Seguridad del cifrado del iPhone iOS 8.3 frente al acceso físico

El propósito de Effaceable Storage es realmente poder borrar rápidamente todo el dispositivo, no proporcionar ninguna confidencialidad para sus datos. Funciona así: Effaceable Storage almacena una clave (que a su vez está encriptada con una clave específica del dispositivo) que se utiliza para cifrar el sistema de archivos del dispositivo. Cuando el dispositivo necesita borrarse por sí mismo (por ejemplo, debido a un comando de borrado remoto) simplemente borra esa clave de Effaceable Storage. Los datos en el sistema de archivos permanecen intactos, pero debido a que están cifrados usando la clave que se almacenó en Effaceable Storage (pero ya no), los datos del sistema de archivos se convirtieron en criptográficamente inaccesibles .

  

¿Esto significa que el cifrado del sistema es inútil contra   forense? ¿O es solo vulnerable cuando está bloqueado y no está girado?   off?

Sí y no. Sí, en el sentido de que la protección provista por Effaceable Storage es inútil contra los análisis forenses (a menos que estemos considerando la posibilidad de que el comando de borrado remoto pueda llegar al dispositivo mientras está bajo custodia). No, en el sentido de que hay capas adicionales de protección / encriptación por encima de la encriptación del sistema de archivos, y esas pueden ser (y son) un obstáculo considerable para los forenses.

  

SO, ¿alguien puede confirmar que un iPhone 4s iOS 8.3 bloqueado no puede ser   agrietado en el caso de no tener acceso al certificado de bloqueo?

Si ese iPhone 4s no está desbloqueado, no hay herramientas públicas que puedan acceder a él. Nadie puede confirmar que el dispositivo no se pueda "descifrar" porque, como nada, Apple puede crear un disco RAM firmado que obtendrá al menos parte de los datos (que no están protegidos por capas de cifrado por encima del Almacenamiento Effaceable, por así decirlo).

El escenario de MDM solo es relevante si ese dispositivo está inscrito en algún MDM. Básicamente, en este caso, MDM tiene un "certificado de bloqueo" que se puede utilizar para acceder y descifrar datos en el dispositivo, cambiar el código de acceso, etc.

Espero que esto ayude.

ACTUALIZAR :

El dispositivo apagado es al menos tan seguro como uno encendido. Sin embargo, lo que realmente importa para los dispositivos iOS es si el código de acceso se ha ingresado al menos una vez desde el inicio del dispositivo.

Si ha sido así, el número de claves de cifrado permanecerá en la memoria del dispositivo pero sin un registro de emparejamiento (también conocido como 'certificado de bloqueo') o un jailbreak, no hay forma de explotar este AFAIK.

En cuanto a las fuentes, estas diapositivas y este proyecto es una excelente fuente de información sobre el tema.

esta respuesta es para mostrar los datos (incompletos) que he encontrado hasta ahora para provocar un debate, además, mi interpretación de los siguientes detalles técnicos podría ser totalmente errónea.

Pautas del proceso legal: Estados Unidos Cumplimiento de la ley por Apple
Page 9

  

yo Extracción de datos de dispositivos iOS con contraseña bloqueada
   Para todos los dispositivos   ejecutando iOS 8.0 y versiones posteriores, Apple no realizará datos de iOS   Las extracciones como herramientas de extracción de datos ya no son efectivas. los   Los archivos que se extraerán están protegidos por una clave de cifrado que está vinculada   a la contraseña del usuario, que Apple no posee. Para iOS   dispositivos que ejecutan versiones de iOS anteriores a iOS 8.0, tras la recepción de un   orden de registro válida emitida en una demostración de causa probable, Apple   puede extraer ciertas categorías de datos activos de código de acceso bloqueado   dispositivos iOS Específicamente, el usuario generó archivos activos en un iOS   dispositivo que se encuentra en las aplicaciones nativas de Apple y para el cual el   los datos no se cifran con el código de acceso ("generado por el usuario activo   archivos), pueden extraerse y proporcionarse a las autoridades policiales en   medios de comunicación. Apple puede realizar este proceso de extracción de datos en dispositivos iOS   ejecutando iOS 4 a través de iOS 7.

Lo que no mencionan es el ataque de registro de emparejamiento que requiere acceso sin cifrar a la computadora sincronizada con iTunes.

Cifrado de iPhone, Apple y los federales - NoVA Hackers:

• iOS 4 - 6 es "sin protección"
• iOS 7 - 8: Completa hasta la primera autenticación
• La mayoría de las aplicaciones del sistema a través de iOS 7 aún se utilizan Ninguna

Alreiniciar/apagar

• Seperdiólaclavedeproteccióndearchivos
• Completarhastaquelaprimeraclavedeautenticacióntambiénsepierda
• Sololosarchivosde"Protección de archivos: ninguno" son legibles (y luego solo por el sistema operativo en el dispositivo. Debido a FDE ...) [NoVA Hackers afirman que un iOS 8+ apagado en un 4s o Más tarde no tiene información para la recuperación. Contribuya si encuentra datos conflictivos]

Cuando está bloqueado

• Cualquier cosa con "FileProtectionNone" es legible

¿Qué utiliza "Ninguno"?

• Cualquier aplicación no actualizada para iOS 7+
• La mayoría de las aplicaciones del sistema (hasta iOS 7)
• Preferencias, etc.

[¿Significa esto que después de la primera autenticación de usuario en iOS 8 hay varias aplicaciones del sistema, como fotos, que ya no están protegidas por bloqueo?]

En una nota al margen: Retardo de fuerza bruta de 80 ms, 5 segundos para iPhone con chips A7 / A8.