https://sellio.store/pl/page/78/     https://fashionetta.org/pl/page/78/     https://home-partner.org/pl/page/78/     https://car-paradise.org/pl/page/78/     https://car-accessories.net/pl/page/78/     https://modeo-shop.com/pl/page/78/     https://wibratory.net/pl/page/78/     https://etui-empire.com/pl/page/78/     https://e-papierosy.org/pl/page/78/     https://ero-land.org/pl/page/78/     https://lampy-sklep.com/pl/page/78/     https://desteo.org/pl/page/78/     https://shopara.org/pl/page/78/     https://shopme-online.org/pl/page/78/     https://shopinio.org/pl/page/78/     https://shopopolis.org/pl/page/78/     https://shoporama.org/pl/page/78/     https://desuto.org/pl/page/78/     https://shopsy-online.org/pl/page/78/     https://e-shopsy.org/pl/page/78/     https://vandershop.net/pl/page/78/    https://catalog-info.com/    https://womens-health.info/en/

int-news.info

Kolejna witryna oparta na WordPressie

News

Mam wiele do powiedzenia na temat włamania firmy Signal do firmy Cellebrite

Ten wpis na blogu jest oparty na wykładzie, który wygłosiłem 12 maja 2021 r. na cotygodniowym lunchu Wydziału Informatyki Stanforda na tematy związane z bezpieczeństwem komputerowym. Pełne ujawnienie: prowadziłem konsultacje dla firmy Signal, ale nie zajmowałem się niczym podobnym do tego zagadnienia. (Wątpię jednak, żeby zatrudnili mnie ponownie, jeśli to przeczytają).

Być może widzieliście ostatnio w wiadomościach historię o lukach odkrytych w narzędziu do cyfrowej analizy śledczej, stworzonym przez izraelską firmę Cellebrite. Oprogramowanie Cellebrite wyodrębnia dane z urządzeń mobilnych i generuje raport na ich temat. Jest ono popularne wśród organów ścigania jako narzędzie do zbierania dowodów cyfrowych ze smartfonów znajdujących się pod ich opieką.

W kwietniu zespół stojący za popularną aplikacją do czatowania z szyfrowaniem end-to-end (E2EE) Signal opublikował wpis na blogu, w którym opisał, w jaki sposób zdobył urządzenie Cellebrite, przeanalizował oprogramowanie i znalazł luki pozwalające na wykonanie dowolnego kodu przez urządzenie skanowane za pomocą narzędzia Cellebrite.

Jak wskazano we wpisie na blogu, luka ta poddaje w wątpliwość wiarygodność narzędzi Cellebrite w kontekście ścigania przestępstw. Chociaż Cellebrite podjęła od tego czasu kroki mające na celu złagodzenie podatności, został już złożony wniosek o nowy proces w co najmniej jednej sprawie karnej na podstawie wpisu na blogu Signala.

Czy wniosek ten ma szanse powodzenia? Jakie będą prawdopodobne konsekwencje ujawnienia przez Signal informacji w sprawach sądowych? Myślę, że wpływ na istniejące sprawy będzie nieistotny, ale Signal przedstawił ważny punkt widzenia, który może pomóc popchnąć branżę kryminalistyczną urządzeń mobilnych w kierunku większej odpowiedzialności za ich często niedbałe zabezpieczenia produktów. Niemniej jednak, również w tym przypadku mam podniesioną brew dla Signal.

Zaczynajmy.

CZĘŚĆ I.A: O FIRMIE CELLEBRITE

Czym jest Cellebrite?

Cellebrite to izraelska firma, która, jak czytamy we wpisie na blogu firmy Signal, „tworzy oprogramowanie do automatyzacji fizycznego wyodrębniania i indeksowania danych z urządzeń mobilnych”. Powszechnym przypadkiem użycia tego oprogramowania w USA jest wykorzystanie go przez organy ścigania w dochodzeniach kryminalnych, zazwyczaj na podstawie nakazu z Czwartej Poprawki, który pozwala na przeszukanie czyjegoś telefonu i przejęcie z niego danych.

Produkty firmy Cellebrite należą do branży narzędzi do „kryminalistycznej analizy urządzeń mobilnych”. „Proces kryminalistyki mobilnej ma na celu odzyskanie dowodów cyfrowych lub istotnych danych z urządzenia mobilnego w sposób, który pozwoli zachować dowody w stanie nienaruszonym pod względem kryminalistycznym”, przy użyciu przyjętych metod, tak aby można je było później przedstawić w sądzie.

Kim są ich klienci?

Dzięki firmie Cellebrite i innym dostawcom w branży narzędzi do analizy śledczej urządzeń mobilnych ponad dwa tysiące organów ścigania w całym kraju posiada takie narzędzia – w tym 49 z 50 największych miast w USA.

Ale Cellebrite ma wielu innych klientów poza amerykańskimi organami ścigania. A niektórzy z nich nie są tacy mili. Jak zauważa Signal we wpisie na swoim blogu, „na liście ich klientów znajdują się autorytarne reżimy na Białorusi, w Rosji, Wenezueli i Chinach, szwadrony śmierci w Bangladeszu, wojskowe junty w Myanmarze, a także ci, którzy starają się wykorzystywać i uciskać ludzi w Turcji, Zjednoczonych Emiratach Arabskich i innych krajach”.

Sprzedawcy tego typu narzędzi uwielbiają się wywyższać i mówić o tym, że są „dobrymi ludźmi”, którzy pomagają zapewnić światu bezpieczeństwo.rom kryminalistów i terrorystów. Tak, jasne, w porządku. Jednak wielu dostawców w tej branży, zajmujących się sprzedażą technologii nadzoru rządom, sprzedaje swoje produkty nie tylko Stanom Zjednoczonym i innym krajom, które przestrzegają zasad państwa prawa, ale także represyjnym rządom, które prześladują swoich obywateli, gdzie definicja „przestępcy” może oznaczać po prostu bycie gejem lub krytykowanie rządu. Gotowość firm takich jak Cellebrite do sprzedawania produktów rządom o złych intencjach jest powodem apeli liderów i grup działających na rzecz praw człowieka o wprowadzenie globalnego moratorium na sprzedaż tego rodzaju narzędzi inwigilacji rządom.

Do czego służą produkty Cellebrite?

Cellebrite ma kilka różnych produktów, ale w tym przypadku chodzi o system dwuczęściowy: pierwsza część, zwana UFED (skrót od Universal Forensic Extraction Device), wyodrębnia dane z urządzenia mobilnego i tworzy ich kopię zapasową na komputerze PC z systemem Windows, a druga część, zwana Physical Analyzer, przetwarza i indeksuje dane, aby można je było przeszukiwać. W ten sposób można pobrać surowe dane, a następnie przekształcić je w coś użytecznego dla użytkownika, a wszystko to w sposób zgodny z zasadami kryminalistyki.

Jak wyjaśniono we wpisie na blogu firmy Signal, ten dwuczęściowy system wymaga fizycznego dostępu do telefonu; nie są to narzędzia umożliwiające zdalny dostęp do czyjegoś telefonu. A rodzaj ekstrakcji („ekstrakcja logiczna”), o której tu mowa, wymaga, aby urządzenie było odblokowane i otwarte. (Ekstrakcja logiczna jest szybsza i łatwiejsza, ale też bardziej ograniczona, niż głębszy, ale trudniejszy rodzaj ekstrakcji – „ekstrakcja fizyczna”, która może działać na zablokowanych urządzeniach, choć nie ze stuprocentową pewnością. Ponadto, w przeciwieństwie do ekstrakcji fizycznej, ekstrakcje logiczne nie odzyskują usuniętych lub ukrytych plików). Jak napisano we wpisie na blogu, należy pomyśleć o tym w ten sposób: „Jeśli ktoś fizycznie trzyma w ręku odblokowane urządzenie, może otworzyć dowolne aplikacje i zrobić zrzuty ekranu wszystkich aplikacji, aby zapisać je i przejrzeć później. Cellebrite zasadniczo automatyzuje ten proces w przypadku osoby trzymającej urządzenie w rękach”.

Ponadto, w przeciwieństwie do zrzutów ekranu wykonywanych przez policjantów, logiczna ekstrakcja danych zachowuje odzyskane dane „w ich oryginalnym stanie, z zachowaniem integralności, która może być wykorzystana w sądzie”. Po co wykazywać, że dane zostały wyodrębnione i zachowane bez wprowadzania zmian? Ponieważ jest to konieczne, aby spełnić wymagania przepisów dotyczących dopuszczania dowodów w sądzie. W amerykańskich sądach obowiązują zasady zapewniające, że przedstawiane dowody są wiarygodne – nie chcesz przecież skazać lub uniewinnić kogoś na podstawie, powiedzmy, pliku, którego zawartość lub metadane zostały uszkodzone. Cellebrite uważa się za firmę spełniającą standardy wymagane przez amerykańskie sądy w zakresie cyfrowej kryminalistyki.

Jednak Signal pokazał, że narzędzia Cellebrite mają naprawdę słabe zabezpieczenia, które – o ile problem nie zostanie naprawiony – mogą pozwolić na zmianę danych w raportach generowanych przez oprogramowanie podczas analizy telefonów. Wykazanie wad systemu Cellebrite stawia pod znakiem zapytania integralność i wiarygodność wyekstrahowanych danych oraz raportów wygenerowanych na ich temat.

Podważa to cały powód istnienia tych narzędzi: gromadzenie dowodów cyfrowych, które są wystarczająco wiarygodne, aby można było się na nich oprzeć w sprawach sądowych.

CZĘŚĆ I.B: WŁAMANIE

Na czym polegało włamanie?

W tle: Pod koniec ubiegłego roku firma Cellebrite ogłosiła, że jedno z jej narzędzi (narzędzie Physical Analyzer) może zostać użyte do wyodrębnienia danych Signal dz odblokowanych telefonów z systemem Android. Firma Signal nie była zadowolona.

Najwyraźniej w odwecie, Signal uderzył ponownie. Jak wynika z opublikowanego w zeszłym miesiącu wpisu na blogu, twórca Signala, Moxie Marlinspike, wraz ze swoim zespołem zdobyli zestaw Cellebrite (nie ujawniają, w jaki sposób go zdobyli), przeanalizowali oprogramowanie i znaleźli luki, które pozwoliłyby na wykonanie dowolnego kodu przez urządzenie skanowane za pomocą narzędzia Cellebrite. Zgodnie z wpisem na blogu:

Patrząc zarówno na UFED, jak i Physical Analyzer, … byliśmy zaskoczeni, że bardzo mało uwagi poświęcono bezpieczeństwu oprogramowania firmy Cellebrite. Brakuje standardowych dla branży zabezpieczeń przed exploitami, co stwarza wiele okazji do ich wykorzystania. …

„[W]ykryliśmy, że możliwe jest wykonanie dowolnego kodu na maszynie Cellebrite po prostu poprzez umieszczenie specjalnie sformatowanego, ale poza tym nieszkodliwego pliku w dowolnej aplikacji na urządzeniu, które jest następnie podłączone do Cellebrite i skanowane. Nie ma praktycznie żadnych ograniczeń co do kodu, który może zostać wykonany.

„Na przykład, umieszczając specjalnie sformatowany, ale nieszkodliwy plik w aplikacji na urządzeniu, które jest następnie skanowane przez Cellebrite, można wykonać kod, który modyfikuje nie tylko raport Cellebrite tworzony podczas tego skanowania, ale również wszystkie poprzednie i przyszłe raporty Cellebrite ze wszystkich poprzednio skanowanych urządzeń oraz wszystkich przyszłych skanowanych urządzeń w dowolny sposób (wstawiając lub usuwając tekst, wiadomości e-mail, zdjęcia, kontakty, pliki lub inne dane), bez wykrywalnych zmian znacznika czasu lub błędów sumy kontrolnej. Można to zrobić nawet w sposób losowy, co poważnie podważyłoby integralność danych zawartych w raportach firmy Cellebrite.

Firma Signal stworzyła również demo wideo, aby pokazać swój dowód słuszności koncepcji (PoC), które można obejrzeć we wpisie na blogu lub na tweeterze poświęconym temu zagadnieniu. Podsumowali oni to, co jest przedstawione na filmie:

[To] jest przykładowy film wideo przedstawiający exploit dla UFED (podobne exploity istnieją dla Physical Analyzer). Na filmie UFED trafia w plik, który uruchamia dowolny kod na maszynie Cellebrite. Ten exploit wykorzystuje interfejs API MessageBox Windows do wyświetlenia okna dialogowego z wiadomością. To tylko demonstracja; możliwe jest wykonanie dowolnego kodu, a prawdziwy ładunek exploita prawdopodobnie próbowałby w niewykrywalny sposób zmienić poprzednie raporty, naruszyć integralność przyszłych raportów (być może w sposób losowy!) lub przenieść dane z maszyny Cellebrite.

Co Signal zapowiedział, że zamierza zrobić w tej sprawie?

We wpisie na blogu ogłoszono, że w przyszłości aplikacja Signal będzie dodawać „estetycznie wyglądające” pliki, okresowo i losowo, do pamięci podręcznej danych aplikacji Signal na telefonach użytkowników Signal. Oto ostatni akapit wpisu na blogu:

W zupełnie niepowiązanych wiadomościach, nadchodzące wersje aplikacji Signal będą okresowo pobierać pliki w celu umieszczenia ich w pamięci masowej aplikacji. Pliki te nie są nigdy używane do niczego wewnątrz Signala i nie wchodzą w interakcję z oprogramowaniem lub danymi Signala, ale wyglądają ładnie, a estetyka jest ważna w oprogramowaniu. Pliki będą zwracane tylko dla kont, które mają aktywną instalację już od jakiegoś czasu, i tylko probabilistycznie w niskich procentach na podstawie podziału numerów telefonów. Mamy kilka różnych wersji plików, które uważamy za estetyczne, i będziemy je powoli zmieniać z biegiem czasu. Pliki te nie mają żadnego innego znaczenia.

Co to dokładnie oznacza? Tylko Moxie i jego zespół wiedzą. Reszta z nas musi zgadywać

. Dosłownie jeden z reporterów powiedział mi, że nie był w stanie stwierdzić, czy ta część wpisu na blogu była żartem, czy nie.

Jedna interpretacja jest taka, że „estetyczne” oznacza, że są to pliki graficzne – np. zdjęcia kotów lub coś w tym stylu – których użytkownik Signala nigdy nie zobaczy i których sam nie umieścił w pamięci aplikacji. Inna interpretacja, jeśli założymy, że te „estetyczne” pliki robią to, co może robić „prawdziwy exploit payload”, to (jeśli Cellebrite nie wprowadzi poprawki) pliki te mogą mieć wpływ na maszynę Cellebrite, jeśli telefon zostanie przeanalizowany za pomocą narzędzia Cellebrite, podczas gdy te pliki znajdowały się w pamięci aplikacji.

Jeśli nic więcej, oznacza to, że jeśli będą postępować zgodnie z tym, co mówią, że zrobią, Signal doda szumu do sygnału w lokalnej pamięci masowej aplikacji Signal na telefonach niektórych użytkowników. Ale tylko u niektórych użytkowników, a Signal nie będzie wiedział, którzy to użytkownicy, a pliki będą się okresowo zmieniać, jeśli w ogóle tam będą. Nie będzie tak, że wszyscy użytkownicy Signala będą mieli te same pliki dodawane przez Signala do lokalnej pamięci masowej przez cały czas.

Co firma Signal zasugerowała Cellebrite, aby zrobiła z tym potencjalnym exploitem?

Oto, co Signal zasugerował Cellebrite’owi:

Każda aplikacja może zawierać taki plik [tj. plik z pułapką] i dopóki Cellebrite nie będzie w stanie dokładnie naprawić wszystkich luk w swoim oprogramowaniu z bardzo dużą pewnością, jedynym środkiem zaradczym, jaki ma użytkownik Cellebrite, jest nieskanowanie urządzeń. Cellebrite może zmniejszyć ryzyko dla swoich użytkowników poprzez aktualizację swojego oprogramowania, tak aby przestało ono skanować aplikacje, które uważa za obarczone wysokim ryzykiem wystąpienia tego typu problemów z integralnością danych, ale nawet to nie jest gwarancją.

Zasadniczo firma mówi: „Będziemy cię wkręcać za dodanie do Cellebrite wsparcia dla danych Signal. Jeśli chcecie mieć pewność co do integralności swoich danych, wasi użytkownicy (policjanci) powinni przestać skanować telefony z zainstalowanym programem Signal. Ale nawet wtedy nie ma pewności, bo aplikacje, które Ty lub organy ścigania uważacie za ryzykowne, mogą nie być tymi, które zatruwają Twoje…


Czytaj dalej: http://cyberlaw.stanford.edu/blog/2021/05/i-have-lot-say-about-signal%E2%80%99s-cellebrite-hack

Dodaj komentarz

Twój adres e-mail nie zostanie opublikowany.