Selvsikkert firma: Vi kan brække enhver iPhone op for myndigheder

Illustration: leowolfert/Bigstock
Der foregår et våbenkapløb mellem sikkerhedsfirmaer, der vil sælge adgang til efterretningstjenester, og producenterne af digitale produkter.

Det store, israelske sikkerhedsfirma Cellebrite hævder, igen-igen, at kunne knække enhver iPhone for myndigheder, der køber sig til den seneste udgave af selskabets Universal Forensics Extraction Device (UFED).

Dermed er det næste træk taget i den konstante brydekamp mellem prominente sikkerhedsselskaber og producenterne af devices, der gerne vil beskytte deres brugeres data - også mod ekstrahering fra diverse agenturer og myndigheder.

Læs også: Apple holder efterretningstjenester ude af låste iPhones med nye ændringer

UFED-produktet vil tillade politimyndigheder at hacke enhederne, og mens det er belejligt for myndighederne, er der altid en risiko for, at den slags teknologier havner i de forkerte hænder og bliver brugt til lyssky formål.

Cellebrite fortæller også, at deres UFED ikke kun kan knække iPhones, men også flere Android-modeller, herunder den seneste Samsung S9. Dermed kan Cellebrite prale af at være det sikkerhedsfirma, der har bedst tiltro til egne cracking-evner, skriver Wired.

Angrebet kræver fysisk adgang til telefonen, men ellers er der ikke mange detaljer om, hvordan produkterne knækkes.

Konstant magtkamp

Det er ellers ikke mere end et halvt år siden, at Apple måtte udrulle nye sikkerhedstiltag for at holde et andet sikkerhedsselskab ude af Apples systemer.

Læs også: Iværksætter: Vi kan knække din iPhone-kode - billigt

»Cellebrites nye værktøj vil tillade efterforskere adgang til nyere og mere opdaterede enheder end førhen,« siger Sarah Edwards, der arbejder som sikkerhedsforsker på SANS-instituttet, til Wired.

Wired vurderer, at Cellebrite har været i stand til at åbne iOS 12.3-enheder før nu, men at selskabet ville være sikre på, at hullet forblev åbent, før de meldte det ud. Til gengæld er det nu blevet udbasuneret enormt kraftigt, hvilket ifølge mediet er atypisk.

Cellebrite har ikke svaret på Wireds henvendelser, ligesom Apple også har været tavs efter udmeldingen.

Tips og korrekturforslag til denne historie sendes til tip@version2.dk
Følg forløbet
Kommentarer (5)
sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først
Hans Nielsen

"Vi kan brække enhver iPhone op for myndigheder"

Men jeg er ikke sikkert på, at jeg også vil kunne finde og tilgå alt data ? ;-)

Og som vi har set i telesagen. Vil en nægtelse af at udlevere oplsyninger gøre dig mere mistænkeligt. Samtidigt med at en udlvereing ikke også automatisk frikender dig. Men bare placere dig i kategorien, "han er dygtigt", han skal overvåges eller have højere straf ?

Når sådan et privat firma, som er betalt af anklagemyndigheder finder data. Er vi så sikkert på at de har fundet alt, og har de foretaget en filtrering, som passer anklagen.

Som SMS (findes)

"husk at tage bomber og knive med"

Og svar som "uheldigvis" falder ud.

"Husker Bordbomber og plastikbestik"

  • 3
  • 3
Peder Simonsen

Måden man bryder koden er på kan være relativ simpel

1). Klon/kopier telefonen
2). load telefonen i en emulator som starter den krypterede kopi af telefon op some en virtuel enhed og gør dette på en supercomputer
3). Nu sætter man computeren til brute force / cracke Iphonen.
f.eks. hvis folk har en ganske alm pinkode på 4-8 cifre så sætter man computeren til at prøve alle tal kombinationer fra 0-9999.
Computeren prøver 4 koder hver gang hvorefter den sletter en midl kopi og så loader man en ny kopi hvor man igen prøver 4 nye tal.
osv osv osv.
Med andre ord man har ikke brug for den fysiske telefon men køre den virtuelt.
( men man prøver evt. først med kendte koder fra personens kredit kort, eller computer da folk ofte bruger samme kode mange steder. )

med andre ord det er KUN et spørgsmål om tid før man når igennem alle numre og det kan man gøre på ganske kort tid.
Det kan godt være krypteringen er stærk og svær at bryde, men det er en simpel pin kode ikke.

Når det kommer til at bryde fingeraftryk eller ansigtets biometri så handler det om at have adgang til en international pas database. Hvis man kender navn på personen som ejer telefon så er det bare at loade den biometriske data fra et pas og så låse telefonen op.

Ovenstående er de mest simple metoder og de virker.

Naturligvis findes der mere avancerede metoder hvor man bruger sårbarheder til at låse noget op.

PS.. HUSK det er MEGET nemmere at stjæle en kode frem for at bryde kryptering. Jo mere data du har jo nemmere er det, og naturligvis så forsker man i alle mulige svagheder både software og harware medsigt.
Alternativt kan man misinformere om man kan bryde noget for at få folk til at bruge et andet produkt som man kan bryde.

Tænk engang hvis man har en generel interesse i at overvåge alle mennesker her på planeten hvordan gør man det så nemmest..
Jo det gør man ved at lave bagdøre i software eller udnytte huller og injekte malware som giver adgang.
ELLER man laver bagdøre/huller på hardware nivou i rutere, telefoner, cpu/gpu'er osv. ude hos producenterne f.eks via. medarbejere bag om rykken eller med virksomhedens viden.
Der er jo ikke nogen regeringer og efterretnings tjenester som vil være tilfredse med at borgerne har teknisk udstyr man ikke kan bryde.

Det er MEGET almindeligt at bla. amerikanerne forsøger at henvende sig til div. folk som laver software for at bede om deres hjælp.. F.eks har man henvendt sig hos Mozilla firefox for år tilbage, samt linux dog uden held til at få puttet en bagdøre i softwaren. ( ihvertfald så vidt man ved )

  • 0
  • 4
Hans Nielsen

3). Nu sætter man computeren til brute force / cracke Iphonen.
f.eks. hvis folk har en ganske alm pinkode på 4-8 cifre så sætter man computeren til at prøve alle tal kombinationer fra 0-9999.


Simple, enkelt og hutigt ?

Hvis man virkeligt har noget at beskytte, så bruger man vel en meget længere kode.

Hvad med en kode, som bruger hele tegnsætet, med en længte på 32 eller 64 karaktere.

Det giver vel 2^32 x 64, det komer vel til at tage en del år, for en enkelt telefon.

  • 0
  • 1
Benny Lyne Amorsen

1). Klon/kopier telefonen


Det kan man ikke. Det er hele pointen i TPM. Pinkoden og krypteringsnøglen ligger ikke på flash. For at læse telefonen skal man derfor bryde en moderne kryptering med mindst 128-bit nøgle. Det kan ikke brute-forces.

Det er muligt at Cellebrite har fundet et hul i TPM-chips som gør det muligt at klone eller læse de skjulte TPM-data. I så fald er pinkoden ikke et problem. Men det er i al fald ikke simpelt, og det var ikke den metode de brugte sidste gang.

  • 5
  • 0
René Nielsen

Jeg ser det som både som et våbenkapløb, men også en krig med virkelige tab.

Lige nu kan iPhones tilsyneladende oplåses hvis man har fysisk adgang til telefonen – mon ikke det forsvinder igen når Apple udsender en opdatering? Når man læser Wired, så virker det som om at Cellebrite selv forventer at deres produkt atter lukkes af Apple.

Men når tåbelige og uansvarlige politikkere som f.eks. Søren Pind fra Venstre eller Trine Bramsen fra Socialdemokratiet efterspørger den slags produkter som Cellebrite producer, så medvirker de til at repressive regimer som f.eks. Saudi Arabien kan undertrykke og myrde deres borgere.

Tag sagen med journalisten Jamal Khashoggi som i eksil skrev kritisk om Saudi Arabien.

Du kan være helt sikker på at den Saudi Arabiske kronprins Mohammed bin Salman har den Saudi Arabiske lov på sin side og at det er fuldt legalt det han gør når han lader Jamal Khashoggi udrydde.

Han har opfyldt alle Trine Bramsen juridiske betingelser for at anvende den slags produkter (som legale bagdøre, aflytning, overvågning mv.) og i min optik har Søren Pind og Trine Bramsen ”blod på deres hænder”.

Når folk som Jamal Khashoggi bliver slået ihjel, så er det en direkte konsekvens af deres politik om at ”tillade legale bagdøre”. Det er muligt at deres stemmer ikke er de højeste som lyder, men de synger stadigvæk noget dybt skadeligt.

  • 6
  • 1
Log ind eller Opret konto for at kommentere
IT Company Rank
maximize minimize