¿Qué datos no están cifrados en iOS 8+ cuando están “bloqueados”?

4

Escenario:
iPhone 5+ con iOS 8+ con cifrado del sistema habilitado. El teléfono está encendido y bloqueado. (el usuario se ha autenticado (teléfono desbloqueado) al menos una vez desde el encendido, y luego se volvió a bloquear).

¿Qué datos / aplicaciones no se protegen (o se omiten fácilmente) con el cifrado del sistema en este estado?
De especial interés son los datos en aplicaciones nativas y no nativas, como

  • fotos, videos y archivos de audio
  • entradas de calendario, SMS y datos de Messenger
  • correo electrónico y historial de navegación

Consulte this publicación anterior para alguna información. Si bien las preguntas son similares, esta es sobre el iPhone 5+ con un alcance más pequeño y específico.
NB: proporcione la (s) fuente (s) para su respuesta.

    
pregunta Manumit 15.09.2015 - 16:17
fuente

2 respuestas

5

De forma predeterminada, la mayoría de los datos están protegidos con la clave de clase AfterFirstUnlock, que ciertamente estaría presente en el dispositivo; Pero eso no es lo que estás preguntando. Desea saber qué datos son accesibles, que es un hervidor de peces diferente. Para acceder a los datos, debe hacer que el sistema operativo se los entregue (al encontrar un error de omisión en la pantalla de bloqueo; no se los haya olvidado) o eliminar la clave de clase de la memoria del dispositivo de alguna manera. El último bit es difícil.

A lo largo de los años, existen muchas vulnerabilidades que pueden proporcionar la ejecución de código a nivel de kernel en un dispositivo iOS, pero casi todas requieren un acceso físico desbloqueado al dispositivo o un reinicio, lo que borraría la clave AfterFirstUnlock de la memoria. La clave no está encriptada en la RAM, por lo que abrir el teléfono y acceder directamente al chip RAM podría funcionar, excepto por el hecho de que el iPhone usa una estructura de paquete en paquete, y el chip RAM debería estar separado físicamente del procesador Primero, sin destruir los datos, por lo que el chip necesitaría energía y / o estar congelado todo el tiempo. La NSA podría lograr esto, pero se necesitaría un equipo muy especializado y solo obtendrían un disparo.

La interfaz USB ofrece muchas posibilidades, ya que transporta tráfico IP (sí, es IP a través de USB) a aplicaciones potencialmente vulnerables. Sin embargo, en iOS8 está bloqueado hasta que presionas "Confiar en esta computadora". Si el atacante podría robar la bolsa de claves de custodia, esto crea fuera de su computadora local que ya es de confianza, podrían atacar de esta manera, pero todavía necesitan un exploit en un demonio para obtener la ejecución del código, otro para romper la caja de arena, otro para elevarse a la raíz, y otro para parchear el kernel.

Los jailbreaks son mucho más fáciles que esto, ya que pueden asumir que el usuario ayudará. Eso significa que pueden usar una computadora confiable y pueden convertir un exploit de colocación de archivos en un código de ejecución haciendo que el usuario toque un icono en la pantalla de inicio.

Sin la cooperación del usuario, su mejor apuesta es probablemente la interfaz de red; aún necesitarás varias vulnerabilidades encadenadas, y tendrás que robar la contraseña a tu enrutador para que el teléfono se conecte automáticamente a la red del atacante, y luego esperar que no tengas configurada una VPN siempre encendida.

Básicamente, los iPhones son muy seguros. Es una cuestión de títulos, claro, pero igual pondría su teléfono bloqueado por encima de casi cualquier cosa que no sea una tarjeta inteligente.

Edición: Fuente: principalmente "Protección de datos de iPhone en Profundidad "de Bedrún y Sigwald , pero solía trabajar en la seguridad de iOS para el DoD. Eso no quiere decir que teníamos conocimientos especiales ni nada (me gustaría, para Apple el DoD es una gota en el cubo), ¡pero ciertamente he pasado suficiente tiempo investigando las profundidades del sistema de Protección de Datos!

Edit 2: La mayor vulnerabilidad en todo este sistema solía ser la bolsa de claves de custodia, que se crea cuando se conecta a una computadora y pulsa "Confiar". Este contiene todas las claves de clase que necesita para descifrar los datos del teléfono, ya que iTunes debe poder realizar una copia de seguridad del teléfono. La bolsa de claves de custodia está encriptada con un token aleatorio almacenado en el teléfono, por lo que normalmente solo es útil cuando se transmite al teléfono, pero si pudiera explotar algo que le permitiría leer ese token del sistema de archivos, estaría en negocio. Dicho esto, en la 5S y más tarde, el procesador viene con un "enclave seguro" que es más o menos una tarjeta inteligente integrada en el chip, que tiene sus propias claves. La clave de descifrado de la bolsa de claves de custodia ahora se almacena en un formato cifrado, y solo el elemento de seguridad puede descifrarla, por lo que esta vía de explotación se ha cerrado.

    
respondido por el Reid Rankin 18.09.2015 - 19:27
fuente
2

Hay múltiples capas de cifrado disponibles en dispositivos iOS que creo que se explican mejor antes de decir qué se puede y no se puede acceder.

Cifrado de disco completo

Para iOS 3, Apple introdujo el cifrado de todo el disco, donde todo el disco duro está cifrado cuando el dispositivo está bloqueado. Sin embargo, la clave para este cifrado se mantiene dentro del dispositivo, por lo que se puede omitir fácilmente todo el cifrado del disco si tiene acceso físico al dispositivo, ya que solo necesita iniciarlo desde una unidad externa para acceder al sistema de archivos del teléfono y recuperar la clave.

API de protección de datos

A partir de iOS4, Apple ofrece la API DataProtection para que los desarrolladores la utilicen para cifrar sus aplicaciones. Ofrece otra capa de cifrado atada al pin de los usuarios. En lugar de mantenerlo en el dispositivo, esto se mantiene en la cabeza de los usuarios, por lo que el acceso físico a los dispositivos y el arranque desde una unidad externa o el jailbreak para acceder a las claves ya no funcionará.

Los desarrolladores tienen cuatro opciones que pueden aplicar a toda la aplicación o archivos individuales:

  • NSFileProtectionNone - Sin protección adicional
  • NSFileProtectionComplete : los archivos se cifran cada vez que se bloquea el teléfono
  • NSFileProtectionCompleteUnlessOpen : los archivos se cifran a menos que el archivo se use para un proceso en segundo plano
  • NSFileProtectionCompleteUntilFirstUserAuthentication : los archivos se cifran hasta que el usuario desbloquea su teléfono por primera vez desde que lo inició.

¿Qué es seguro?

A partir de iOS8, todas las aplicaciones nativas de Apple que contienen información personal se cifran usando NSFileProtectionCompleteUntilFirstUserAuthentication . Esto significa que si el teléfono se apaga o se queda sin batería, será muy difícil acceder a esos datos, donde el único caso conocido públicamente de esto fue el caso del FBI que llegó a los titulares este año.

En cuanto a las aplicaciones de terceros, el valor predeterminado sigue siendo NSFileProtectionNone . Depende del desarrollador de la aplicación asegurarla con uno de los cuatro métodos anteriores.

    
respondido por el Deco 12.04.2016 - 15:52
fuente

Lea otras preguntas en las etiquetas