Een forensisch bedrijf voor mobiele apparaten zegt nu te kunnen inbreken in elk Apple-apparaat met iOS 12.3 of lager.
Het in Israël gevestigde Cellebrite maakte de aankondiging bekend op een bijgewerkte webpagina en via een tweet waarin het beweerde te kunnen ontgrendelen en gegevens te kunnen extraheren uit alle iOS- en “high-end Android”-apparaten.
Op de webpagina die de mogelijkheden van zijn Universal Forensic Extraction Device (UFED) Physical Analyzer beschrijft, zegt Cellebrite dat het “sloten kan bepalen en een volledige bestandssysteem-extractie kan uitvoeren op elk iOS-apparaat, of een fysieke extractie of een volledige bestandssysteem (File-Based Encryption) extractie op veel high-end Android-apparaten, om veel meer gegevens te krijgen dan wat mogelijk is via logische extracties en andere conventionele middelen.”
Dit is niet de eerste keer dat Cellebrite heeft beweerd iPhones te hebben kunnen ontgrendelen. Vorig jaar zeiden het en het in Atlanta gevestigde Grayshift dat ze een manier hadden ontdekt om versleutelde iPhones met iOS 11 te ontgrendelen en brachten ze hun inspanningen op de markt aan wetshandhavingsinstanties en particuliere forensische bedrijven over de hele wereld. Volgens een politiebevel dat Forbes in handen kreeg, testte het Amerikaanse ministerie van Binnenlandse Veiligheid de technologie van Cellebrite.
Grayshift’s technologie werd opgepikt door regionale wetshandhavingsinstanties en won contracten met Immigration and Customs Enforcement (ICE) en de Amerikaanse Geheime Dienst.
Kort nadat de twee bedrijven hun mogelijkheid aankondigden om iPhone-pascodes te omzeilen, kondigde Apple zijn eigen vorderingen aan om ongeautoriseerde toegang tot vergrendelde iOS-apparaten verder te beperken via een USB Restricted Mode. In iOS 12 veranderde Apple de standaardinstellingen op iPhones om de toegang tot de USB-poort te blokkeren wanneer de telefoon een uur lang niet is ontgrendeld.
Hoewel de wachtwoordhack verontrustend kan zijn voor iPhone-bezitters, werkt de technologie van Cellebrite niet via de cloud; het vereist fysieke toegang tot een apparaat, volgens Jack Gold, hoofdanalist bij J. Gold Associates.
“Ik speculeer natuurlijk, maar als je onder het BIOS-niveau van de telefoon kunt werken, kun je veel dingen doen (denk aan het als een root kit zoals op een pc),” zei Gold via e-mail. “Als dit inderdaad hun penetratiemethode is, dan doet het niveau van het OS er bijna niet toe, omdat ze onder het OS-niveau inbreken en het meer gaat om de daadwerkelijke hardware in de telefoon.”
Vladimir Katalov, CEO van de Russische forensische tech-provider ElcomSoft, beschreef de technologie van Cellebrite als gebaseerd op een brute-force aanval, wat betekent dat hun platform verschillende passcodes probeert totdat het de telefoon ontgrendelt. En, zei hij, zowel Cellebrite als Grayshift zeggen dat ze “een soort” oplossing hebben voor USB Restricted Mode. Maar alle details worden geheim gehouden en alleen beschikbaar gesteld aan klanten die onder een strikte NDA staan, zei Katalov.
“Van wat ik weet, zijn beide bedrijven nu in staat om de meeste gegevens te extraheren, zelfs van vergrendelde iPhones met iOS 11 en ouder – zonder herstel van de passcode (hoewel sommige gegevens versleuteld blijven op basis van de echte passcode). De beperking is dat de telefoon minstens één keer ontgrendeld moet zijn na de laatste reboot,” zegt Katalov via e-mail. “Van wat we hebben gehoord, is het ongeveer 10 tot 30 passcodes per seconde in AFU (After First Unlock) modus, en slechts één passcode in 10 minuten in BFU (Before First Unlock).”
De iPhone Xr en Xs modellen (gebaseerd op A12 SoC) zijn moeilijker te breken omdat het wachtwoord herstel voor het altijd op BFU snelheid loopt (zelfs als de telefoon een keer is ontgrendeld), beweerde Katalov. “Cellebrite ondersteunt deze modellen echter niet in hun on-premise oplossing, maar het is beschikbaar via hun ,” zei hij.
Zowel Cellebrite als Grayshift’s technologie proberen niet alleen alle mogelijke wachtwoordcombinaties, maar ze beginnen eerst met de meest populaire wachtwoorden, zoals 1234; het is vooral belangrijk in de BFU-modus, waar slechts ongeveer 150 passcodes per dag kunnen worden geprobeerd. Aangepaste woordenboeken (woordenlijsten) kunnen ook worden gebruikt, zei Katalov.
In het algemeen zijn iOS-apparaten zeer goed beschermd, terwijl sommige Android-apparaten een nog beter niveau van beveiliging bieden, zei Katalov.
Om uw smartphone te beschermen, raadt Katalov het volgende aan:
- Gebruik ten minste een 6-cijferige passcode
- Maak de passcode complex
- Schakel USB restricted mode in
- Weet hoe je het activeert (S.O.S.)
- Beste van alles, gebruik een iPhone Xr of Xs model of nieuwer
“Voor normale gebruikers denk ik dat er helemaal geen risico is,” zei Katalov. “Hoewel ik natuurlijk op zoek ben naar betere iOS-beveiliging in de toekomst. Tegelijkertijd moet forensisch onderzoek nog steeds op regelmatige basis worden uitgevoerd. Eerlijk gezegd zie ik hier niet de perfecte oplossing, om een goede balans te vinden tussen privacy en veiligheid en de mogelijkheid hebben om in te breken in vergrendelde apparaten om bewijs te vinden.”
Het echte risico voor gebruikers, zei Gold, is dat slechte actoren de technologie in handen zouden kunnen krijgen en gebruiken.
“Cellebrite beweert dat het alles onder controle heeft, maar ik heb wat geruchten gezien die zeggen dat ze enkele systemen zijn kwijtgeraakt en dat zou kunnen leiden tot een reverse engineering-scenario waarbij slechte actoren de technologie dupliceren voor slechte doeleinden,” zei Gold. “Natuurlijk is er ook een privacy-issue – als overheidsinstanties de technologie eenmaal hebben, zullen ze die dan gebruiken om onze privacy te schenden? Het zal moeilijk zijn om dit op grote schaal te doen, omdat het een fysieke verbinding met de telefoon vereist. Maar in selecte situaties zou het een probleem kunnen zijn.”
Gold gelooft niet dat Apple, Google of een andere telefoonfabrikant in staat zal zijn om hun apparaten volledig te beveiligen, omdat encryptie een spel van “vooruitgang” is, waarbij leveranciers beveiligingsvooruitgang boeken en hackers een manier vinden om hun inbraakpogingen te evolueren.
Andrew Crocker, een senior stafadvocaat van de Electronic Frontier Foundation, was het eens met Gold, en zei dat het bijna onvermijdelijk is dat toegewijde aanvallers, “inclusief Cellebrite,” een manier zullen vinden om beveiligingsfuncties te omzeilen.
“Dat leidt tot een soort kat-en-muisspel tussen beveiligingsteams bij Apple en Android en bedrijven als Cellebrite en GrayKey,” zei Crocker. “We moeten die dynamiek onthouden de volgende keer dat we rechtshandhavingsambtenaren die encryptie backdoors willen verplichten horen praten over ‘onhackbare’ apparaten en ‘zones van wetteloosheid.'”