Inbreken in versleutelde telefoons is te doen (afb: upturn.org)

Ga er maar van uit dat alles dat/wat beveiligd is ook gekraakt kan worden. Wat voor huizen geldt, geldt ook voor telefoons en ander digitaal goed. Opsporingsdiensten over de hele wereld hebben steeds maar weer om ‘achterdeurtjes’ gesmeekt die ze in noodgevallen zouden kunnen gebruiken om digitale apparaten van verdachten te kunnen kraken, maar intussen lijken die al methodes gevonden hebben om zelf in te breken. De mogelijkheden zijn er zo blijkt uit recent onderzoek. Daarin hebben onderzoekers van de Johns Hopkinsuniversiteit gekeken naar kwetsbaarheden in de verdedigingslinie van Android van Google en iOS van Apple en naar rapporten waarin sprake is van voorvallen waarin opsporingsdiensten de beveiliging van die mobiele systemen hebben doorbroken.

Onderzoeker Matthew Green zegt geschokt te zijn door wat ze gevonden hebben. “Toen we begonnen dacht ik dat op de telefoons de gegevens goed beschermd waren. Nu ben ik tot de conclusie gekomen dat er bijna niks beschermd is zoals zou kunnen. Waarom heb je dan achterdeurtjes nodig?”
Voordat je meteen je gegevens van je telefoon gooit is het goed te weten hoe de beveiliging werkt. Als je je telefoon vergrendelt via wachtwoord, vingerafdruk of gezichtsherkenning, wordt de inhoud versleutelt. Om die onleesbare rommel te ontcijferen heb je een sleutel nodig die jij automatisch krijgt met je vingerafdruk, oogopslag of wat dan ook. Je telefoon heeft op verschillende lagen zo’n beveiliging en verschillende sleutels voor gevoelige informatie op je telefoon, soms is er zelfs een dubbel slot, maar jij hoeft je daar met je eigen vingerafdruk, gezicht, iris of toegangscode niet druk om te maken.
De onderzoekers gingen er van uit dat het uiterst moeilijk is voor iemand die in je toestel wil inbreken om die sleutels te vinden, maar dat bleek niet zo te zijn. “Vooral in iOS lijkt de infrastructuur voor die hiërarchische versleuteling goed in elkaar te zetten”, zegt medeonderzoeker Maximilian Zinkus, “maar ik was verbaasd over hoeveel daarvan ongebruikt was.” De mogelijkheden voor een goede bescherming zijn er, maar zouden niet ten volle worden benut.
Als je een iPhone aanzet zijn alle gegevens volgens Apple ‘volledig beschermd’. De gebruiker moet het toestel ontgrendelen voordat er iets kan gebeuren. Je zou gedwongen kunnen worden je telefoon te ontgrendelen, maar met de forensische middelen zou het lastig zijn om daar bruikbare informatie vandaan te halen als die nog vergrendeld is. Als het zover is wordt de situatie anders. Apple noemt dat ‘bescherming tot de eerste gebruikersverificatie’, maar de onderzoekers houden het bij ‘na de eerste ontgrendeling’ (Nadeo). Als je er goed over nadenkt staat je iPhone haast altijd in die Nadeo-toestand. De vraag is dan: hoe effectief is de Nadeo-bescherming

Als de gegevens in de volledige-beschermingstoestand verkeren dan worden de decoderingssleutels diep in het besturingssysteem weggeborgen en zijn die zelf versleuteld. Maar als je je toestel aanzet en voor de eerste keer ontgrendelt komen veel van die sleutels in het gemakkelijk toegankelijke geheugen terecht, zelfs als de telefoon vergrendeld is. Op dat punt zou een aanvaller bepaalde kwetsbaarheden kunnen misbruiken in iOS om die sleutels te pakken te krijgen en daarmee grote delen van de informatie op de telefoon kunnen ontcijferen.

Cellebrite

Gebaseerd op openbare rapporten van de Israëlische onderneming Cellebrite, die inbreken in digitale systemen tot zijn product heeft gemaakt, en van het Amerikaanse bedrijf Grayshift kwamen de onderzoekers er achter dat dit de manier is waar dat bij telefoons nu altijd zo gaat. Je moet de kwetsbaarheden van een besturingssysteem kennen om de sleutels te bemachtigen, maar zowel bij een Android- als een iOS-telefoon valt dat te doen.

Android heeft een soortgelijke opzet als iOS met een groot verschil. Dat systeem heeft ‘volledige bescherming’ voor de eerste ontgrendeling. Daarna komen de telefoongegevens in de Nadeo-fase. Apple biedt ontwikkelaars van toepassingen nog de mogelijkheid sommige (gevoelige) gegevens volledig te beschermen. Die mogelijkheid heeft Android niet. Op zo’n Android-telefoon valt meer te halen dan decoderingssleutels (bankgegevens, bijvoorbeeld). Daarbij komt dat Android, anders dan iOS, verschillende versies heeft.

“Google heeft er veel aan gedaan om dit te verbeteren, maar het feit blijft dat een hoop telefoons niet worden bijgewerkt”, zegt medeonderzoeker Tushar Jois. “Sommige fabrikanten hebben andere onderdelen in hun toestellen. Bij een Android-toestel kun je niet alleen op besturingssysteemniveau aanvallen maar ook via toepassingen die kwetsbaar zijn.”
Het is een goede gewoonte dat reguliere veiligheidsonderzoekers hun onderzoeksresultaten delen met de ‘beschuldigden’, maar Google wilde geen commentaar geven. Apple zegt gebruikers te willen beschermen tegen digitale inbrekers. Het type aanvallen dat de onderzoekers hebben gebruikt zouden erg duur zijn. Bovendien zou daar fysieke toegang tot de belaagde telefoon voor nodig zijn en alleen maar werken zolang Apple de misbruikte lekken nog niet gedicht heeft. Veiligheid is nooit absoluut. Gebruikersgemak staat dat in de weg, volgens Apple (en ik vrees dat Apple daar een punt heeft).

De wolk

De onderzoekers keken ook hoe beide systemen omgaan met de opslag in de ‘wolk’. Zinkus: “Ook daar zie je veel prima mogelijkheden die echter niet noodzakelijkerwijs alle gebruikt worden. Als je een reservekopie maakt geef je ook aan welke informatie op andere apparaten gebruikt mag worden. Als dat je Mac is dan is dat voor de politie ook een mogelijkheid om bij je opgeslagen gegevens te komen.”

De mogelijkheden voor opsporings- en inlichtingendiensten zijn er. Volgens een onlangs verschenen rapport van Upturn heeft de Amerikaanse politie tussen 2015 en 2019 in alle vijftig staten zo’n 50 000 keer forensische hulpmiddelen gebruikt om in te breken in telefoons”

Bron: Wired