mailinfo.ru - Новости

«Пытка холодом» помогла извлечь данные с Android-устройства

6 марта 2013

Исследовательская группа из университета им. Фридриха-Александера(FAU) в г. Эрлангене и Нюрнберге (Германия) продемонстрировала необычнуюметодику для восстановления данных с зашифрованного Android-устройства безввода правильного ПИН-кода или пароля. Методика под названием «атака холоднойзагрузки» (cold boot attack) работает при заморозке аппарата до температурыниже 10°C.

Встроенное шифрование всех данных в памяти устройства появилосьв ОС Android, начиная с версии 4.0 «Ice Cream Sandwich». По умолчанию оноотключено, а при активации не позволяет получить никаких данных, если не ввестиправильный ПИН-код или пароль. Тем не менее, в своей работе Тило Мюллер (TiloMüller), Михаэль Спрайценбарт (Michael Spreitzenbarth) и Феликс Фрайлинг(Felix Freiling) показали, как заморозка позволяет извлечь зашифрованные данныечастично или целиком.

Технически новая атака заключается в медленном некорректномотключении устройства. В обычных условиях отключение питания приводит куничтожению всего содержимого оперативной памяти, но это происходит немоментально. У микросхем памяти есть такое свойство, как остаточная индукция,то есть содержимое ячеек исчезает постепенно. Если получить доступ к ячейкам доих полного затухания, можно восстановить изначально записанные в них данные.Понятно, что в таких условиях нужно действовать очень быстро, но затуханиеячеек идет гораздо медленнее при низких температурах. В итоге, заморозка даетдополнительное время на извлечение содержимого оперативной памяти, в том числе,ключей шифрования. Чем холоднее, тем дольше нужные данные сохраняются внеизменном виде.

Для демонстрации своей методики авторы взяли стандартныйаппарат Samsung Galaxy Nexus. Эта модель была выбрана, как одна из первых спредустановленной ОС Android 4.0, и как система без дополнительных надстроек,которые могут затруднить взлом. Вся процедура атаки с фотографиями опубликованана веб-сайте университета http://www1.cs.fau.de/frost.В этой процедуре есть два крайне интересных момента – некорректное отключениепитания путем вытаскивания батареи и загрузка устройства с использованиемнестандартного образа системы под названием FROST (Forensic Recovery ofScrambled Telephones – Криминалистическое восстановление зашифрованныхтелефонов).

В ходе атаки специалисты сначала проверяют, что телефонвключен и батарея полностью заряжена. Затем наступает очередь холодильника –охлаждение длится около часа. Далее батарея вытаскивается и вставляется смаксимальной быстротой, а телефон перезагружается с нажатой комбинацией клавишдля режима быстрой загрузки «fastboot». Когда аппарат находится в этом режиме,исследователи могут загрузить прошивку FROST с компьютера в загрузочную областьвосстановления. Еще одна перезагрузка – и все готово к извлечению информации.

Прошивка FROST предлагает собственное графическое меню свыбором из трех методов извлечения данных. Первый метод – поиск ключейшифрования AES в памяти устройства. Если ключи обнаружены, можно расшифроватьвсе данные на аппарате.

Второй метод – подбор ПИН-кода прямым перебором. Это несамый эффективный способ для обхода защиты, но авторы исследования заявляют,что большинство пользователей применяют нестойкие ПИН-коды.

Если оба первых метода не дают результата, программа FROST можетвыгрузить на ПК полный образ памяти устройства. С полученным образом уже можноприменять другие инструменты взлома.

В экспериментах команда Мюллера сумела успешно извлечьмножество различной информации, включая фотографии, историю посещенныхвеб-страниц, электронную почту и переписку через систему Whatsapp, а такжеадресную книгу, записи календаря и пароли к точкам доступа Wi-Fi. Исходный кодпрошивки FROST и ее скомпилированную копию авторы также опубликовали на своемсайте.

По материалам сайта The Register.