक्षा का एक आधा-माप लागू किया था - टू-स्टेप ऑथेंटिकेशन (2SV), आधुनिक टू-फैक्टर ऑथेंटिकेशन का पीला अग्रदूत। हालांकि, यहां तक ​​कि इस आधे-माप वाले ऐप्पल का उपयोग केवल आंशिक रूप से किया गया था, आईक्लाउड में फ़ोटो को सुरक्षा प्रदान किए बिना। मार्च 2016 में केवल iOS 9 और OS X El Capitan की रिलीज के साथ Apple के पास एक आधुनिक और विश्वसनीय टू-फैक्टर ऑथेंटिकेशन सिस्टम था।

हैकर्स ने किस तरह से काम किया, उन्होंने किन कार्यक्रमों का इस्तेमाल किया और जहां उन्होंने हमले के पीड़ितों के पासवर्ड सीखे, उन्हें फोर्ब्स चोरी करने वाले न्यूड पिक्स में पाया जा सकता है iCloud से जीरो हैकिंग स्किल्स की आवश्यकता है - बस कुछ YouTube मार्गदर्शक लेख।

"हमें आम तौर पर बोलने की स्वतंत्रता है!"

हां बिल्कुल। किसी भी तरह के साहित्य को पढ़ने और उसके लिए परेशान न होने की स्वतंत्रता। अच्छा पुराना इंग्लैंड, 2013। सहायक अग्रणी नेता (अच्छी तरह से, स्काउट के नेता के सहायक हो) जॉन कॉकक्रॉफ्ट ने उनके साथ एक किंडल ई-बुक की थी। फोल्डिंग कैंप के दौरान काउंसलर को एक किताब मिली। इसे चालू करने और पाठ को पढ़ने के दौरान, नाबालिगों के साथ स्पष्ट दृश्यों के विवरणों को खोजने के लिए परामर्शदाता भयभीत था। जॉन का तर्क है कि "यह लोलिता की तरह है" विफल हो गया, परामर्शदाता ने पुलिस को बुलाया।

उन्होंने पुराने गड़बड़ी को पकड़ लिया, एक खोज की, कंप्यूटर को जब्त कर लिया ... आगे - एक तकनीकी सवाल: उन पर दो जॉन कंप्यूटरों के गहन स्कैन के बाद एक बहुत ही संदिग्ध गुणवत्ता के चित्रों की खोज की गई - जैसे कि 12 टुकड़े।

इस मामले ने हमारा ध्यान आकर्षित किया क्योंकि जॉन के कंप्यूटर (जिसकी प्रकृति का खुलासा नहीं किया गया था) पर दो एन्क्रिप्टेड फ़ाइलों की खोज की गई थी, और हमारे उत्पादों को पासवर्ड को जल्द से जल्द क्रैक करने के लिए डिज़ाइन किया गया है। इस मामले में, पुलिस बचाव में नहीं टूट सकती है, और जॉन ने इन फ़ाइलों के लिए पासवर्ड का खुलासा करने से इनकार करके एक और अपराध किया (ब्रिटिश कानून के अनुसार, यह काफी अपराध है)। अपराधों के एकत्रीकरण पर, जॉन को तीन साल की सामुदायिक सेवा, तीन साल के विशेष पाठ्यक्रमों में भाग लेने और तीन साल के अवलोकन की सजा सुनाई गई। पांच साल के बाद ही आपराधिक रिकॉर्ड हटाया जाएगा। इस कहानी का विवरण यहां पढ़ा जा सकता है ।

चोरी iPhone और खारिज शिक्षक

आपका iPhone चोरी हो गया है। किसे दोष देना है? बेशक आप हैं! आपको काम से निकाल दिया जाएगा और आपके खिलाफ एक आपराधिक मामला लाया जाएगा। और सभी क्योंकि आपने लॉक कोड सेट नहीं किया था। भयंकर बकवास? यदि केवल इतना समय पहले नहीं, 2016 में, दक्षिण कैरोलिना के हाई स्कूल शिक्षक ली अन्ना आर्थर से एक iPhone चोरी हो गया था। चोर, जो उसकी 16 वर्षीय छात्रा थी, को डिवाइस की सामग्री तक पहुंचने में कोई समस्या नहीं थी: ईमानदार शिक्षक के पास छिपाने के लिए कुछ भी नहीं था, और वह पिन कोड सेट करने से परेशान नहीं थी। फोन पर, छात्र को शिक्षक की सेल्फी लापरवाही में मिली, जिसे उसने सहपाठियों के बीच वितरित किया, और सोशल नेटवर्क पर भी पोस्ट किया।

अंत में, छात्र को अभी भी दंडित किया गया था। लेकिन ली आर्थर ने याचिका के बावजूद अपनी नौकरी खो दी । एक साल बाद, पार्टियों ने अदालत से बाहर सहमति व्यक्त की ; छात्र को स्कूल से निकाल दिया गया था। उस समय, ली अन्ना आर्थर अभी भी बेरोजगार थे।

निष्कर्ष? यहां तक ​​कि अगर आपको लगता है कि आपके पास छिपाने के लिए कुछ भी नहीं है, तो आपके सहकर्मियों, वरिष्ठों या छात्रों के विपरीत राय हो सकती है। और अगर आपका फोन चोरी हो जाता है, तो आप कम से कम एक बर्बाद करियर का जोखिम उठाते हैं। यदि आपको लगता है कि "यह प्यूरिटन अमेरिका में है, लेकिन यहां हमारे पास है ..." - रूस में शिक्षक को खारिज करने के लिए, नग्नता भी पर्याप्त नहीं है, लेकिन एक स्विमिंग सूट में सरल तस्वीरें (वैसे, पिछले काम के लिए स्वीकार किए गए लेख के अंत में वाक्यांश "नहीं है") वास्तविकता से मेल खाती है - बस लिंक के बाद इसे सत्यापित करना आसान है)। क्या आपको अभी भी लगता है कि आपके पास छिपाने के लिए कुछ नहीं है?

बस गली से नीचे उतर गई

आप सड़क पर चलते हैं, फोन को घूरते हैं, और एक पुलिसकर्मी की चौड़ी छाती में ठोकर खाते हैं। पुलिसकर्मी को एक उपकरण की आवश्यकता होती है, आप इसे स्वचालित रूप से कानून के प्रतिनिधि के हाथों में पारित करते हैं। आप पर पीडोफिलिया के आरोप लगते हैं, जमानत पर बाहर जाते हैं, सबूत नष्ट करते हैं। अब आप पर न्याय का प्रतिकार करने का आरोप लगाया जाता है, लेकिन, सावधानीपूर्वक भलाई करने के बाद भी आपको छोड़ दिया जाता है। आप समझते हैं: यदि आपने पटरियों को नहीं उतारा होता, तो आप तीन साल तक बैठे रहते ...

ईमानदारी से कहूं तो मैं इस तरह का आविष्कार नहीं कर सकता था। लेकिन अब - यह हुआ और अखबारों में मिला, और अब यह घटना प्रशिक्षण के दौरान मेरा पसंदीदा चित्रण बन गया है जो मैं पुलिस के लिए आचरण करता हूं (संदर्भ में: "पुलिस की गलतियों को दोहराएं नहीं, जब्त फोन को फैराडे पिंजरे में रखें!")

तो स्थिति। 19 वर्षीय व्यक्ति शांति से और नियमों को तोड़ने के बिना, अपनी प्रेमिका के साथ कार में चला रहा था। उसे पुलिस ने रूटीन जांच के लिए रोका था। पुलिसकर्मी को फोन पसंद आया, और जिस व्यक्ति के पास "छिपाने के लिए कुछ नहीं था" वह पुलिसकर्मी के डिवाइस को अनलॉक करने के अनुरोध से सहमत था। (कोष्ठकों में: क्या आप जानते हैं कि आप ऐसा करने के लिए बाध्य नहीं हैं, और पुलिसकर्मी को पूछने का अधिकार है, लेकिन आपको डिवाइस को अनलॉक करने की आवश्यकता नहीं है?) फोन पर पुलिसकर्मी को उसी प्रेमिका की तस्वीरें मिलीं जो कार में एक यात्री थी। (हैरानी की बात है, सही?) तस्वीरों में प्रेमिका कपड़े पहने नहीं थी। प्रेमिका की उम्र 18 साल से कम थी। आपराधिक लेख: बाल पोर्नोग्राफ़ी का निर्माण और प्रसार; आप दस साल तक बैठ सकते हैं।

लड़का, मूर्ख मत बनो, जमानत पर बाहर चला गया, जिसके बाद उसने तुरंत फाइंड माय आईफोन फ़ंक्शन के माध्यम से डेटा को नष्ट करने की पहल की।

कुछ समय बाद, पुलिस को पता चला कि फोन बंद था; आरोपी से संपर्क करने और उससे पासवर्ड प्राप्त करने के बाद, पुलिस को यह जानकर आश्चर्य हुआ कि फोन की सामग्री नष्ट हो गई थी। एक भयानक अपराध के एकमात्र सबूत को खोने के बाद, उग्र पुलिस ने एक आदमी को न्याय के लिए प्रतिवाद करने की कोशिश की; अंत में, आरोप अलग हो गया और वह आदमी गंभीर झंझट से बच गया।

नैतिक? यहां तक ​​कि अगर आपके पास छिपाने के लिए कुछ भी नहीं है, तो किसी भी डिवाइस को पुलिस को पास न करें। वैसे, कानून प्रवर्तन अधिकारी इस कहानी को हास्य के साथ समझते हैं; मैंने मॉरिसटाउन पुलिस की कार्रवाइयों के बारे में कई भद्दे कमेंट सुने, लेकिन आरोपियों के निर्देशन में एक भी नहीं।

विवरण WATE लेख में पोस्ट किया गया था जिसे बाद में हटा दिया गया था (लेकिन Google द्वारा कैश किया गया था)। हमने घटना का विवरण बचाया:

"पुलिस द्वारा कथित तौर पर उसके iPhone से उसकी कम उम्र की प्रेमिका की नग्न तस्वीरों को मिटा देने के बाद एक मॉरिसटाउन व्यक्ति को गिरफ्तार किया गया था।"

19 वर्षीय डार्वेल वॉकर पर सबूतों के साथ छेड़छाड़ करने का आरोप है। पुलिस का कहना है कि 23 फरवरी को एक ट्रैफिक स्टॉप के दौरान फोन को जब्त कर लिया गया था। उनका कहना है कि वॉकर ने अधिकारियों को उसका फोन खोजने की अनुमति दे दी, और उन्होंने पाया कि उन्होंने जो कहा वह कम उम्र की लड़की के कई नग्न चित्र थे, जो वाहन में एक यात्री था। "

"जब जासूसों को पता चला कि फोन पासवर्ड से सुरक्षित है, तो उन्होंने पासकोड प्राप्त करने के लिए वॉकर से संपर्क किया, लेकिन तब पता चला कि तस्वीरें चली गई थीं।"

"वॉकर $ 25,000 के बांड पर आयोजित किया गया था।"

जीवन के मामले

सभी कहानियां अखबारों में नहीं आतीं। तीन मामले हमारे साथ भी हुए (वास्तव में, बहुत अधिक, लेकिन हम सभी के बारे में नहीं बता सकते हैं)।

कार रेंटल टैबलेट

पहले एक कार किराए पर लेने वाली कंपनी थी। एक नियमित iPad एक नेविगेशन प्रणाली के रूप में किराए की कार में स्थापित किया गया था; बेशक, उस पर कोई लॉक कोड नहीं था। जिज्ञासा ने मुझे नष्ट कर दिया, और मैं हमारे <iOS फोरेंसिक टूलकिट के साथ टैबलेट से जुड़ा। पहले प्रयास में, डेटा को निकालना संभव नहीं था: टैबलेट पर एक एमडीएम प्रोफाइल स्थापित किया गया था, जो बैकअप के निर्माण पर रोक लगाता है। लेकिन आईटी सुरक्षा विभाग ने किसी भी तरह से एमडीएम प्रोफ़ाइल को हटाने से डिवाइस को बचाने की जहमत नहीं उठाई (इसके लिए आपको एक अतिरिक्त चेकमार्क लगाने की आवश्यकता है, जिसका अस्तित्व कंपनी के विशेषज्ञों को पता नहीं है)।

एमडीएम प्रोफ़ाइल को हटाने के बाद, टैबलेट से डेटा की एक पूरी प्रतिलिपि सिर्फ दो मिनट में मेरे निपटान में थी। (संक्षेप में: जेलब्रेक की आवश्यकता नहीं है; ईआईएफटी बैकअप के लिए पासवर्ड सेट करता है और इसे डिवाइस से डाउनलोड करता है, जो पासवर्ड सहित अधिकांश जानकारी तक पहुंच प्रदान करता है)। नतीजतन, मैंने एक निजी वाई-फाई कार रेंटल नेटवर्क से पासवर्ड सीखा, साथ ही कई कर्मचारी खातों से पासवर्ड भी। कहानी को विकास नहीं मिला: मैं खातों में नहीं गया। वैसे, इस तरह की ट्रॉफियों के डंप में अभी भी बैकअप निहित है।

बेबी फोन

एक और कहानी "बच्चों के" फोन की चिंता है, जो माता-पिता से एक बच्चे के लिए पारित हो जाती है या परिवार के बाहर दान की जाती है। जब हमें टेस्ट फोन आईफोन 5 सी की जरूरत पड़ी, तो एक लंबे समय के दोस्त ने मुझे डिवाइस दिया। फोन का इस्तेमाल उनके बेटे ने किया था। एक दोस्त ने मुझे फोन दिया, लेकिन इसे ड्रॉप नहीं किया, और आईक्लाउड से इसे अनटाइट नहीं किया; वास्तव में, मैंने केवल संपर्कों और नोटों को हटा दिया और अनुप्रयोगों को हटा दिया। मैंने बैकअप के लिए पासवर्ड सेट किया, किचेन को डाउनलोड किया, ऐप्पल आईडी से पासवर्ड का पता लगाया और आईक्लाउड से फोन को अनटाइड किया, फाइंड माय आईफोन डिस्कनेक्ट किया। मैंने गलती से वाई-फाई, मेल और कई सोशल नेटवर्क के पासवर्ड देखे। फोन पर, फाइंड फ्रेंड्स को चालू कर दिया गया, जिसने वास्तविक समय में बच्चे के माता-पिता (यानी मेरे दोस्त और उसकी पत्नी) का स्थान सफलतापूर्वक दिखाया। बेशक, मैंने फोन को गिरा दिया, और एक दोस्त ने फोन किया और एक सुरक्षा शिक्षा कार्यक्रम था।

स्मार्ट लड़कियां

कभी-कभी उन समाचारों को पढ़ने में मज़ा आता है जिनमें छोटे बच्चे अपने माता-पिता की तुलना में सुरक्षा मामलों में बहुत बेहतर समझ रखते हैं। तो, सात साल का बच्चा माता-पिता द्वारा निर्धारित "स्क्रीन टाइम" के प्रतिबंधों को दरकिनार करने में कामयाब रहा । एक अन्य बच्चे ने खुद को iMessage संदेशों में वीडियो के लिंक भेजकर YouTube को देखने पर प्रतिबंध लगा दिया: माता-पिता ने इस एप्लिकेशन को अवरुद्ध करने का अनुमान नहीं लगाया।

इस संदर्भ में एक संकेत हमारे कर्मचारी के साथ हाल ही में हुआ है। मैं उसे मंजिल दे दूंगा “अब मैं एक ड्राइवर के साथ टैक्सी में सवार था, जो अपनी बेटियों (8 और 10 साल) के साथ फोन पर बात करता था। दादी ने उनसे फोन छुपाया ताकि वे लंबे समय तक उसमें न बैठें, और उन्हें बताया गया कि उन्होंने इसे चुरा लिया है। उन्होंने फोन पर पिताजी से शिकायत की, समझाया कि एक लंबा पासवर्ड रूसी में सेट किया गया था, और फिर वे अंत में कोरस में चिल्लाए: "किसी को PASSWORD के साथ टेलीफोन की आवश्यकता क्यों होगी?" ऐसी होशियार लड़कियां थीं। उसने ड्राइवर से कहा कि मैं सिर्फ एक कंपनी के लिए काम कर रही थी जो फोन से डेटा रिकवर कर रही थी। जिसके लिए ड्राइवर ने मुझसे पूछा कि क्या यह सच है कि iPhone पर पासवर्ड नहीं तोड़ा जा सकता है, मैंने उसे आश्वस्त किया। "