Néhány elmés észrevétel a tárolt információról:

Lássuk, hogyan néz ki a felhasználó eszközén tárolt információ, amely a titkosított kommunikációs rendszer használatakor jön létre. Példaként vegyük az iparág vezetőjét – a WhatsApp-ot: a legtöbb dicsérettel büszkélkedhet, a leggyakrabban említik a sikeres termék példájaként, a világ felhasználóinak többsége meglehetősen biztonságosnak tartja.

Nem adunk értékelést a szóban forgó üzenetközvetítő minden hiányosságáról – ezekre visszatérünk a későbbiekben. Ezen a ponton csak a végberendezéseken tárolt és feldolgozott információról beszélünk.

A sorozat egyik cikkében említésre került, hogy Jan Koum szolgáltatása nem teszi közzé ügyfelei adatait, mivel ezeket nem tárolja a cég szerverein. Ezzel szemben eltárolja a beszélgetések szövegét és egyéb, a felhasználói eszközökkel – okostelefonokkal, táblagépekkel és személyi számítógépekkel – kapcsolatos adatokat. Ez persze igen kényelmes: bármikor megtalálhatja a szükséges részleteket a csevegési előzményekben vagy a csatolt fájlokban. De történik, ha egy elveszett (vagy ellopott) eszköz rosszindulatú ember kezébe kerül?

Tapasztalataink szerint az adatok kiolvasásához nem kell különösebb szakklpzettség. Elég, ha megvan az eszköz, egy szabványos csatlakozókábellel és egy olyan gyártó szoftverével, amely biztonsági másolatok készítésére és / vagy a rendszer helyreállítására szolgál.

 

LINK AZ ELSŐ VIDEÓHOZ

Csak néhány ártatlan manipuláció és a vezető ázsiai okostelefon, táblagép és számítógép gyártók legnépszerűbb modelljei kitárják a hozzáférés lehetőségét adatbázisokhoz, akár közvetlenül egy eszközön vagy az adatbázis biztonsági másolatának elkészítése útján. A leírt helyzetben semmi jelentősége sincs, hogy közvetlen vagy közvetett-e a hozzáférés, az egyetlen fontos dolog, hogy bár nem áll rendelkezésre speciális titkosító szoftvereszköz vagy tudás, mégis hozzáférünk a tárolt adatbázishoz. És itt hirtelen szembesülünk egy nagy meglepetéssel.

A teljes üzenet-előzményeinket, kapcsolataink adatait a titkosított WhatsApp üzenetközvetítőjének a megkapott memóriakiírása közzétette.. teljesen korlátlanul!

A szolgáltatás használatának teljes időtartama alatt a szokásos szövegben előforduló beceneveket, telefonszámokat, és mindenekelőtt olyan üzeneteket tett “közkinccsé”, amelyek gyakorta tartalmaznak nem kifejezetten a nagyközönségnek szánt információt.

Meg kell jegyeznünk, hogy messze minden eszköztől kezdve ilyen primitív módon nyújt korlátlan hozzáférést az üzenet-előzményekhez. A következő cikkek egyikében visszatérünk a gyártók és modellek pontos értékeléséhez. Ebben a pillanatban bennünket az érdekel, hogy hogyan kezelik más üzenetközvetítők a tárolt adatokat, különösen a világon vezető cégek a minősítettek listáiról.

És itt íme ezt látjuk …

LINK AZ ELSŐ VIDEÓHOZ

A leghíresebb márkák, mint az Imo, a Kik, a Facebook Messenger, a Telegram, a Skype és a Viber, ugyanilyen módon járnak el. Személyes adataink biztonságáért viselt felelősségüket az eszközgyártókra hárítják, mondván hogy ez az ő kötelességük. A szállítók azonban nem osztják ezen álláspontjukat. Tehát a végfelhasználóknak csak az marad, hogy kitalálják: ki, kivel és milyen megállapodást kötött, ha egyáltalán létrejött bármiféle megállapodás.

Nincs ilyen megállapodásokra vonatkozó nyilvános információ, és igencsak valószínűsíthető, hogy egyáltalán nem is létezik. A szoftverfejlesztők és a készülék-szállítók nem viselnek kötelezettséget felénk ebben a kérdésben. Az előbbiek gyártják a nagyszerűtitkosított üzenetközvetítőt, amely egy csodálatostitkosított okostelefononhasználható. Az utóbbiak kifogástalan  titkosított okostelefont gyártanak, amelyet a legjobbtitkosított üzenetküldővelegyütt kell használni.

Az eszközfejlesztők sokszor elfeledkeznek a biztonsági másolatok biztonságáról. A szolgáltatás-fejlesztők még ennél is kevesebbet gondolnak erre. Ennek eredményeképpen a gyenge pont egy olyan folyamat, amelynek éppen az adatok elvesztésétől kellett volna megőrizni bennünket, a feltalálók elképzelése szerint.

Vannak azonban olyan esetek, amikor jobb, ha a a helyreállítás esélye nélkül veszítik el adatainkat egyszer és mindenkorra, mintsem ezeket megmentve közhírré tegyék.

Jó hírrel fogunk kezdeni: ezen a bolygón vannak olyan emberek, akik igenis gondolnak biztonságunkra. Pontosabban – a személyes adataink biztonságára. Ezen emberek egy része telefont, okostelefont, táblagépet, laptopot és egyéb eszközöket gyárt, amelyekben hajlamosak vagyunk annyira megbízni, mint saját magunkban.

Az alábbiakban felsoroljuk azokat a gyártókat, akik által gyártott eszközöket teszteltük:

  • Apple, Huawei, Meizu, Motorola, Samsung, Sony, Xiaomi.

Ami a biztonsági másolatok létrehozását és rendszer-helyreállítást illeti, ma mindenképpen megbízhatunk az Apple és a Samsung készülékeiben. A Motorola és a Sony tesztpéldányai szintén tisztességes biztonságot nyújtanak. A személyes adatok megőrzése többféleképpen valósul meg, de még laboratóriumi körülmények között is, ha fizikai hozzáférést biztosítunk az információhordozókhoz (az eszköz memóriájához), egy érdekelt személy csak titkosított, olvashatatlan fájlhoz juthat. Így egy forrasztópáka eredeti rendeltetésének megfelelő használata értelmetlen kiemelkedő számítástechnikai teljesítmény (mondjuk kvantumszámítógép) nélkül, ha a memóriakép további dekódolására kívánjuk használni.

E cikkünk keretein belül megvizsgálunk bizonyos konkrét komplexumokat, mint az izraeli székhelyű Cellebrite szoftvereit és berendezéseit, amelyek lehetővé teszik az okostelefonok feltörését, beleértve az Apple legújabb modelljeit is. Később visszatérünk az ilyen kereskedelmi technológiákhoz. 

A kínai gyártók, például a Huawei, a Meizu és a Xiaomi okostelefonjai és táblaszámítógépei a szöges ellentétei a fent említett márkáknak. Az ezeken az eszközökön tárolt adatokhoz könnyen hozzáférhetünk olyan szoftverek és segédprogramok segítségével, amelyek ezen gyártók hivatalos honlapján elérhetők.

Bizonyos esetekben az eszközök lehetővé teszik az adatok közvetlen kiolvasását. Más esetekben a gyártó fenntartja a lehetőséget jelszó nélküli biztonsági másolatot készítésére, és ennek a nem dokumentált műveletnek köszönhetően egy mentett biztonsági mentés egyszerű személyi számítógépen is megnyitható, és bármelyik népszerű üzenetküldő üzenete megjeleníthető egy egyszerű táblázat/diagram formájában.

Az egyik történet arról szól, hogy egy okostelefon-firmware frissítő programot használó rosszindulatú személy korlátlan ellenőrzést nyer a telefon felett. Korlátlan a hatalma az okostelefon felett, és ebben az esetben nincs is szükség a trükkös manipulációkra. Hosszabb távon egyszerűen elolvashatja az üzenet-előzményeket ezen alkalmazás megnyitásával.

Egy másik történet arról szól, hogy biztonsági másolatot készítenek a felhasználó tudomása nélkül, aki hajlamos azt hinni, hogy a készülék teljes ellenőrzése alatt áll. Van egy okostelefonja, de komplett képet csinál a rendszerről és a felhasználói adatokról, amit elküld Mr ‘Don’t Know Who’-nak. Anélkül, hogy a tulajdonos ezt szentesítené!

A mobilkészülékeket gyártó kínai vállalatok csodálatos növekedési eredményekről adnak számot, páratlan értékesítési eredményekkel büszkélkednek, optimista előrejelzéseket tesznek közzé fejlődésükről, amelyek mind a fogyasztók, mind a szakértők számára meglepőek egészen addig, amíg el nem jutnak az észak-amerikai piacra. Tegyük még inkább közérthetővé: egészen addig, amíg a célközönség nem kezdte megkérdőjelezni az adatbiztonságot.

2018 januárjában a Mennyei Birodalom mobil óriásai először találták szemben magukat egy egész kontinenssel. Az USA vezető mobilszolgáltatói megtagadták a Huawei készülékek értékesítését országuk területén; a Huawei volt a leggyorsabban növekvő mobiltelefon-gyártó cég 2016-ban. Az ilyen döntések nem hivatalos indokai között a szakértők rámutattak az amerikai kormány ajánlásaira, amelyek az amerikaiak feletti lehetséges felderítésről és globális személyes adatgyűjtésről számoltak be.

Az ilyen gyanúk fantasztikus jellege ellenére a kínai gyártók lényegében semmi ellen sem tiltakoznak azon különleges erők ügynökeivel szemben, akiknek feladata mindenben összeesküvés-elméleteket látni: ha egy eszköz biztonsági másolatot készít az adatokról jelszó és tulajdonosi beavatkozás nélkül, akkor milyen garanciát kaphatunk arra, hogy ez a másolat nem kerül egy távoli szerverre, ahol hosszabb távon beolvassák, rendszerezik és beépítik a Nagy Testvér memóriájába?

Az egyik olyan változat, amely szilárdan elterjedt a szakértői társadalomban az, hogy az összes kínai mobilgyártó hallgatólagosan követi kormányzatának utasításait, így a tudat szintjén “lyuk” keletkezik. Nincs is más lehetőségük.

Nincs semmi bizonyítékunk ezen elmélet alátámasztására, ahogy az ellenkezőjére sem. De ha Ön érdekelt az adatai biztonságának megőrzésében, akkor inkább olyan gyártót válasszon, aki nem küzd az a priori megszerzett bizalomért.

Jól ismert tény, hogy egy üzletben csak megszámolható dolgok vannak. A jó szándékkal kapcsolatos biztosítékok nem számszerűsíthetők, különösen ha egy kínai matematikai modellről beszélünk.

Vélemény, hozzászólás?

Az email címet nem tesszük közzé.

Iratkozzon fel hírlevelünkre

2018 Aegees Messenger. Minden jog fenntartva.