Статьи в рубрике ‘Разное’

Соответствие нормам безопасного хранения информации защита персональных данных – то, над чем работают практически все производители средств хранения информации. И если в корпоративном сегменте представлены относительно надёжные решения, то рекламным лозунгам «безопасное шифрование AES-256» в накопителях, ориентированных на домашний сегмент, безусловно верить не стоит. Неоднозначная реализация средств защиты, небезопасное хранение ключей, использование псевдослучайных чисел, выбранных из 255 вариантов – лишь немногое из того, с чем нам довелось столкнуться в процессе исследования. В этой статье мы расскажем о том, как и от чего защищает пользовательские данные производитель самых популярных среди домашних и офисных пользователей сетевых хранилищ Synology.

Шифрование в сетевых накопителях (NAS)

Конкуренция среди производителей сетевых хранилищ для домашних пользователей и офисов огромна. Здесь и исключительно популярные модели Western Digital, подкупающие нулевой или отрицательной ценой (NAS со встроенным диском стоит дешевле такого же диска отдельно), и признанные гранды QNAP и Synology, которые берут мощной программной частью и длительной поддержкой, и выступающие с переменным успехом Asustor и Drobo, и даже экзотические для нас Buffalo, Terra Master и Thecus.

В большинстве моделей этих производителей в том или ином виде присутствует шифрование, позволяющее защитить пользовательские данные. Некоторые производители довольно забавно рекламируют возможность шифрования:

От каких угроз способны защитить зашифрованные данные сетевые накопители, насколько серьёзные атаки способны выдержать и как всё-таки добраться до зашифрованных файлов? Попробуем разобраться.

Шифрование в Synology

Все сетевые накопители используют один и тот же алгоритм шифрования AES, как правило, с длиной ключа 256 бит (нам встречались варианты и со 192-битными ключами). Выбор алгоритма вполне логичен: большинство современных наборов микросхем в том или ином виде поддерживает аппаратное ускорение AES или хотя бы набор инструкций, использующихся именно в этом алгоритме. Тем не менее, реальная безопасность зашифрованных таким образом данных разительно отличается в зависимости от реализации.

В некоторых NAS, в которых есть возможность зашифровать данные, используется либо защита всего накопителя целиком (аппаратное шифрование SED на уровне контроллера SATA), либо шифрование тома, расположенного как на одном диске, так и на массиве RAID. В некоторых моделях (например, QNAP), можно активировать оба способа – и это правильно, т.к. позволяет избежать некоторых очевидных атак.

В моделях Synology, предназначенных для серверных стоек, также можно активировать аппаратное шифрование SED. Однако большинство домашних и офисных моделей такой возможности лишены. Вместо этого Synology предлагает использовать шифрование файлов на уровне отдельных сетевых папок.

Шифрование реализовано средствами стандартной для Linux файловой системы eCryptFS, о которой можно почитать здесь или здесь. В сравнении с методами шифрования, основанными на защите целых томов, у такого способа шифрования есть как достоинства, так и недостатки.

В достоинства можно записать следующее:

  1. Поскольку шифруются отдельные сетевые папки, не имеет значения, на каком из внутренних физических или логических накопителей они расположены. А вот шифрование папок на внешних накопителях Synology не поддерживает.
  2. Каждый пользователь может зашифровать свою папку своим собственным паролем. Таким образом, обеспечивается защита и между отдельными пользователями.
  3. Стандартная реализация шифрования позволяет просто скопировать зашифрованную папку, к примеру, на другой накопитель – и данные останутся надёжно зашифрованными. При этом смонтировать и расшифровать такую папку получится стандартными средствами на любом компьютере с Linux.
  4. Шифруются как сами данные, так и имена папок и файлов.

Если у пофайлового шифрования столько достоинств, почему производители корпоративных устройств предпочитают шифровать целые тома? К сожалению, у eCryptFS есть и ряд недостатков, способных серьёзно испортить опыт использования или даже сделать шифрование невозможным.

Шифрование, применяемое к отдельным файлам, не обеспечивает приемлемого уровня безопасности в ряде сценариев. В eCryptFS каждый файл хранится на диске отдельно; соответственно, даже без ключа шифрования легко определить такие вещи, как объём зашифрованных данных, количество файлов и размер каждого файла. Соответственно, к зашифрованным папкам применимы такие атаки, как профилирование по размеру файлов, что позволяет узнать содержимое зашифрованной папки, если размер заданного количества файлов совпадает с размером известных атакующему файлов.

Ещё один популярный сценарий – возможность моментального уничтожения данных на зашифрованном накопителе. Так, если используется зашифрованный том (BitLocker, VeraCrypt, FileVault 2 и т.п.), то пользователю достаточно удалить единственный блок данных, в котором содержатся ключ шифрования данных. После этого все данные на зашифрованном томе становятся перманентно недоступными – даже если взломщику известен пароль. В случае eCryptFS ключи шифрования данных хранятся в заголовке каждого отдельного файла, и их моментальное уничтожение невозможно.

Добавим сюда невозможность сменить пароль шифрования без длительной перешифровки метаданных, и получим классическую странную, непродуманную и небезопасную, зато – бесплатную и не требующую лицензионных отчислений реализацию шифрования.

Однако на этом проблемы eCryptFS не заканчиваются. Кроме ограничений, касающихся безопасности, в eCryptFS есть и чисто функциональные ограничения, основное из которых – ограничение на длину имён файлов. В имени файла в зашифрованной папке не может быть больше 143 символов ANSI или 47 символа иероглифической записи. На этом фоне невозможность использовать NFS с зашифрованными папками уже не удивляет.

Хорошо, об ограничениях eCryptFS поговорили; принципиально это те же ограничения, которые будут у любой другой компании, которая решит сэкономить на проектировании и разработке и использует в недешёвом коммерческом продукте готовое бесплатное решение с открытым исходным кодом. А что насчёт уязвимостей в конкретной реализации от Synology? Они есть, и их больше одной. Но прежде, чем говорить об уязвимостях, рассмотрим механизм управления ключами, реализованный в Synology.

Управление ключами шифрования в Synology DSM

Все сетевые хранилища Synology работают под управлением ОС под названием Disk Station Manager, DSM. Практически все модели компании (по крайней мере, те из них, которые были выпущены в последние 5-6 лет) работают под управлением унифицированной сборки DSM; обновления выходят практически одновременно для всех моделей. На сегодня актуальны сборки DSM 6.2.

Для управления ключами в DSM 6.2 используется утилита Key Manager, основная задача которой – хранение ключей и осуществление возможности автоматического монтирования зашифрованных томов после загрузки устройства.

После создания зашифрованной сетевой папки ключ (файл с расширением .key, представляющий из себя пароль в «обёртке» — практически обфускация) автоматически сохраняется на компьютер пользователя. Этот ключ можно сохранить (например, в зашифрованном архиве), а можно удалить – если пользователь уверен, что никогда не забудет пароль шифрования.

Пользователь может выбрать один из трёх вариантов управления ключами.

  1. Полностью ручное управление. На устройстве Synology пароль не сохраняется (помним при этом о файле с ключом, который был автоматически сохранён на компьютер пользователя). При включении NAS или перезагрузке DSM зашифрованные тома автоматически размонтируются. Для их монтирования нужно будет зайти в администраторский веб-интерфейс, открыть раздел сетевых папок и вручную смонтировать все нужные зашифрованные папки. Для продвинутых пользователей существует неофициальный и недокументированный вариант с удалённым монтированием через SSH, но, полагаю, большинству домашних и офисных пользователей об этом неизвестно.
  2. Двоичный ключ шифрования (“machine key” в терминах DSM) сохраняется на устройстве Synology. Зачем это может понадобиться пользователю? Именно для того, чтобы избежать описанных в первом пункте шагов для монтирования зашифрованного тома! Достаточно поставить галочку в пункте “mount on boot”, и DSM автоматически смонтирует зашифрованную папку при загрузке. Удобно! О безопасности, правда, можно забыть: если и ключ шифрования, и сами данные хранятся на одном и том же устройстве, то их расшифровка тривиальна как в случае анализа устройства целиком, так и при извлечении из него только дисков.
  3. Наконец, реверанс в сторону безопасности: ключ шифрования сохраняется не на самом устройстве, а на внешнем USB накопителе. Более того, ключ шифрования MEK, сохранённый на внешнем USB накопителе можно зашифровать своим собственным паролем (KEK) – и это важный момент, позволяющий использовать сложный случайный набор символов для шифрования собственно файлов. Тем не менее, и для ключей шифрования, сохранённых на USB накопителе, опция “mount on boot” по-прежнему доступна. Это означает, что при активации этой опции пароль шифрования ключа (KEK), который вводит пользователь, сохраняется на устройстве Synology. Отметим и этот момент.Что происходит, если опция “mount on boot” включена, а USB накопитель с ключом вставлен в NAS во время загрузки DSM? Сетевые папки расшифровываются и монтируются автоматически. А если опция “mount on boot” выключена? Тогда не монтируются.Что произойдёт, если вставить USB накопитель с ключом уже после загрузки, когда зашифрованная папка не смонтирована? Автоматически не монтируется, будет предложен выбор из трёх вариантов аутентификации:

Как DSM получает двоичный ключ шифрования для алгоритма AES из пароля пользователя? Пароль шифрования, который указал пользователь, «оборачивается» очередным ключом, который называется “wrapping key”. Именно wrapping key выполняет роль ключа KEK, который должен защитить ключ шифрования данных MEK.

Примерно такую схему я ожидал увидеть при анализе защиты DSM. На самом же деле оказалось, что в DSM (уточню: в тех версиях DSM, которые работают на потребительских моделях Synology, предназначенных для дома и офиса) не используется ничего подобного. Данные, как мы выяснили, шифруются посредством пароля, который устанавливает пользователь. А вот сам пароль шифруется одной единственной жёстко прошитой в систему фразой “$1$5YN01o9y” – аналогом печально известного “default_password”, использующегося при шифровании по методу FDE в Android.

Что даёт такой подход к шифрованию? Во-первых, если пароль шифрования сетевой папки нам известен, расшифровать её содержимое мы можем на абсолютно любом компьютере с Linux, просто вытащив диск из сетевого накопителя. Сложности, связанные с монтированием RAID массива мы оставим в стороне – в конце концов, программы для этого существуют даже для Windows.

Во-вторых, если пользователь сохранил ключ во встроенной утилите Key Manager (а это делают часто, ведь монтирование зашифрованных папок в DSM – процесс небыстрый и не самый удобный), то такой сохранённый ключ тоже шифруется всё тем же wrapping key – теперь можно не только расшифровать данные, но и увидеть сам пароль, который вводил пользователь!

Если ключ шифрования сохраняется на встроенном накопителе, пароль wrapping passphrase сменить нельзя. Этот пароль один и тот же на всех накопителях Synology.

Что получается в результате? При использовании встроенной в DSM утилиты Key Manager уровень защиты данных отрицательный: и данные, и ключ шифрования MEK хранятся на жёстком диске, а ключ KEK фиксированный и нам известен. Соответственно, расшифровать можно не только данные пользователя, но и его пароль – который можно попробовать использовать для расшифровки другой информации по цепочке.

Для лучшего понимания всей глубины проблемы сравним механизм шифрования DSM с тем, что используют компьютеры с Windows. Для защиты данных в Windows используется широко известный и подробно документированный алгоритм BitLocker, которым можно зашифровать системный раздел. Ключ шифрования данных MEK сохраняется в составе контейнера; при этом ключ MEK будет зашифрован ключом KEK, который выдаёт защищённый модуль TPM2.0 (доступны разнообразные политики, позволяющие дополнительно защитить этот ключ PIN-кодом, ключом на флешке или комбинацией этих факторов). Извлечь оттуда этот ключ практически невозможно, проще провести лобовую атаку пароля учётной записи Windows. Таким образом, если мы извлечём из компьютера зашифрованный BitLocker-ом диск, то расшифровать его не удастся даже в том случае, когда используется защита самого начального уровня – BitLocker Device Protection. Для расшифровки потребуется, чтобы диск был установлен в тот самый компьютер с тем самым аппаратным модулем TPM, плюс – пароль от учётной записи пользователя. Просто TPM или просто пароля от учётной записи для расшифровки раздела недостаточно.

Если с защитой данных всё так плохо, то в чём смысл включать шифрование и использовать встроенный Key Manager? Причин несколько.

  1. Peace of mind. Чувство защищённости и спокойный сон очень важны для здоровья. О том, что чувство безопасности – ложное, можно никогда и не узнать.
  2. Безопасная продажа или утилизация работоспособного накопителя. При продаже или утилизации старых дисков потребуется уничтожить данные. Это можно сделать, полностью перезаписав содержимое накопителя, что займёт несколько часов. Но той же цели можно добиться проще и быстрее, просто удалив ключи шифрования из Key Manager. Теперь зашифрованные данные – просто цифровой шум, а диск достаточно заново инициализировать.Обратите внимание: в отличие от защиты BitLocker или VeraCrypt, в которых достаточно удалить единственный ключ шифрования данных, в Synology возможность атаки и восстановления даже удалённых зашифрованных файлов остаётся, и она заметно отлична от нуля. Сценарий «безопасной утилизации» дисков в сетевых накопителях Synology не реализован, и рассчитывать на него нельзя.
  3. Если сохранить ключ не на встроенный, а на внешний USB накопитель, то Key Manager предложит ввести свой собственный пароль для защиты ключа. Теперь для расшифровки дисков потребуется USB накопитель с ключом шифрования. Впрочем, если активирован режим автоматического монтирования томов, то пароль, которым защищён ключ шифрования, будет сохранён на внутреннем накопителе Synology.

Выполнение любого из перечисленных ниже условий делает зашифрованные данные уязвимыми:

  1. Пользователь добавляет ключ в Key Manager, сохраняя его на встроенном накопителе. Положение переключателя “mount on boot” в данном случае значения не имеет.
  2. Пользователь сохраняет ключ на внешнем USB накопителе, и у злоумышленника есть доступ к этому накопителю.
  3. Ключ шифрования автоматически сохраняется на компьютер пользователя при создании зашифрованной сетевой папке. Если злоумышленнику доступен этот ключ, проблемы с расшифровкой данных не будет. Имя файла по умолчанию — <name_of_encrypted_share>.key
  4. Наконец, если злоумышленнику удалось узнать пароль шифрования, то расшифровка данных тривиальна. А вот защититься от неё чрезвычайно сложно: казалось бы, простейшая и привычная смена пароля в Synology превращается в многочасовую операцию по перешифровке метаданных.

Уязвимости и их использование

Итак, подытожим описанное выше. В Synology DSM используется стандартная криптографическая файловая система eCryptFS, при этом шифрование SED (Self-Encrypting Disk) на уровне SATA домашними и офисными устройствами не используется. Ключи шифрования могут сохраняться на встроенный или внешний накопитель. В первом случае ключ шифрования защищается фиксированным паролем; во втором – пароль задаёт пользователь, но этот пароль сохраняется на встроенном накопителе (по крайней мере, если включена опция “mount on boot”).

Уязвимость 1: Отсутствие шифрования SED, а также шифрования на уровне тома, позволяет извлечь диск и изменить пароль от административной учётной записи владельца устройства, просто отредактировав файл с учётными записями.

Уязвимость 2: Если пользователь сохранил ключ шифрования в DSM Key Manager, его можно извлечь и использовать для расшифровки зашифрованных данных. Кроме того, из сохранённого ключа шифрования легко разворачивается и оригинальный пароль, который вводил пользователь при создании зашифрованной сетевой папки.

Уязвимость 3: Все устройства Synology используют фиксированный пароль для шифрования ключа шифрования.

Следующая команда отобразит оригинальный пароль, который вводил пользователь при создании зашифрованной папки:

printf "%s" "\$1\$5YN01o9y" | ecryptfs-unwrap-passphrase keyfile.key -

Здесь “$1$5YN01o9y” – тот самый фиксированный ключ wrapping passphrase, а “keyfile.key” – зашифрованный ключ шифрования данных MEK.

Узнав пароль, можно смонтировать зашифрованную папку на любом компьютере с Linux. То же самое можно сделать и одной командой посредством файла с ключом шифрования:

mount -t ecryptfs -o key=passphrase,ecryptfs_cipher=aes,ecryptfs_key_bytes=32,ecryptfs_passthrough=no,ecryptfs_enable_filename_crypto=yes,passwd=$(printf "%s" "\$1\$5YN01o9y" | ecryptfs-unwrap-passphrase /path/to/keyfile.key -) /path/to/encrypted/folder /path/to/mountpoint

Пути /path/to/keyfile.key, /path/to/encrypted/folder и /path/to/mountpoint нужно заменить на фактически используемые. Физически зашифрованное содержимое сетевых папок DSM сохраняет в следующей коннотации:

/Volume<N>/@<name_of_encrypted_share@

В примере выше путь будет таким:

/Volume1/@Encrypted_Share@

Статьи по теме:

  • How To Recover Synology encrypted folders in Linux (Robert Castle)
  • How to decrypt ecryptfs file with private key instead of passphrase (slackexchange)
  • Automatically mounting encrypted folders (на немецком) (synology-forum.de)
  • Script: Decrypt encrypted folders via keyfile (.key) (на немецком) (synology-forum.de)

Если пользователь сохранил ключ на внешнем USB накопителе, DSM запросит ввести пароль для шифрования этого ключа.

Если пользователь настроит сетевую папку таким образом, чтобы она автоматически подключалась после загрузки устройства, то этот пароль сохраняется на внутреннем накопителе. Пароль можно извлечь и использовать для доступа к данным.

Наконец, если пользователь ни в каком виде не сохранил ключ шифрования в Key Manager, то данные в относительной безопасности. «Относительной» потому, что средняя энтропия пользовательских паролей значительно ниже энтропии 256-битного ключа шифрования AES. Атаки на пароли именно этого типа существуют давно, отлично оптимизированы и работают чрезвычайно быстро (в отличие, например, от атак на ключи BitLocker или документы, созданные в Microsoft Office 2016, которые при прочих равных работают значительно медленнее). Никто не отменял и человеческий фактор (1, 2, 3 и 4), который также может использоваться для взлома таких паролей.

Заключение

Данные расшифрованы, всё пропало? Реальная безопасность «непробиваемого» шифрования в Synology оказалась ниже ожидаемой в силу отсутствия каких-либо аппаратных механизмов обеспечения безопасности и сомнительного выбора базовой платформы. Для обеспечения безопасности ключей шифрования в iOS используется Secure Enclave, в Windows – TPM2.0, в устройствах с Android – TrustZone. В домашних и офисных моделях Synology не используется ничего из вышеперечисленного, хотя даже в SoC Realtek RTD1296, на которой основаны младшие модели Synology DS118, DS218Play и DS218, поддержка ARM TrustZone есть. Роль аппаратного модуля безопасности выполняет фиксированная фраза “$1$5YN01o9y” – аналог “default_password” в старых версиях Android.

Выбор средств защиты данных – всегда компромисс между удобством и безопасностью. И если в Windows, Android и iOS мы получаем стойкую защиту зашифрованных файлов, которую не удалось пробить даже эксплуатации уязвимости на уровне загрузчика, то у пользователей Synology выбор простой: или относительно безопасно, но неудобно (сетевые папки монтировать каждый раз вручную, через веб-интерфейс, вводя каждый раз более или менее стойкий пароль шифрования), или удобно, но с нулевым уровнем безопасности. Компромиссным решением будет хранение ключа шифрования на подключаемой к устройству флешке, которую можно вставлять в процессе загрузки и физически извлекать из накопителя после её завершения.

Сообщения о взломах, утечках паролей, украденных, уничтоженных или зашифрованных файлах давно не способны удивить. Можно ли защитить свои данные от подобных угроз, и что нужно делать? Достаточно ли зашифровать информацию «неуязвимым шифрованием» AES с 256-битным ключом, которое «надёжно защитит от хакеров»? Наш опыт позволяет утверждать, что шифрование данных само по себе способно защитить лишь от узкого спектра угроз – и совершенно неэффективно против взломов, утечек, воровства, уничтожения или шифрования файлов с целью вымогательства. В этой статье рассказывается о том, от каких угроз и какими способами может защитить свои файлы обычный пользователь.

Откуда исходит опасность?

Прежде, чем предпринимать какие-либо меры по защите системы и файлов, нужно понять, от каких именно угроз вы собираетесь строить защиту. Защита от зловредного программного обеспечения и вымогателей-шифровальщиков работает не так, как защита файлов в случае кражи компьютера, которая, в свою очередь, недостаточна для защиты действительно важных данных. Однако некоторые меры безопасности необходимо предпринять в любом случае, и речь сейчас совершенно не об установке широко разрекламированного антивируса или не менее разрекламированного сервиса VPN.

Шифрование диска: защита системного раздела BitLocker

Шифрование загрузочного раздела – та самая «неуязвимая защита», которая, по утверждению многих компаний, «надёжно защитит ваши данные от хакеров».

На самом же деле шифрование само по себе не способно защитить ваши данные ни от вирусов, ни от хакеров – по крайней мере, если вы хотя бы время от времени обращаетесь к зашифрованным данным.

И тем не менее, зашифровать загрузочный раздел встроенной в Windows утилитой BitLocker совершенно необходимо; просто защита эта – вовсе не от хакеров и не от вирусов-шифровальщиков. От чего же защитит шифрование диска?

  • Доступность: Windows 10 Professional и выше; требуется наличие модуля TPM0, подсистемы Intel PTT или, если нет ни одного из них, редактирование групповых политик Windows. Шифрование device encryption доступно во всех редакциях Windows, работающих на многих субноутбуках и планшетах (к примеру, Microsoft Surface).
    • Обратите внимание: Windows 10 Home не может создавать зашифрованные разделы или шифровать диски. В то же время в ней можно монтировать уже зашифрованные диски без каких-либо ограничений.
  • Защита от физического доступа к диску, извлечённому из компьютера: максимальная
  • Защита от физического доступа к самому компьютеру: зависит от ряда условий
  • Другие локальные пользователи компьютера: отсутствует
  • Зловредное ПО, вирусы-шифровальщики: отсутствует
  • Дистанционный взлом: отсутствует
  • Сценарии использования: защита данных в случае кражи жёсткого диска или всего устройства; мгновенное уничтожение доступа к данным при продаже жёсткого диска или его отправке в мастерскую для гарантийного ремонта.

Шифрование – это сложно? Долго? Замедляет доступ к данным? Ответ во всех случаях отрицательный. Чтобы включить шифрование BitLocker, достаточно иметь компьютер с Windows 10 Professional или Enterprise, который будет оборудован или модулем TPM2.0 (они встречаются нечасто), или программным эмулятором Intel Platform Trust Technology (его нужно будет включить в BIOS). Далее откройте Панель управления и запустите апплет BitLocker Drive Encryption.

Детальное исследование BitLocker выходит далеко за рамки этой статьи, поэтому заинтересовавшихся читателей приглашу ознакомиться с нашей статьёй Introduction to BitLocker: Protecting Your System Disk. В этой статье, в частности, рассказывается о том, как включить BitLocker, если нет ни TPM2.0, ни Intel PTT.

Если вы – пользователь ультралёгкого ноутбука, то ваш системный раздел может быть уже зашифрован, даже если на нём установлена Windows 10 Home. Шифрование BitLocker Device Encryption применяется автоматически, если ваша административная учётная запись привязана к учётной записи Microsoft Account (а не создана в качестве локальной).

От чего защитит шифрование системного раздела? В первую очередь – от физического копирования данных при извлечении диска любой природы (HDD, SSD, NVME) из компьютера. Обратите внимание: если диск извлекли из компьютера, то расшифровать защищённый раздел злоумышленнику не удастся, даже если ему известен ваш пароль. Для расшифровки потребуется длинный двоичный ключ BitLocker Recovery Key (который, кстати, может сохраняться в учётной записи Microsoft Account; если злоумышленнику станет известен пароль от неё, то и извлечение этого ключа не составит проблемы).

Во вторую – от несанкционированного доступа к данным, если украден весь компьютер или ноутбук целиком. Стойкость защиты в этом случае зависит от таких факторов, как возможность угадать ваш пароль или извлечь из компьютера образ оперативной памяти. Так, BitLocker уязвим перед следующими векторами атак:

  1. Снятие образа оперативной памяти и поиск ключей шифрования, в том числе через порты Thunderbolt или посредством атаки cold boot attack.
  2. Перебор или извлечение пароля от вашей учётной записи Windows (извлечь пароль можно, к примеру, из облака Google account, если вы сохранили в нём пароль от учётной записи Microsoft и использовали её для входа в компьютер).
  3. Obtaining your BitLocker Recovery Key from your Microsoft Account or Active Directory.

А вот от каких-либо дистанционных или вирусных атак BitLocker не защитит: если вы сумели войти в систему, значит, содержимое зашифрованного раздела уже доступно для чтения и записи. Точно так же BitLocker не защитит и от других пользователей, которым вы разрешили доступ к компьютеру.

Дополнительная информация: BitLocker recovery guide

Ещё о шифровании: защита внешних накопителей

BitLocker – прекрасное решение для защиты системного раздела, но его роль этим не ограничивается. Если ваша редакция Windows поддерживает BitLocker, то вы сможете использовать его для шифрования других встроенных дисков, а также внешних накопителей USB (флешки, внешние жёсткие диски и т.п.)

Для шифрования внешних устройств предусмотрен режим BitLocker To Go. В отличие от защиты системного раздела, шифрование BitLocker To Go основано на пароле. Вы можете использовать любой пароль (желательно, чтобы он не совпадал ни с одним из используемых вами паролей, особенно – с паролем от учётной записи Windows). Для удобства вы сможете сделать так, что зашифрованные внешние накопители будут монтироваться на вашем компьютере автоматически (без запроса пароля). С одной стороны, это несколько снижает безопасность, когда у злоумышленника есть доступ не только к зашифрованному накопителю, но и к вашему компьютеру. С другой – если речь о зашифрованной флешке, которую вы потеряли в поездке, то данным ничего не угрожает (если пароль стойкий и неизвестен злоумышленнику).

  • Доступность:
    • Создание зашифрованного накопителя: Windows 10 Professional и выше
    • Доступ к уже зашифрованным накопителям: любые редакции Windows 10 без каких-либо ограничений
  • Защита от физического доступа к устройству, извлечённому из компьютера: зависит от стойкости выбранного пароля
  • Защита от физического доступа к самому компьютеру: аналогично предыдущему разделу
  • Другие локальные пользователи компьютера: зависит от того, было ли смонтировано устройство
  • Зловредное ПО, вирусы-шифровальщики: зависит от того, было ли смонтировано устройство (отсутствует, если устройство подключено и смонтировано)
  • Дистанционный взлом: зависит от того, было ли смонтировано устройство (отсутствует, если устройство подключено и смонтировано)
  • Сценарии использования: защита данных на внешних накопителях в случае кражи или потери; мгновенное уничтожение доступа к данным при продаже устройства или отправке в ремонт.

В отличие от защиты системного раздела, BitLocker To Go does не поддерживает многофакторную аутентификацию (TPM+PIN и подобные схемы). Соответственно, модуль TPM не может быть использован для дополнительной защиты.

Шифрование сторонними утилитами

Если ваша редакция Windows не поддерживает BitLocker, вы можете воспользоваться одной из альтернативных утилит. В частности, высочайший уровень защиты обеспечивает бесплатная утилита с открытым исходным кодом VeraCrypt.

  • Доступность: все версии Windows 10 (а также более старые ОС)
  • Защита от физического доступа к устройству, извлечённому из компьютера: высокая; зависит от стойкости выбранного пароля
  • Защита от физического доступа к самому компьютеру: так же или выше, чем у BitLocker (зависит от настроек)
  • Другие локальные пользователи компьютера: зависит от того, было ли смонтировано устройство
  • Зловредное ПО, вирусы-шифровальщики: зависит от того, было ли смонтировано устройство (отсутствует, если устройство подключено и смонтировано)
  • Дистанционный взлом: зависит от того, было ли смонтировано устройство (отсутствует, если устройство подключено и смонтировано)
  • Сценарии использования: защита данных в случае извлечения накопителя; мгновенное уничтожение доступа к данным при продаже накопителя или отправке в ремонт.

Правильно настроить VeraCrypt сложнее, чем BitLocker, а обсуждение этих настроек выходит далеко за рамки данной статьи. Я подробно описал особенности защиты VeraCrypt в статье

Как укрепить «Веру». Делаем шифрованные контейнеры VeraCrypt неприступными, опубликованной в журнале «Хакер».

Шифрование средствами файловой системы (EFS)

Согласно Википедии, Encrypting File System (EFS) — система шифрования на уровне файлов, предоставляющая возможность «прозрачного шифрования» данных, хранящихся на разделах с файловой системой NTFS, для защиты потенциально конфиденциальных данных от несанкционированного доступа при физическом доступе к компьютеру и дискам.

Описание сколь точное, столь и бесполезное, не объясняющее того, для кого, а главное – в каких ситуациях предназначена EFS, а также от каких именно угроз она способна уберечь.

  • Доступность: все версии Windows 10 (а также более старые ОС), за исключением редакции Home
  • Защита от физического доступа к устройству, извлечённому из компьютера: высокая; зависит от стойкости пароля к учётной записи Windows
  • Защита от физического доступа к самому компьютеру: аналогично предыдущему
  • Другие локальные пользователи компьютера: эффективная защита
  • Зловредное ПО, вирусы-шифровальщики: данные других пользователей компьютера защищены от извлечения, но не от уничтожения или шифрования; данные текущего пользователя не защищены
  • Дистанционный взлом: аналогично предыдущему
  • Сценарии использования: защита данных в случае, когда компьютером пользуется несколько человек; защита от кражи информации, если взломана одна из других учётных записей на том же физическом компьютере; эффективный дополнительный уровень защиты от физического доступа, если используется шифрование системного раздела BitLocker.

Как видно из приведённой выше таблицы, шифрование файлов средствами EFS максимально эффективно для защиты файлов и документов между разными пользователями одного и того же компьютера. Даже если у одного из пользователей компьютера есть административные привилегии, он не сможет прочитать зашифрованные данные, даже если сбросит пароль другого пользователя. Впрочем, удалить или зашифровать защищённые EFS файлы ему удастся.

В чём разница между EFS и BitLocker, и какую из этих технологий имеет смысл использовать?

BitLocker защищает целый раздел. Если вашим компьютером пользуется (имеет учётные записи) несколько человек, каждый из них сможет получить доступ к данным. Если один из пользователей имеет административные привилегии, он сможет прочитать любые файлы любого другого пользователя.

EFS защитит только те папки и файлы, для которых пользователь указал соответствующий атрибут. В то же время прочитать зашифрованные файлы сможет только сам пользователь (или тот, кому известен его пароль); другие пользователи, даже администраторы, прочитать зашифрованные файлы не смогут.

В случае кражи устройства или извлечения диска первой линией обороны становится BitLocker. Если злоумышленнику удастся преодолеть этот рубеж, ему придётся взламывать ещё и шифрование EFS. В то же время рассчитывать исключительно на EFS (без BitLocker) в качестве защиты от физического доступа не стоит: BitLocker предлагает защиту длинным и стойким аппаратным ключом (конфигурация TPM/Intel PTT), в то время как файлы, зашифрованные EFS, защищены лишь паролем от учётной записи.

Как включить шифрование EFS? Проще простого. Выберите файл или папку, которую хотите защитить, и кликните по ней правой кнопкой мыши. В меню выберите Properties, затем Advanced во вкладке General. В Advanced Attributes выберите опцию Encrypt contents to secure data и кликните OK.

На том – всё: Windows зашифрует файлы в фоновом режиме.

У использования EFS есть один недостаток. Если вы забудете пароль от учётной записи или вам придётся его сбросить, вы потеряете доступ к зашифрованным файлам. Для восстановления доступа рекомендуем воспользоваться утилитой Elcomsoft Advanced EFS Data Recovery, для работы которой вам потребуется указать тот пароль от учётной записи, который использовался до сброса.

Обратите внимание: менять пароль от учётной записи штатным образом (через соответствующий диалог в Windows) вы можете без ограничений; система автоматически и моментально перешифрует все необходимые ключи.

Защита важных документов

Итак, два слоя защиты мы уже рассмотрели: это шифрование загрузочного раздела посредством BitLocker и шифрование папок с файлами или отдельных файлов средствами EFS. Эти уровни отлично защитят от ряда угроз, но совершенно не справятся с другими. И BitLocker, и EFS оказываются бессильными, если на ваш компьютер производится дистанционная атака, устанавливается зловредное программное обеспечение или троян-шифровальщик. Это нормально: описанные выше технологии и не предназначены для защиты от такого рода угроз.

Защититься от кражи конфиденциальной информации как на вашем компьютере, так и в момент пересылки поможет шифрование самих документов средствами Microsoft Office.

Шифрование отдельных документов – важная часть многоуровневой стратегии безопасность. Шифрование не защитит документы от удаления зловредным ПО или перешифровки трояном-вымогателем. Однако доступа к информации, которая содержится в зашифрованных документах, ни вирус, ни троян-шифровальщик, ни хакер не получат. Разумеется, лишь в том случае, если для защиты вы использовали стойкий, а главное – уникальный пароль, который не сохранялся, не пересылался и не использовался где-либо ещё. (Если вы отправили пароль по почте или через программу мгновенного обмена сообщениями – забудьте всё, что было написано выше: никакой защиты более нет до тех пор, пока вы не сохраните документ с новым паролем.)

  • Доступность: все версии Microsoft Office
  • Степень защиты: сильная зависимость как от пароля, так и от версии Microsoft Office и формата файла, в котором сохранён документ. Максимальная степень защиты с современными (Office 2013 и более новыми) версиями Office при использовании форматов .DOCX, .XLSX и т.д. (в отличие от старых форматов .DOC, .XLS, степень защиты которых низкая).
  • Защита от физического доступа к устройству, извлечённому из компьютера: аналогично предыдущему
  • Защита от физического доступа к самому компьютеру: аналогично предыдущему
  • Другие локальные пользователи компьютера: аналогично предыдущему
  • Зловредное ПО, вирусы-шифровальщики: содержимое документов защищено от несанкционированного доступа, но не от уничтожения или шифрования
  • Дистанционный взлом: аналогично предыдущему
  • Сценарии использования: защита важных данных, которые хранятся в таблицах и документах Microsoft Office; защита данных не только на компьютере пользователя, но и во время пересылки.
  • Как включить шифрование: Защита документов паролем

Что выбрать между шифрованием EFS и защитой документов паролем? Эти виды защиты покрывают разные сценарии использования. EFS – совершенно прозрачная защита всей папки с документами. Стоит вам войти в систему, и вы сможете пользоваться любыми защищёнными документами без ввода дополнительных паролей. Стоит злоумышленнику узнать пароль от вашей учётной записи Windows, и он сможет получить доступ ко всем защищённым EFS файлам.

В то же время шифрование средствами Microsoft Office потребует от вас сознательных усилий. Вам придётся вводить пароль каждый раз при открытии документа. Однако защищённые таким образом документы злоумышленнику потребуется взламывать по одному, а степень защиты у Microsoft Office может быть очень высокой.

Особенности шифрования документов

Шифрование документов в Microsoft Office имеет ряд особенностей, полное описание которых выходит за рамки данной статьи. Однако коротко перечислить все пункты необходимо во избежание ошибок.

  1. Стойкость защиты зависит от версии Microsoft Office, которая сохранила документ или таблицу. Полный обзор безопасности шифрования в разных версиях офисных приложений приводится в статье Microsoft Office encryption evolution: from Office 97 to Office 2019. В целом же использование относительно свежей (всего восьмилетней давности) пакета Office 2013 (и, разумеется, любых более новых версий) отлично обезопасит ваши документы.
  2. Не менее важен и формат файла, в котором вы будете сохранять документ. Даже сегодня, в 2020 году, нам часто присылают документы в устаревших форматах .DOC/.XLS (с точки зрения отправителя – «совместимых»; вероятно, нас подозревают в пользовании программ 17-летней давности). Проблема с этими форматами в том, что их безопасность заморожена на уровне 17-летней давности; взломать их защиту не составит большого труда. Если вы до сих пор сохраняете документы в «режиме совместимости» — откажитесь от этой практики и перейдите на «новый», 13-летней давности формат .DOCX/.XLSX.
  3. Степень защиты зависит от стойкости и уникальности пароля. Если вы используете один и тот же пароль для защиты как документов, так и чего-то другого, взломав «что-то другое», злоумышленник получит доступ и к вашим зашифрованным документам.
  4. Если вы хотя бы раз переслали пароль по email или через программу мгновенного обмена сообщениями, считайте и этот пароль, и переданный документ скомпрометированными. Взлом почтового ящика, вашего компьютера или удалённого сервера позволят злоумышленнику получить доступ к зашифрованной информации.

Защита архивов и резервных копий

О том, что резервные копии делать необходимо, говорят все. О том, что их необходимо защищать, обычно не говорят совсем. Подумайте о том, что резервная копия содержит все те файлы и всю ту информацию, которую вы хотели бы защитить на компьютере, но готовы сохранить в виде обычного, незашифрованного файла.

При создании резервных копий используйте следующие рекомендации.

  1. Сохраняйте резервные копии на устройствах (встроенных или внешних накопителях), защищённых BitLocker. Напомню, что никаких дополнительных неудобств это не несёт: вы можете настроить защиту BitLocker таким образом, чтобы Windows автоматически монтировала накопитель, если вы вошли в систему. Использование BitLocker защитит ваши резервные копии даже если программа резервного копирования не поддерживает шифрования. Обратите внимание: если вам придётся восстанавливать систему из образа резервной копии, Windows 10 корректно смонтирует защищённый BitLocker накопитель. Для монтирования внешних устройств (BitLocker To Go) вам потребуется только пароль, а для доступа к встроенным дискам – длинный двоичный BitLocker Recovery Key (обычно Windows предлагает сохранить его в учётной записи Windows Account при создании зашифрованного тома).
  2. Если вы используете для создания резервных копий программу, которая поддерживает шифрование – задайте пароль и используйте шифрование. Обратите внимание: утилита, вероятно, сохранит ваш пароль в системе (чтобы не запрашивать пароль каждый раз при создании резервной копии). Не используйте этот пароль повторно для защиты других типов данных.

Одним из распространённых инструментов частичного резервного копирования являются привычные всем утилиты-архиваторы: WinZip, 7Zip, WinRar и подобные. Все эти утилиты предлагают возможность шифрования содержимого резервных копий паролем. Стойкость шифрования у разных утилит различается, но общий уровень защиты достаточно высок. Использование стойкого, уникального пароля, составленного как минимум из 8 символов (желательно использовать буквы, цифры и специальные символы и не использовать слова из словаря) защитит архив в достаточной мере. Если же вы разместите архивы на накопителе, зашифрованном посредством BitLocker, то данные будут надёжно защищены.

Обратите внимание: стойкость шифрования архивов ZIP/7Z/RAR существенно ниже, чем стойкость BitLocker или документов Office 2013 (и более новых). Не используйте один и тот же пароль для шифрования архивов и других типов данных.

Дополнительная информация:

Безопасность в облаке: личное хранилище OneDrive Personal Vault

Хранение документов в облаке OneDrive – отличный вариант резервного копирования и синхронизации данных. Безопасность приватных данных в облаке можно обеспечить шифрованием отдельных документов. Однако OneDrive предлагает и ещё один, дополнительный уровень безопасности: Личное хранилище OneDrive.

Что такое «личное хранилище OneDrive»? На сайте Microsoft даётся предельно косноязычное описание: «Личное хранилище в OneDrive защищено проверкой личности, чтобы вы могли хранить свои самые конфиденциальные файлы в облаке, не теряя удобства повсеместного доступа.»

Думаю, стоит пояснить. Личное хранилище – это ещё одна, особая папка в OneDrive, доступ к которой дополнительно защищён. Что значит «дополнительно защищён»? Чтобы зайти в эту папку, потребуется ввести пароль и пройти проверку двухфакторной аутентификации (например, подтвердив push-уведомление в приложении Microsoft Authenticator, установленном на вашем смартфоне). Да, это необходимо будет делать каждый раз, когда вы захотите получить доступ к папке «личного хранилища»: доступ к папке автоматически блокируется спустя короткое время (порядка 15 минут) после того, как вы перестанете ей пользоваться. Однако огромный плюс этого решения в том, что никто другой (ни дистанционный взломщик, ни сетевой пользователь, ни троян-шифровальщик, ни даже злоумышленник, укравший ваш пароль от Windows) не сможет получить доступ к файлам, которые хранятся в папке «личного хранилища».

В то же время дополнительная проверка – это дополнительное неудобство; защищать таким образом все документы вы вряд ли захотите. «Личное хранилище OneDrive» — прекрасный дополнительный уровень защиты для документов, которым такая защита необходима. Примеры таких данных – секретные QR-коды для инициализации двухфакторной аутентификации, ключи восстановления доступа к зашифрованным дискам BitLocker и подобные вещи.

Насколько серьёзна защита «личного хранилища» и как сильно она повышает безопасность? Решение OneDrive Personal Vault появилось совсем недавно; независимых исследований его безопасности не проводилось. Мы будем внимательно следить за состоянием дел в этой области и опубликуем статью, как только нам станет известно больше.

  • Доступность: все редакции Windows с последней версией приложения OneDrive
  • Защита от физического доступа к устройству, извлечённому из компьютера: не тестировалось
  • Защита от физического доступа к самому компьютеру: не тестировалось
  • Другие локальные пользователи компьютера: эффективная защита
  • Зловредное ПО, вирусы-шифровальщики: не тестировалось
  • Дистанционный взлом: эффективная защита
  • Сценарии использования: защита особо важных, но редко используемых данных (ключи восстановления доступа к зашифрованным дискам, коды инициализации приложений двухфакторной аутентификации и т.п.)

Наша рекомендация: если вы храните в облаке OneDrive такие вещи, как ключи восстановления доступа или списки паролей в таблице, переместите их в «личное хранилище». Оно обеспечит эффективный дополнительный уровень безопасности против целого ряда угроз.

Защита от шифровальщиков-вымогателей

В последнем разделе статьи я хочу рассказать об одном из максимально эффективных способов защиты от вирусов-шифровальщиков.

Что такое шифровальщик? Этим термином (другие названия – вирус-вымогатель, ransomware) обозначают класс зловредного программного обеспечения, который, проникнув на компьютер, зашифровывает данные пользователя собственным ключом. После того, как данные будут зашифрованы, программа блокирует работу компьютера или выводит окно, в котором от пользователя требуют заплатить выкуп. Как правило, вымогатели требуют немедленно перевести сумму в криптовалюте, угрожая удвоить сумму спустя сутки, а через два дня – полностью уничтожить данные. Программы-вымогатели несут серьёзный риск для домашних пользователей и представляют проблему как для частных компаний, так и для государственных учреждений. Вирусы-вымогатели уже использовались злоумышленниками для того, чтобы вывести из строя госпитали и образовательные учреждения.

Защититься от вирусов-вымогателей достаточно сложно. Классическая антивирусная защита способна определить и справиться с уже существующими угрозами, но не дают гарантии эффективной защиты против новых поколений зловредного ПО. Производители операционных систем (пока – только Microsoft) и облачных сервисов (пока – тоже только Microsoft) начали добавлять дополнительные уровни обороны, нацеленные именно на защиту от вымогателей-шифровальщиков.

Первый уровень защиты – встроенный в Windows 10 режим управляемого доступа к папкам. Управляемый доступ к папкам позволяет защитить ценные данные от вредоносных приложений и угроз; в частности – от вирусов-шифровальщиков. По утверждению компании, эта технология позволяет эффективно защитить систему не только от известных уязвимостей, но также от неизвестных, то есть 0day.

Включить управляемый доступ к папкам можно следующим образом:

Подробнее об этом режиме можно узнать по ссылкам:

Управляемый доступ к папкам обладает следующими свойствами.

  • Доступность: все редакции Windows 10 Fall Creators Update и более новые
  • Защита от физического доступа к устройству, извлечённому из компьютера: нет
  • Защита от физического доступа к самому компьютеру: нет
  • Другие локальные пользователи компьютера: нет
  • Зловредное ПО, вирусы-шифровальщики: достаточно эффективна в качестве первого (но не единственного) уровня защиты
  • Дистанционный взлом: нет
  • Сценарии использования: защита отдельных папок (документы, фотографии, другие данные пользователя) от вирусов-шифровальщиков, троянов и других видов зловредного ПО

Рекомендуем обязательно включить режим управляемого доступа для защиты папок с документами, фотографиями и другими важными данными.

Второй уровень защиты от вымогателей: восстановление файлов

Борьба с вымогателями ведётся с переменным успехом. Даже использование управляемого доступа к папкам не даст абсолютной гарантии защиты. Что делать, если вирусу-вымогателю всё же удалось проникнуть на ваш компьютер и зашифровать папку с документами? Разумеется, пользователи, которые в прошлом уже подвергались атакам, создают резервные копии. Однако у подавляющего большинства пользователей резервных копий или нет совсем, или они утратили актуальность. Как раз для таких пользователей и предназначена защита от вымогателей, предоставляемая компанией пользователям облачного хранилища OneDrive в рамках подписки на пакет Microsoft Office 365.

Защита файлов в OneDrive от вымогателей-шифровальщиков включается и работает полностью автоматически у всех подписчиков Office 365; от вас не требуется никаких действий. Если зловредное ПО удалит или зашифрует файлы, синхронизированные с облаком OneDrive, система уведомит об этом пользователя и предложит откатить изменения, восстановив таким образом уничтоженные или зашифрованные данные.

  • Доступность: подписчикам Office 365, использующим OneDrive
  • Защита от физического доступа к устройству, извлечённому из компьютера: нет
  • Защита от физического доступа к самому компьютеру: нет
  • Другие локальные пользователи компьютера: нет
  • Зловредное ПО, вирусы-шифровальщики: чрезвычайно эффективна в качестве пассивной защиты и своеобразной страховки, позволяя восстановить оригинальные версии файлов уже после того, как их удалит или уничтожит зловредное ПО
  • Дистанционный взлом: нет
  • Эффективность защиты: чрезвычайно эффективна
  • Сценарии использования: защита облачных данных (любые данные, которые синхронизируются с OneDrive) и возможность восстановления оригинальных файлов после работы вирусов-шифровальщиков, троянов и других видов зловредного ПО

Если вы – пользователь Dropbox, то ваши файлы защищены системой Dropbox Rewind, которая работает похожим образом. Для её использования вы должны быть подписчиком уровня Plus или Professional.

«Холодные» резервные копии

Если вы относитесь к той немногочисленной категории пользователей, которая всё-таки создаёт резервные копии, обратите внимание на то, каким именно образом вы храните копии данных. Стандартной практикой является регулярное создание так называемых «горячих» резервных копий (инкрементные копии с системой версий, позволяющие восстановить одну из предыдущих версий файла; создаются автоматически по расписанию, сохраняются на всегда доступное подключённое устройство). В то же время рекомендуется периодическое создание полных резервных копий данных, которые постоянно хранятся на физически отключённом устройстве – например, портативном жёстком диске. Хранение «холодной» резервной копии на обесточенном, не подключённом к компьютеру накопителе позволит уберечься от любых угроз, связанных со взломом вашего компьютера.

Дополнительно:

  • Использование истории файлов для резервного копирования и восстановления в Windows 10 (Microsoft)

Заключение

В одной статье невозможно подробно описать все угрозы и способы защиты. На рынке присутствуют специализированные пакеты, разработчики которых обещают эффективную защиту от одного или нескольких типов угроз. К сожалению, использование даже самого лучшего пакета программ не заменит необходимости следовать правилам элементарной цифровой гигиены – тем самым правилам, которые и были изложены в этой статье.

В устройствах Apple, работающих под управлением операционной системы iOS (а это – и смартфоны iPhone, и планшеты iPad, и даже приставки Apple TV и часы Apple Watch) встроен ряд специальных режимов, представляющих особый интерес для специалистов, работающих в области мобильной криминалистики. Использование таких режимов, как режим восстановления (recovery mode) и режим обновления прошивки (DFU) позволяет как извлекать информацию, так и взламывать некоторые устройства. Специальный режим экстренного вызова SOS, напротив, способен затруднить работу специалиста. Сегодня мы расскажем о том, как работают, для чего используются и как могут повлиять на работу специалиста режимы обновления прошивки, восстановления и экстренного вызова.

Режим восстановления: recovery mode

Режим восстановления (в англоязычных источниках – iOS recovery mode) – самый простой для понимания. Согласно информации Apple, этот режим используется для восстановления доступа к устройству через компьютер (имеется в виду приложение iTunes) в случае, когда что-то пошло не так.

Данный режим имеет смысл использовать в следующих ситуациях:

  • Компьютер не распознает устройство или сообщает, что оно находится в режиме восстановления.
  • Устройство не загружается. На экране уже несколько минут отображается логотип Apple без индикатора хода выполнения или отображается экран режима восстановления. Такая ситуация довольно часто встречается при попытке обновить устройство при недостатке свободного места или при обновлении устройства, работающего на очень старой версии iOS. Так, недавно нам принесли устройство, пользователь которого попытался обновить на актуальную версию iOS3 телефон iPhone 7, всё это время проработавший на iOS 9.
  • Пользователь забыл код блокировки и хочет сбросить устройство к заводским настройкам. При этом будет активирована защита в виде iCloud lock: для активации устройства потребуется ввести пароль от учётной записи Apple ID, к которой было привязано устройство перед сбросом.

Перевод устройства в режим восстановления

В отличие от режима DFU, режим восстановления отлично документирован. Для перевода устройства в этот режим необходимо выполнить принудительную перезагрузку, после чего выполнить следующие действия.

  1. Принудительно перезагрузите подключенное устройство, следуя инструкциям. Не отпускайте кнопки, когда появится логотип Apple, — дождитесь, пока откроется экран режима восстановления.
  2. На моделях iPad с Face ID: нажмите и быстро отпустите кнопку увеличения громкости. Нажмите и быстро отпустите кнопку уменьшения громкости. Нажмите верхнюю кнопку и удерживайте ее, пока устройство не начнет перезагружаться. Продолжайте удерживать верхнюю кнопку, пока устройство не перейдет в режим восстановления.
  3. На iPhone 8 или более поздних моделей: нажмите и быстро отпустите кнопку увеличения громкости. Нажмите и быстро отпустите кнопку уменьшения громкости. Затем нажмите и удерживайте боковую кнопку, пока не появится экран режима восстановления.
  4. На iPhone 7, iPhone 7 Plus и iPod touch (7-го поколения): одновременно нажмите и удерживайте верхнюю (или боковую) кнопку и кнопку уменьшения громкости. Продолжайте удерживать их, пока не появится экран режима восстановления.
  5. На iPad с кнопкой «Домой», iPhone 6s или более ранних моделей и iPod touch (6-го поколения) или более ранних моделей: нажмите и удерживайте одновременно кнопку «Домой» и верхнюю (или боковую) кнопку. Продолжайте удерживать их, пока не откроется экран режима восстановления.

 

(Источник: https://support.apple.com/ru-ru/HT201263)

Для чего используется режим восстановления

Режим восстановления (recovery mode) может быть использован в следующих целях.

  1. Переустановка или обновление iOS (установить можно только актуальную версию iOS, которая подписывается Apple на момент установки). Как правило, данные пользователя при этом сохраняются.
  2. Переход с бета-версии на актуальную версию iOS. В этом случае данные сохраняются не всегда.
  3. Сброс устройства. Часто используется пользователями, которые забыли пароль, а также пользователями, устройство которых заблокировано с индикацией «Подключите устройство к iTunes». Данные пользователя также будут сброшены.
  4. Частичное извлечение данных через режим recovery mode. Для работу потребуется свежая версия iOS Forensic Toolkit (EIFT10 или более новая).

Данные, которые можно извлечь в режиме восстановления

Режим восстановления позволяет извлечь лишь ограниченное количество информации об устройстве. Доступны следующие данные:

Device Model: iPhone8,1
Model: n71map
ECID: XXXXXXXXXXXXXXXX
Serial Number: XXXXXXXXXXX
IMEI: XXXXXXXXXXXXXXX
MODE: Recovery

Пояснения:

  • Device model и Model: идентификация модели устройства в двух разных представлениях. К примеру, iPhone7,2 (n61ap), iPhone10,6 (d221ap) и т.п.
  • ECID (UCID): XXXXXXXXXXXXXXXX. Идентификатор ECID (Exclusive Chip Identification) или Unique Chip ID (UCID) уникален для каждого конкретного устройства (а точнее, установленного в нём процессора).
  • Serialnumber: серийный номер устройства в формате XXXXXXXXXXX (или N/A)
  • IMEI: XXXXXXXXXXXXXXX (или N/A). Обратите внимание: как правило, информация об IMEI устройства системой не выдаётся даже тогда, когда в него вставлена SIM-карта.
  • Mode: индикация режима, в данном случае – Recovery, режим восстановления.

Выход из режима восстановления

Процедура вывода устройства из режима восстановления также различается для разных поколений устройств. Общие для всех устройств шаги:

  • Отсоедините кабель USB.
  • Зажмите и удерживайте кнопку питания до отключения устройства.
  • Чтобы включить устройство, продолжайте удерживать комбинацию кнопок или отпустите, а потом снова зажмите указанные кнопки.
  • Отпустите кнопки. Устройство начнёт загружаться.

В случае, если штатным образом вывести устройство из режима восстановления не удаётся, воспользуйтесь следующей процедурой.

  • iPhone 6s и более старые модели, модели iPad с Touch ID: зажмите и удерживайте кнопки «Домой» и кнопку выключения питания, пока устройство не перезагрузится.
  • iPhone 7 и iPhone 7 Plus: удерживайте кнопку выключения питания и уменьшения громкости до перезагрузки.
  • iPhone 8 и более новые: короткое нажатие Громкость+, короткое нажатие Громкость-, затем удерживать кнопку отключения питания до перезагрузки.

Использование режима восстановление в целях мобильной криминалистики

С точки зрения эксперта-криминалиста, режим восстановления обладает ограниченной ценностью.

  • Можно узнать информацию об устройстве, не зная пароля.
  • Режим блокировки USB не влияет на результат.
  • Для новых устройств, основанных на процессоре A12 и более новых, возвращает больше информации, чем режим DFU.

Интересный момент: при установке джейлбрейка checkra1n с использованием встроенной утилиты установки программа сначала переводит устройство в режим восстановления, а потом выдаёт инструкции для переключения устройства в режим DFU. Этот промежуточный шаг можно пропустить, если устанавливать checkra1n из командной строки.

Режим обновления прошивки DFU

В отличие от режима восстановления, для режима обновления прошивки DFU отсутствует какая-либо официальная документация. Последовательность шагов для перевода устройства в режим DFU отличается для устройств разных поколений, а сам процесс значительно сложнее. Для успешного перехода в этот режим требуется в точности выдерживать заданные задержки. Если недодержать или передержать кнопки в процессе выполнения инструкций, устройство просто перезагрузится.

Режим DFU – часть загрузочного процесса, которая прошита в устройства Apple на аппаратном уровне. Прошивка на аппаратном уровне не позволяет компании обновлять соответствующий код. Уязвимость, обнаруженная в устройствах, основанных на процессорах поколений A7 — A11, позволяет взломать устройство и извлечь часть данных даже тогда, когда код блокировки устройства неизвестен. Подробности в статье BFU Extraction: Forensic Analysis of Locked and Disabled iPhones.

Ниже приводится информация о переводе в режим DFU ряда устройств, для которых нам удалось найти соответствующие инструкции. Обратите внимание: в режиме DFU экран устройства останется чёрным; никакого визуального подтверждения перехода в режим DFU вы не увидите. Ресурс iPhone Wiki содержит актуальную информацию по переводу устройств в режим DFU.

Apple TV

  1. Подключите устройство к компьютеру кабелем USB.
  2. Принудительно перезагрузите устройство, зажав кнопки «меню» и «вниз» на 6-7 секунд.
  3. Зажмите кнопки «меню» и «проигрывание» сразу после перезагрузки. Продолжайте удерживать кнопки, пока в iTunes не появится сообщение о том, что обнаружено устройство Apple TV в режиме восстановления.

Устройства с процессорами A9 и более старые (ряд моделей iPad, iPhone 6s и более старые, iPhone SE и iPod touch 6 и более старые)

  1. Подключите устройство к компьютеру кабелем USB.
  2. Зажмите кнопки «Домой» и питания.
  3. Ровно через 8 секунд отпустите кнопку питания, продолжая удерживать кнопку «Домой».
    • Если на экране появилось «яблоко» Apple, вы удерживали кнопку питания слишком долго. Повторите попытку.
  4. При успешном входе в режим DFU экран остаётся чёрным. В iTunes отобразится сообщение о том, что обнаружено устройство в режиме восстановления.
    • Если экран устройства не чёрный, вероятно, устройство загружено в режиме восстановления, а не DFU. Повторите попытку.

Альтернативный способ 1:

  1. Удерживайте кнопку питания 3 секунды
  2. Продолжая удерживать кнопку питания, удерживайте кнопку «Домой» (15 сек)
  3. Отпустите кнопку питания. Продолжайте удерживать кнопку «Домой» (10 сек)
  4. Устройство должно перейти в режим DFU

Альтернативный способ 2:

  1. Подключите устройство к компьютеру и запустите iTunes. Выключите устройство.
  2. Удерживайте нажатой кнопку блокировки и кнопку «Домой» ровно 10 секунд, затем отпустите кнопку блокировки.
  3. Продолжайте удерживать кнопку «Домой», пока iTunes на вашем компьютере не покажет сообщение о том, что устройство в режиме восстановления было обнаружено.

Экран устройства останется полностью черным.

Устройства с процессором A10 devices (iPhone 7 и iPhone 7 Plus, iPad 2018, iPod touch 7)

  1. Подключите устройство к компьютеру с помощью USB-кабеля.
  2. Нажмите и удерживайте боковую кнопку и кнопку уменьшения громкости.
  3. Через 8 секунд отпустите боковую кнопку, продолжая удерживать нажатой кнопку уменьшения громкости.
  4. Если появляется логотип Apple, боковая кнопка удерживалась слишком долго.
    • Если устройство успешно перешло в режим DFU, экран остаётся чёрным. iTunes выведет сообщение, что обнаружено устройство в режиме восстановления.

Если на экране устройства отображается сообщение о подключении устройства к iTunes, повторите процедуру.

Устройства с процессором A11 и более новые (iPhone 8 и новее, iPad Pro 2018, iPad Air 2019, iPad Mini 2019)

  1. Подключите устройство к компьютеру с помощью USB-кабеля.
  2. Нажмите и сразу отпустите увеличения громкости.
  3. Нажмите и сразу отпустите кнопку уменьшения громкости.
  4. Удерживайте боковую кнопку, пока экран не станет черным, затем нажмите боковую кнопку и кнопку уменьшения громкости одновременно.
  5. Ровно через 5 секунд отпустите боковую кнопку, продолжая удерживать нажатой кнопку уменьшения громкости.
    • Если появляется логотип Apple, боковая кнопка удерживалась слишком долго. Повторите процедуру.

Если устройство успешно перешло в режим DFU, экран остаётся чёрным. iTunes выдаст сообщение, что обнаружено устройство в режиме восстановления.

Если на вашем устройстве отображается экран с сообщением о подключении устройства к iTunes, повторите процедуру.

Дополнительная информация: iphonewiki и другие источники.

Информация, доступная в режиме DFU

Если не учитывать джейлбрейк checkra1n, то режим DFU возвращает ещё меньше информации даже в сравнении с режимом восстановления.

Device Model: iPhone8,1
Model: n71map
ECID: XXXXXXXXXXXXXXXX
Serial Number: N/A
IMEI: N/A
MODE: DFU

Режим DFU поддерживает iOS Forensic Toolkit 4.10 и более новые версии.

  • Devicemodel и Model: идентификация модели устройства в двух разных представлениях. К примеру, iPhone7,2 (n61ap), iPhone10,6 (d221ap) и т.п.
  • ECID (UCID): XXXXXXXXXXXXXXXX. Идентификатор ECID (Exclusive Chip Identification) или Unique Chip ID (UCID) уникален для каждого конкретного устройства (а точнее, установленного в нём процессора).
  • Serialnumber: в режиме DFU недоступен.
  • IMEI: в режиме DFU недоступен.
  • Mode: индикация режима, в данном случае – DFU, режим обновления прошивки.

Выход из режима DFU

Процесс выхода из режима DFU также различен для разных устройств.

Для устройств с физической кнопкой «Домой» (вплоть до iPhone 6s и iPhone SE включительно): удерживайте кнопку «Домой» и кнопку блокировки до перезагрузки устройства.

Для iPhone 7 и iPhone 7 Plus: удерживайте боковую кнопку и кнопку уменьшения громкости, пока устройство не перезагрузится.

Для iPhone 8 и iPhone 8 Plus, iPhone X: нажмите кнопку увеличения громкости, затем кнопку уменьшения громкости, после чего нажмите и удерживайте боковую кнопку, пока устройство не перезагрузится.

Значение режима DFU для мобильной криминалистики

Несмотря на скудность доступной в режиме DFU информации, он имеет неожиданные последствия. Значение режима обновления прошивки для мобильных криминалистов сложно переоценить. В зависимости от модели устройства, вам может быть доступен вариант с установкой джейлбрейка checkra1n даже тогда, когда пароль от устройства неизвестен. Для устройств iPhone, iPod Touch и iPad на базе процессоров Apple поколений от A5 до A11 (это устройства iPhone от iPhone 4s до iPhone 8, 8 Plus и iPhone X включительно, а также соответствующие модели iPad) была обнаружена аппаратная уязвимость в загрузчике. Эту уязвимость невозможно исправить, т.к. её код прошит в режиме «только для чтения». Уязвимость позволяет устанавливать джейлбрейк checkra1n независимо от установленной версии iOS. В своб очередь checkra1n позволяет извлекать ограниченный, но существенный объём данных в режиме DFU, даже если пароль неизвестен.

  • Все устройства: позволяет получать информацию об устройстве без пароля
  • Все устройства: позволяет обойти ограниченный режим USB (доступно ограниченное количество информации)
  • Устройства iOS с уязвимостью checkm8 (поколения от A5 до A11): доступно значительно больше информации по сравнению с режимом восстановления.

Известно, что преступники используют эту уязвимость для снятия блокировки активации (iCloud lock) с уязвимых устройств, работающих под управлением старых версий iOS. Несмотря на то, что эта возможность была исправлена Apple в iOS 13.3, вскоре появились решения как для iOS 13.3, так и для 13.3.1. Похоже на то, что защита от кражи iPhone (iCloud Lock) стала неэффективной для устройств Apple вплоть до моделей iPhone 8, 8 Plus и iPhone X включительно.

Из уязвимых устройств удаётся извлечь следующую информацию:

  • Ограниченное извлечение файловой системы: список установленных приложений, некоторые данные Wallet, список подключений Wi-Fi, некоторые мультимедийные файлы, уведомления (в них могут содержаться некоторые сообщения чатов, одноразовые пароли и другие полезные данные) и множество точек местоположения.
  • Записи из Связки ключей с атрибутами kSecAttrAccessibleAlways и kSecAttributeAccessibleAlwaysThisDeviceOnly.
  • Кроме того, набор программ Oxygen Forensic Detective извлекает дополнительные данные из таких файлов, как /private/var/wireless/Library/Databases/DataUsage.sqlite (сетевая активность приложений), /private/var/preferences/ (сетевые интерфейсы) или /private/var/mobile/Library/Voicemail/ (голосовые сообщения).

Дополнительная информация: BFU Extraction: Forensic Analysis of Locked and Disabled iPhones и iOS Device Acquisition with checkra1n Jailbreak.

Различия между режимами восстановления и DFU

Несмотря на то, что оба режима DFU и восстановления (recovery mode) предназначены для одной и той же цели (восстановления устройства посредством перепрошивки), различий между ними гораздо больше.

Режим восстановления загружается посредством загрузчика iBoot, и работает посредством команд, исполняемых загрузчик. Загрузчик, в свою очередь, является частью операционной системы и может быть обновлён компанией Apple, если последняя обнаружит в нём какие-либо уязвимости. Режим восстановления позволит прошить только подписанные образы, поэтому возврат к прошивке, которая больше не подписывается Apple, невозможен. Когда устройство находится в режиме восстановления, пользователь получает чёткую индикацию на устройстве.

Режим обновления прошивки DFU (Device Firmware Upgrade) также позволяет восстанавливать устройства, однако способен проделать это из любого состояния, даже если повреждён сам загрузчик. DFU раз и навсегда прошивается в устройство как часть SecureROM. В результате DFU не может быть обновлён; в нём невозможно исправить ошибки и уязвимости, его нельзя и отключить. В результате Apple не в состоянии исправить широко известную уязвимость в bootrom и соответствующий эксплойт checkm8. Это позволяет экспертам извлекать определённые данные из уязвимых устройств, обходя при этом защиту паролем и ограничения USB.

Впрочем, установить неподписанный образ через DFU не удастся: в этом режиме также принимаются только подписанные прошивки. Однако, в отличие от режима восстановления, вы можете свободно понижать или повышать версию iOS при условии, что выбранный вами образ подписывается Apple. Ещё одно отличие состоит в том, что при работе DFU нет никакой индикации на экране устройства. Всё время работы в DFU экран устройства остаётся чёрным.

Режим восстановления был разработан для того, чтобы им могли воспользоваться обычные пользователи продуктов Apple. Режим DFU не предназначен для конечного пользователя. Вход в режим восстановления прост; любой пользователь может успешно воспользоваться режимом. Войти в DFU не только значительно сложнее, но и потребует некоторой сноровки и внимания со стороны эксперта. Стоит передержать или недодержать кнопку во время любого шага, и устройство перезагрузится.

Режим экстренного вызова S.O.S.

Последний специальный режим iOS, о котором мы хотим рассказать, носит название SOS. Режим SOS (режим экстренного вызова) можно активировать вручную; на сайте Apple есть вся необходимая документация.

Вход в режим SOS

Для iPhone 8 и более поздних моделей переход в режим SOS выполняется следующим образом:

Нажмите и удерживайте боковую кнопку и одну из кнопок регулировки громкости до тех пор, пока не появится ползунок «Экстренный вызов — SOS».

Для iPhone 7 и более ранних моделей:

Быстро нажмите боковую (или верхнюю) кнопку пять раз. Появится ползунок «Экстренный вызов — SOS». (В Индии потребуется нажать кнопку только три раза, после чего iPhone автоматически наберёт номер служб экстренной помощи.)

Обратите внимание: переход в режим SOS временно блокирует биометрическую аутентификацию; для разблокировки экрана необходимо ввести пароль. Кроме того, использование режима SOS активирует режим ограничений USB.

Выход из режима SOS

Для выхода из режима SOS просто нажмите «Отмена» на соответствующем экране. Для разблокировки экрана необходимо будет ввести пароль.

Значение режима SOS для мобильной криминалистики

В отличие от режимов восстановления и DFU, режим способен доставить криминалистам лишь неудобства.

  • Устройство переводится в состояние BFU (Before First Unlock), ключи шифрования удаляются из памяти. Извлечение данных в режиме AFU (After First Unlock) становится невозможным даже для устройств со старыми (до 11.4 включительно) версиями iOS.
  • Биометрические способы аутентификации (Touch ID и Face ID) временно блокируются. Устройство должно быть разблокировано паролем.
  • Отключается передача данных через порт USB (активируется режим ограничения USB). Фактически, таким образом Apple пытается защитить пользователя от решений для перебора кодов блокировки, предлагаемых такими компаниями, как Cellebrite и GrayShift.

Основным новшеством недавно анонсированного обновления инструментария iOS Forensic Toolkit стала поддержка новой утилиты джейлбрейка checkra1n. Новый джейлбрейк стал безусловным прорывом в области мобильной криминалистики. В чём принципиальное отличие checkra1n от всех предыдущих утилит для взлома iPhone, как установить его на устройство, как использовать и что именно можно извлечь с его помощью? Попробуем разобраться.

В предыдущей статье мы протестировали работу checkra1n с ТВ-приставкой Apple TV 4, убедившись в его работоспособности даже на столь отличной от телефонов платформе. Сегодня же мы расскажем о том, как использовать новый джейлбрейк для анализа широкой линейки iPhone начиная с iPhone 5s и заканчивая моделями iPhone 8, 8 Plus и iPhone X вне зависимости от установленной на них версии iOS.

(далее…)

Для исследований, демонстраций и разработки нам приходится ежемесячно приобретать множество устройств с iOS. Как правило, мы стараемся брать iPhone с умеренно свежим процессором (если не требуется самая свежая версия iOS или экзотическая комбинация программного и аппаратного обеспечения). Выход джейлбрейка checkra1n, работающего на старых устройствах независимо от версии iOS, открыл дополнительные возможности, позволяя нам разобраться во внутренностях самых свежих версий iOS, работающих на старых платформах.

Старые устройства недоступны в официальном магазине Apple, зато их можно приобрести в любом из множества онлайновых магазинов. Как правило, по низкой цене предлагаются устройства, описанные как «новые, в коробке, проверка при доставке».

(далее…)

Пока пользователи постепенно обновляются на новую версию iOS, мы продолжаем исследовать нововведения в различных подсистемах безопасности iOS 13 и её производных. В этой статье мы рассмотрим изменения в работе функции ограничений USB. Кроме того, была опубликована официальная информация о времени жизни файлов lockdown, позволяющих подключать iPhone к компьютеру, даже если его экран заблокирован.

Режим ограничения USB впервые появился в iOS 11.4.1 и был расширен в iOS 12. Мы опубликовали пять статей на тему ограничений USB в нашем англоязычном блоге. Также рекомендуем русскоязычную статью Apple «Использование аксессуаров USB с ОС iOS 11.4.1 и более поздних версий».

Более подробная информация доступна в документе iOS Security Guide. Последний раз документ обновлялся в мае 2019 (соответственно, речь идёт об iOS 12.3). Относительно ограничений USB в документе указано следующее: (далее…)

В конце апреля в англоязычных средствах массовой информации прокатилась очередная волна публикаций на тему «Apple уничтожает конкуренцию». Скандал спровоцировала статья с провокационным заголовком «Apple расправились с приложениями против зависимости от iPhone», опубликованная в New York Times. По версии авторов статьи, пользователи iPhone пытались бороться с собственной (а заодно, так уж и быть, и у детей) зависимостью от электронных гаджетов, устанавливая приложения сторонних разработчиков. Приложения, в свою очередь, устанавливали в систему профили конфигурации, посредством которых осуществлялся контроль за действиями пользователей и устанавливались ограничения на использование устройств.

Использование профилей конфигурации послужило Apple формальным поводом для удаления ряда приложений из App Store, что вызвало со стороны журналистов обвинения в нечестной конкуренции. Масла в огонь подлил факт выхода iOS 12 с её подсистемой «Экранного времени» (Screen Time), которая фактически брала на себя основные функции ныне удалённых из магазина приложений программ.

Среди пострадавших (или, скорее, «пострадавших») компания Лаборатория Касперского, приложение Kaspersky Safe Kids (KSK) которой, по словам представителей компании, лишилась существенной части функционала.

Почему «пострадала» Лаборатория Касперских в кавычках? Посмотрим на таймлайн событий.

  • В марте 2019 Лаборатория Касперского подаёт официальную жалобу в ФАС.
  • 3 июня 2019 Apple меняет правила для приложений в App Store, разрешив использование профилей конфигурации для приложений родительского контроля. В то же время, это разрешение не безусловно; об этом ниже.
  • 8 августа на основании жалобы Лаборатории Касперского ФАС России возбудила дело в отношении Apple Inc.

Почему Apple запретили, а потом разрешили сторонним разработчикам использовать профили конфигурации в приложениях родительского контроля? Достаточно ли функционала «Экранного времени» для эффективного родительского контроля и может ли «Экранное время» заменить сторонние приложения? Почему, наконец, Лаборатория Касперского продолжает жаловаться на Apple несмотря на то, что ограничения на её продукт вроде бы сняты? Попробуем разобраться. (далее…)

Выход тринадцатой версии iOS не за горами. Новая версия мобильной ОС уже доступна для разработчиков и бета-тестеров в виде предварительной версии. Мы провели исследование изменений в механизмах безопасности, алгоритмах шифрования, резервного копирования и протоколах синхронизации данных iOS 13, добавив поддержку новой версии ОС в наши продукты мобильной криминалистики. В этой статье мы расскажем о том, что изменится для экспертов-криминалистов с выходом iOS 13.

Резервные копии в iCloud

В протокол доступа к резервным копиям и в алгоритмы шифрования был внесён ряд изменений, которых оказалось достаточно для выхода из строя не адаптированных к iOS 13 продуктов мобильной криминалистики. Мы исследовали эти нововведения и внесли необходимые изменения в Elcomsoft Phone Breaker, который позволяет скачивать и расшифровывать «облачные» резервные копии устройств, работающих под управлением iOS 13. Дальнейшие изменения протокола резервного копирования возможны, но маловероятны; мы продолжаем внимательно следить за новыми сборками iOS.

Интерес представляют и изменения, коснувшиеся содержания облачных резервных копий. Содержимое резервных копий в iCloud стало ещё более похожим на содержимое локальных резервных копий без пароля. В частности, из резервных копий в iCloud исчез журнал звонков и история браузера Safari. Логика в этом решении есть: журнал звонков и история браузера уже давно синхронизируются между устройствами. Соответственно, Apple нет смысла сохранять их отдельно в резервные копии, занимая место в облаке. Напомним, доступ к синхронизированным данным осуществляется проще и безопаснее, чем доступ к резервным копиям. Для скачивания синхронизированных данных может быть использована как комбинация из логина, пароля и второго фактора аутентификации, так и маркер аутентификации, извлечённый из компьютера пользователя. Никаких изменений в структуре хранения и протоколах доступа к синхронизированным данным в iOS 13 мы не обнаружили. (далее…)

Производители программ для криминалистов не забывают подчеркнуть, что именно их продукт является не только самым продвинутым на рынке, но и самым простым в использовании. Тем не менее, несмотря на уверения в простоте и интуитивности использования собственной продукции, все крупные производители предлагают и обучающие курсы и тренинги, стоимость которых заметно превышает цену самих продуктов. Зачем нужны тренинги, если программы легко использовать? Что это – маркетинговое лукавство или насущная необходимость? Попробуем разобраться, для чего нужны тренинги в мобильной и компьютерной криминалистике.

Программы для цифровой криминалистики

Так ли просты в использовании программы для цифровой криминалистики, как уверяют производители? Здесь нет и не может быть «средней температуры по больнице». Какие-то продукты сложнее в использовании, а некоторые использовать совсем просто. Если говорить о продуктах нашей компании, то большая часть из них обладает простым и понятным пользовательским интерфейсом, но ряд возможностей (например, настройки парольных мутаций для распределённых атак в продукте Elcomsoft Distributed Password Recovery) требует чёткого понимания как способов, так и целей выполняемых действий.

Не стоит обманываться простотой использования даже самых дружелюбных к пользователю инструментов: в цифровой криминалистике нет и не может быть простых решений, которые проделают за эксперта его работу. Инструмент, даже самый продвинутый – это всего лишь инструмент, выполняющий ограниченный круг задач. (далее…)

Физический анализ – наиболее универсальный метод исследования содержимого устройств под управлением iOS. Подавляющее большинство технических средств, позволяющих провести физический анализ устройства российским правоохранительным органам, требует установки джейлбрейк (от английского “jailbreak”) – разработанного на основе найденных в устройствах уязвимостях программного обеспечения, позволяющего получить полный доступ к файловой системе устройств iPhone, iPad и iPod Touch.

Использование джейлбрейка для доступа к данным в процессе физического анализа – вынужденный шаг, который не обходится без последствий и связанными с ними рисков. В этой статье мы рассмотрим риски и опишем последствия использования джейлбрейка для извлечения данных из iPhone или iPad.

Для чего нужен джейлбрейк

Для чего эксперту может понадобиться взлом устройства? По своей сути, джейлбрейк – узкоспециализированный инструмент, позволяющий как самой утилите, так и сторонним приложениям получить эскалацию привилегий и вырваться из «песочницы», изолирующий приложения в рамках отведённой ему области файловой системы. Взлом устройства позволяет получить полный доступ ко всему содержимому файловой системы, что является необходимым условием для физического извлечения данных из устройства. Перечислим основные отличия метода физического анализа по сравнению с другими методами доступа к информации.

(далее…)

НАШИ НОВОСТИ